Qu'est-ce qu'une cyberattaque ? Types, étapes et mesures de prévention

Une cyberattaque est une tentative délibérée de s'introduire dans des systèmes informatiques, des réseaux ou des données, généralement dans le but de voler quelque chose, de perturber un service ou d'extorquer de l'argent. Ce concept recouvre un large éventail de situations : un e-mail frauduleux qui incite un employé à effectuer un virement bancaire constitue une cyberattaque, tout comme un logiciel malveillant qui paralyse l'ensemble d'un hôpital. Ce qui les relie, c'est l'intention. Une panne accidentelle est une simple interruption de service ; une panne provoquée intentionnellement est une attaque.

Nous allons voir ci-dessous qui sont les auteurs de ces attaques et ce qu'ils cherchent à obtenir, les types d'attaques que vous êtes le plus susceptible de rencontrer, comment une attaque se déroule généralement, comment réagir si vous en êtes victime, et pourquoi la prévention la plus efficace repose moins sur la technologie que la plupart des gens ne le pensent.

Qui attaque, et pourquoi ?

L'image du hacker solitaire en sweat à capuche est dépassée depuis des décennies. La grande majorité des attaques provient de groupes criminels organisés qui fonctionnent comme des entreprises, avec des services d'assistance, des modèles d'abonnement et des affiliés qui louent leurs outils. Leur motivation, c'est l'argent, et ils choisissent leurs cibles comme n'importe quelle entreprise choisit ses clients : en fonction de la facilité avec laquelle ils peuvent conclure la vente.

C’est pourquoi l’idée selon laquelle « nous sommes trop petits pour présenter un intérêt » s’avère si coûteuse. Les petites et moyennes entreprises sont justement attractives parce qu’elles détiennent des données et des flux de paiement précieux, tout en employant rarement une équipe de sécurité dédiée. Les attaques dont elles font l’objet ne sont généralement pas ciblées ; elles sont automatisées et passent en revue des listes d’adresses et de failles connues jusqu’à ce qu’une cible réagisse. Nous avons examiné cette dynamique plus en détail dans notre article expliquant pourquoi les PME sont si vulnérables aux cyberattaques.

Outre la majorité des auteurs d'actes criminels, il existe d'autres motivations : des concurrents ou des acteurs étatiques à la recherche de propriété intellectuelle, des militants en quête d'attention, et parfois des initiés agissant par frustration. Des motivations différentes, mais des techniques largement identiques, ce qui est pratique : se prémunir contre le cas le plus courant permet de couvrir la plupart des autres situations.

Les types de cyberattaques les plus courants

De nouveaux noms d'attaques apparaissent sans cesse, mais presque tous ne sont que des variantes d'une poignée de mécanismes. Il est plus utile de connaître le mécanisme que de mémoriser le vocabulaire.

• Le hameçonnage et ses variantes. Il s'agit d'un message qui se fait passer pour une personne de confiance afin d'obtenir des identifiants, un paiement ou un clic. Cela reste, et de loin, le vecteur d'attaque le plus courant. Notre guide sur le hameçonnage explique comment cela fonctionne et en quoi les variantes par SMS et par appel vocal diffèrent.
• Ransomware. Logiciel malveillant qui crypte vos fichiers et exige le paiement d'une rançon en échange de la clé de déchiffrement, souvent accompagné de la menace de divulgation des données. Notre article sur les ransomwares explique comment se propage une infection.
• Les logiciels malveillants au sens large. Les enregistreurs de frappe, les chevaux de Troie bancaires, les logiciels espions et les cryptomineurs s'installent tous discrètement et opèrent en arrière-plan. Consultez notre présentation générale des logiciels malveillants.
• L'ingénierie sociale ne fait appel à aucun logiciel malveillant. Un appel téléphonique convaincant, un faux fournisseur modifiant ses coordonnées bancaires, une demande urgente émanant d'un dirigeant. Il n'y a aucun fichier à analyser, ce qui rend l'ingénierie sociale si difficile à détecter.
• Attaques par usurpation d'identifiants. Réutilisation de mots de passe divulgués ailleurs, ou devinette à grande échelle de mots de passe faibles. Une méthode peu coûteuse pour l'attaquant, et la raison pour laquelle l'authentification multifactorielle (MFA) revêt une telle importance.
• Exploitation de logiciels non mis à jour. Failles connues dans les systèmes qui n'ont pas été mis à jour. Les scanners automatisés les détectent dans les heures qui suivent la divulgation publique d'une vulnérabilité.
• Déni de service. Inondation d'un service par un flux de trafic tel qu'il devient inaccessible. Il s'agit rarement d'un vol, mais souvent d'une perturbation ou d'une extorsion.
• Attaques visant la chaîne d'approvisionnement. Il suffit de compromettre un fournisseur, une mise à jour logicielle ou un prestataire de services pour atteindre tous les utilisateurs. Votre propre sécurité ne représente qu'une partie du problème.

