« L'union fait la force ». Si ce proverbe est la devise de plusieurs pays (Belgique, Bulgarie, Bolivie...), c'est aussi la seule façon de lutter contre la cybercriminalité. Ce n'est qu'en mettant en commun les forces que nous pourrons lutter contre une cybercriminalité devenue une véritable industrie qui rapporte. En quelques années, la cybercriminalité est passée de l'amateurisme à des réseaux internationaux, performants et organisés. Dans ce contexte, toutes les entreprises, quels que soient leur taille et leur secteur d'activité, sont concernées car toutes sont exposées.
Selon une étude menée par Euler Hermes et l'Association nationale des directeurs financiers et de Contrôle de gestion (DFCG), en 2021, 1 entreprise sur 4 a subi une fraude avérée. 33% d'entre elles ont subi un préjudice supérieur à 10.000 euros et 14% un dommage supérieur à 100 .000 euros. Un phénomène accentué par la crise sanitaire puisque près d'une entreprise sur deux a enregistré une recrudescence des attaques suite à la généralisation du télétravail. Quant à la fréquence, 28% des entreprises déclarent avoir subi au moins une fraude avérée cette année. Elles ne peuvent donc plus se contenter de déployer des antivirus, firewall ou proxy pour se protéger.
Cyberdéfense : changeons de paradigme
Face à ce fléau, que faire ? Comment les entreprises, dont la vocation première est de se concentrer sur leur cœur de métier et non de faire de la sécurité informatique, peuvent-elles se prémunir contre des hackers dont la seule activité est de trouver toutes les failles de sécurité des systèmes informatiques ? Comment peuvent-elles lutter contre des modes opérationnels qui ne cessent de se professionnaliser ?
Aujourd'hui, il existe deux grandes typologies de fraudeurs. D'un côté, des hackers techniques dont l'objectif est de débusquer les failles informatiques dans les milliards de lignes de codes des logiciels et infrastructures, de l'autre, des profils commerciaux jouant sur la manipulation psychologique pour soutirer des informations aux potentielles victimes (mots de passe, coordonnées bancaires, codes, etc). Deux courants qui ne cessent de croître en nombre et de se perfectionner. Les manipulations psychologiques, appelées aussi l'ingénierie sociale, ne cessent de s'affuter au travers de scénarii et d'argumentaires de plus en plus sophistiqués.
Ainsi en 2021, 47% des répondants à l'étude Euler Hermes et DFCG, déclaraient avoir été victimes d'une fraude au président, 46% d'une fraude au fournisseur, et 25% au client. Côté cyberattaques, 32% avaient subi une intrusion dans leurs SI, 21% un ransomware et 8% un vol ou une destruction de données.
Si les deux courants ont longtemps été distincts, aujourd'hui, un rapprochement s'opère afin d'être toujours plus efficaces. Il est donc temps pour les entreprises de s'organiser pour faire barrage. Pourquoi ne pas s'associer ? Pourquoi ne pas adopter des concepts comme Waze ou Coyote dont la force est de diffuser en temps réel à la communauté les informations données par les utilisateurs sur l'état du trafic routier ? Pourquoi ne pas décliner ce principe aux fraudes subies par les entreprises à toutes celles connectées à une plateforme ?
Un mutisme contre-productif
Certes, un tel dispositif nécessite de la part des entreprises de jouer la transparence sur leurs cyberattaques. Or, elles préfèrent garder le silence sur ce type de mésaventure craignant pour leur notoriété. Mais si ce mutisme était possible dans le passé, il est devenu contre-productif au regard des volumes et de la diversité des données piratées. Impactant un grand nombre de personnes, voire d'organisations, l'information finit toujours par fuiter. Microsoft, Google, Facebook, Apple en sont de bons exemples. Ne rien dire est encore plus préjudiciable pour l'image de l'entreprise.
C'est pourquoi il est devenu impératif de changer notre façon d'aborder la cybercriminalité. Il faut jouer collectif en créant une communauté qui épouse les mêmes réflexes que ceux des réseaux sociaux, à savoir communiquer en temps réel des informations. Grâce à ces données, les professionnels de la cyberdéfense peuvent en retirer des « pattern » ou déceler de nouvelles habitudes de fraudes leur permettant alors de les inclure au plus tôt dans les schémas de lutte anti-fraude. Ce n'est qu'en se regroupant et en informant rapidement ses pairs de l'existence d'une cyberattaque. Cette stratégie permet de développer une cyberdéfense agile et réactive aux attaques.
Sans partage d'informations sur leurs cyberattaques, les entreprises perdront à coup sûr la bataille face à des hackers toujours plus nombreux et mieux organisés.