Développer son flair pour les dangers du monde digital

août 14, 2019.

Plus nous faisons confiance au monde digital, plus il devient facile de nous attaquer et plus nous prenons le risque d’être victime d’un vol d’identité. Le spécialiste de la sécurité informatique Harald Reisinger nous explique dans cette interview pourquoi même des experts de la sécurité peuvent être victimes de cyber-attaques.

Votre entreprise emploie ce qu’on appelle des « white hat hackers » (pirates informatiques éthiques) pour identifier sur mandat du client des faiblesses informatiques. Comment procèdent-ils?

Harald Reisinger : Nos testeurs d’intrusion simulent une véritable attaque de pirate, c’est-à-dire l’intrusion dans le système informatique d’une entreprise. A cet égard, il y a trois approches possibles : Nous essayons de pénétrer dans le système depuis l’extérieur, nous regardons comment un visiteur ou un collaborateur de l’entreprise peut causer des dégâts de l’intérieur et nous nous intéressons à l’être humain en tant que vecteur d’attaque.  

 

Comment les pirates parviennent-ils à pénétrer dans le système informatique d’une entreprise depuis l’extérieur et combien de temps cela leur prend-il?

Harald Reisinger : Ils essaient d’exploiter les éventuelles lacunes, au niveau par exemple de l’application, du serveur ou de la base de données sous-jacente. L’injection SQL constitue une des méthodes d’attaque connues: L’assaillant essaie de tromper le serveur en saisissant différentes commandes qui vont lui permettre par exemple de voir des contenus de la base de données qu’un utilisateur normal ne devrait jamais voir. A la différence de nos « white hat hackers », les vilains garçons, les « black hat hackers », ont cependant beaucoup de temps pour effectuer leurs attaques. Nous, au contraire, n’avons qu’un laps de temps défini. Pour les petits audits, nous avons besoin de deux à quatre jours, les analyses plus importantes peuvent prendre jusqu’à 30 jours.

 

Quelles analyses engagez-vous au sein de l’entreprise cliente?

Harald Reisinger : Lorsque nous sommes dans l’entreprise, nous nous trouvons déjà derrière le pare-feu. A l’interne, nous testons la vulnérabilité des systèmes, par exemple les dommages qu’un invité pourrait causer en connectant son laptop à la prise réseau d’une salle de réunion. 

 

Comment sensibilisez-vous les collaborateurs à cette problématique?

Harald Reisinger : Nous contrôlons l’efficacité des mots de passe utilisés par les collaborateurs. Il est important de former les collaboratrices et collaborateurs et de les rendre attentifs aux dangers – qu’il ne faut pas ouvrir l’annexe d’un e-mail avant d’avoir vérifié la provenance de l’e-mail. Ou nous « perdons » une clé USB dans le parking de l’entreprise avec la mention « Liste des licenciements 2018 ». La probabilité est très élevée qu’un collaborateur emporte cette clé USB et l’insère dans son laptop professionnel. Si la clé USB contient un programme malveillant, on importe de cette façon un virus dans l’entreprise.

 

Les collaborateurs prennent-ils la sécurité IT à la légère?

Harald Reisinger : Nombre d’entre eux pensent effectivement: « Le département IT contrôle la situation. » et ils ne voient pas leur propre responsabilité. L’aspect positif des formations à la sécurité prodiguées à l’interne de l’entreprise est que les personnes concernées emportent ces connaissances à leur domicile et les appliquent également chez eux. Idéalement, il faudrait qu’ils les transmettent aussi à leur fille ou à leur fils. Aujourd’hui, tous les enfants de trois ans savent utiliser une tablette – nous devons nous soucier à large échelle qu’également les plus jeunes développent une certaine intuition pour les dangers possibles du monde digital.

 

Quelles entreprises sont les cibles préférées d’attaques de pirates ou de vol d’identité?

Harald Reisinger : Il y a dix ou quinze ans, c’était clairement les établissements financiers. Ils sont toujours une cible attirante pour les pirates informatiques professionnels mais le problème s’est entre-temps étendu à tous les secteurs. Les cas de vols de données ou de tentatives de chantage qui ont eu lieu ont rendu les entreprises plus attentives à ce type de dangers.

 

Les «black hat hackers» veulent-ils tous la même chose – gagner de l’argent grâce à leurs attaques ?