Remarquez combien d'entre elles commencent par une personne plutôt que par une machine. Le phishing, l'ingénierie sociale et la réutilisation des identifiants nécessitent tous l'intervention d'une personne, et c'est précisément là que les organisations ont le plus de marge de progression.

Comment se déroule une cyberattaque ?

Les attaques sont rarement ce moment dramatique isolé qu’elles semblent être dans l’actualité. En réalité, elles se déroulent en plusieurs phases bien identifiables, et il s’écoule souvent plusieurs semaines entre le moment où l’attaquant prend pied dans le système et l’apparition des dégâts visibles. C’est précisément cet intervalle qui constitue une opportunité : une attaque détectée dès la première semaine reste un simple incident, tandis qu’une attaque détectée à la sixième semaine devient une véritable crise.

En gros, le processus va de la phase de reconnaissance, au cours de laquelle l'attaquant recueille des noms, des adresses et des informations sur les relations avec les fournisseurs à partir de sources publiques, à l'obtention d'un accès via un clic ou un mot de passe volé, puis à l'extension discrète de cet accès, jusqu'à l'étape finale consistant en un chiffrement, un vol ou une fraude. Chaque phase laisse des traces et offre une occasion d'intervenir. Nous décomposons ce processus étape par étape dans notre article consacré aux différentes phases d'une cyberattaque.

Que faire pendant et après une crise ?

La première heure est plus importante que la technologie que vous avez achetée l'année dernière. Ce dont les gens ont besoin, ce n'est pas d'un gros classeur, mais d'une poignée de gestes qu'ils sont capables de reproduire même sous pression.

1. Signalez-le immédiatement, avant même d'essayer de résoudre le problème. La rapidité avec laquelle vous signalez l'incident détermine l'ampleur des dégâts que l'attaquant peut causer. Personne ne devrait hésiter sous prétexte de ne pas être encore certain de la situation.
2. Isolez plutôt que de mettre hors tension. Déconnecter un ordinateur infecté du réseau limite la propagation ; le mettre hors tension peut détruire des preuves dont vous aurez besoin par la suite.
3. Partons du principe que les identifiants ont été compromis. Réinitialisez les mots de passe et les sessions des comptes concernés, puis vérifiez s’il y a eu ajout de nouveaux appareils, de règles de redirection des e-mails ou de modification des adresses de récupération.
4. Conservez les preuves : les journaux de connexion, le message original, les captures d'écran. Les assureurs et les enquêteurs vous les demanderont, tout comme l'autorité de régulation si des données à caractère personnel sont en jeu.
5. Vérifiez vos obligations en matière de signalement. Toute violation de données à caractère personnel entraîne des obligations de notification, et les organisations relevant du champ d’application de la directive NIS 2 sont soumises à des délais spécifiques pour le signalement des incidents. Impliquez la personne chargée de cette responsabilité dès le premier jour, et non pas au bout de cinq jours.
6. Faites le bilan après coup, sans chercher à désigner un coupable. La question utile est de savoir quel signal a été manqué et pourquoi, et non qui a cliqué. Rejeter la faute sur quelqu’un garantit que le prochain incident restera caché plus longtemps.