Harald Reisinger : Par le passé, les pirates informatiques étaient souvent des personnes particulièrement calées en informatique qui voulaient simplement prouver qu’il était possible d’attaquer les entreprises. Depuis environ cinq ans, le « secteur » est devenu très commercial. La plupart des assaillants travaillent de façon professionnelle et organisée, comme des entreprises. Nous pensons que cette professionnalisation va continuer à s’étendre. Les criminels veulent attaquer le plus grand nombre possible de cibles avec peu d’effort et gagner de l’argent par exemple par la vente de paquets de données ou par du chantage. Les transferts d’argent ne sont à l’heure de la monnaie digitale plus un problème. Il arrive également que des pirates souhaitent ridiculiser publiquement certaines entreprises et paralysent pour cette raison leur système.

 

Quel rôle joue le vol d’identité dans la cybercriminalité?

Harald Reisinger : Il s’agit d’un problème encore marginal. Actuellement, les criminels injectent des logiciels malveillants sur un ordinateur par le biais d’e-mails d’hameçonnage (phishing). Et si une personne gère tout depuis l’ordinateur en question – envoi d’e-mails, commande de marchandises, gestion de transactions bancaires, fixation de rendez-vous médicaux – alors le criminel est effectivement en position d’usurper son identité en exploitant toutes ces données. Le vol d’identité peut devenir un problème vraiment massif si l’identification électronique progresse encore, amenant avec elle la possibilité de signer de façon électronique ou de sauvegarder des données biométriques pour nous identifier.

 

Comment peut-on se protéger efficacement des cyber-attaques?

Harald Reisinger : On devrait d’une part respecter les standards minimums habituels – ne pas cliquer sur toutes les annexes d’e-mails, toujours effectuer les mises à jour et maintenir le système au niveau le plus actuel, utiliser un logiciel antivirus, idéalement un logiciel capable d’apprendre et offrant une protection contre les nouvelles formes d’attaque. Et on ne devrait peut-être pas suivre chaque tendance.

 

Cela signifie que, dans le doute, il vaudrait mieux avoir moins d’assistants digitaux que trop?

Harald Reisinger : Oui. Car même si c’est super pratique, je ne pense pas que cela soit une bonne idée d’avoir un logiciel bancaire en ligne sur son téléphone portable pour lequel on reçoit le code TAN également sur le téléphone (par SMS) pour effectuer ses transactions. La domotique, les enceintes intelligentes – faut-il prendre part à tout cela ? Ai-je envie que mon enceinte écoute tout ce qui se dit dans mon salon ? Beaucoup de choses ont l’air fantastiques et l’homme est – heureusement – ouvert au progrès. Mais il devrait également évaluer les conséquences et savoir quand il ouvre ses portes aux assaillants.

 

Comment vous comportez-vous vous-même en tant qu’utilisateur?

Harald Reisinger : Paranoïaque est peut-être le meilleur mot. De manière générale, les personnes qui travaillent dans ce secteur sont particulièrement prudentes. Il n’est bien sûr pas exclu que nous soyons un jour nous-mêmes victimes d’une attaque. Certaines attaques sont si bien faites qu’elles sont difficilement identifiables, même pour nous spécialistes.

 

Regardons vers l’avenir: La robotique, l’Internet des objets, des voitures qui roulent toutes seules – quels risques d’utilisation abusive des données ces progrès apportent-ils?

Harald Reisinger : Toutes ces évolutions rendent notre vie plus simple, nous perdons cependant aussi toujours plus de contrôle. Cela génère un potentiel de risque incroyable. Nous, spécialistes IT, pensons que le monitoring des systèmes IT va devenir une tâche essentielle afin de maintenir la résistance de la société. Cela comprend trois points: Le produit de base doit être sûr, des mesures de protection doivent être mises en place pour éviter les attaques et une surveillance doit avoir lieu. Nous appelons cela le «triangle de survie». 

Informations personnelles ​:

Harald Reisinger est le directeur de l’entreprise autrichienne de monitoring RadarServices qui inspecte la sécurité informatique des entreprises. Après une formation de base dans le domaine technique, il a étudié l’économie d’entreprise avant de fonder en 2001 sa première entreprise de sécurité IT.