Pourquoi la prévention commence par les personnes

Les mesures techniques assurent l'essentiel du travail en termes de volume. L'authentification multifactorielle, les mises à jour régulières, les sauvegardes testées et conservées hors ligne, ainsi que la limitation des droits d'accès permettent de filtrer la majorité des tentatives automatisées. Aucune de ces mesures n'est facultative, et ce n'est plus par là que les attaques parviennent à aboutir.

Ce qui passe à travers les filtres vise les personnes, car celles-ci peuvent être persuadées, contrairement aux logiciels. Un collaborateur qui repère une demande de paiement suspecte, la vérifie via un deuxième canal et la signale a ainsi déjoué une attaque qu’aucun scanner n’aurait détectée. Il s’agit là d’une compétence, et comme toute compétence, elle s’estompe sans pratique ; c’est pourquoi une seule session de formation annuelle n’apporte que très peu. Des exercices courts et récurrents, adaptés à l’évolution des menaces, sont nettement plus efficaces, et une simulation d’hameçonnage vous montre où vous en êtes réellement, plutôt que là où vous pensez en être.

Comment Guardey vous aide à réduire les risques

La formation à la sensibilisation à la sécurité proposée par Guardey est conçue pour s'adapter à ce rythme : des défis hebdomadaires d'environ trois minutes, une approche ludique avec des classements et des séries de réussite, ainsi qu'un contenu qui suit les menaces réellement en circulation. Les employés suivent la formation via l'application mobile pour iOS et Android ou directement dans leur navigateur, ce qui permet d'inclure également les collègues qui ne disposent pas d'un poste de travail fixe.

Les simulations intégrées de hameçonnage permettent de vérifier si la reconnaissance se traduit par un changement de comportement, tandis que les rapports prêts pour les audits transforment l'ensemble du programme en éléments probants pour des référentiels tels que NIS2 et ISO 27001. La mise en place ne prend que quelques minutes, et plus de 500 organisations fonctionnent de cette manière, dont le Parlement européen.

Foire aux questions sur les cyberattaques

Quelle est la différence entre une cyberattaque et une fuite de données ?

Une attaque est une tentative ; une fuite de données est l'une des conséquences possibles. Une attaque bloquée ne se transforme jamais en fuite, et une fuite peut également se produire sans qu'il y ait eu d'attaque, par exemple lorsqu'une personne envoie par e-mail un fichier au mauvais destinataire. Cette distinction est importante, car les obligations de déclaration s'appliquent à la fuite, et non à la tentative.

Combien de temps faut-il pour se rendre compte d'une attaque ?

Plus longtemps que ne le pensent la plupart des entreprises. Les pirates qui parviennent à s'introduire grâce à un mot de passe volé agissent souvent avec prudence pour ne pas déclencher d'alerte, et les dégâts visibles apparaissent à la fin plutôt qu'au début. C'est pourquoi les signalements des employés sont si précieux : ils permettent souvent de détecter des anomalies bien avant que les systèmes de surveillance ne les repèrent.

Une petite organisation est-elle vraiment une cible ?

Oui, et généralement pas par choix. La plupart des tentatives sont automatisées et ciblent n’importe quelle réponse ; ainsi, la petite taille d’une entreprise n’offre aucune protection, tandis que le fait de disposer de moins de spécialistes se traduit souvent par un délai de réponse plus long. Le fait de ne pas présenter d’intérêt ne constitue pas une protection contre un script.

L'assurance couvre-t-elle les cyberattaques ?

Il existe des polices d'assurance contre les cyberrisques qui peuvent couvrir les coûts de remise en état, mais les assureurs exigent de plus en plus souvent que vous prouviez avoir mis en place des mesures de base, notamment la formation du personnel, et ils vous demanderont des justificatifs après un incident. Considérez une police d'assurance comme un filet de sécurité contre les préjudices financiers, et non comme un substitut aux mesures elles-mêmes.

La vérité dérangeante concernant les cyberattaques, c'est que la plupart d'entre elles ne sont pas sophistiquées. Elles reposent sur un mot de passe réutilisé sur plusieurs sites, un système qui n'a jamais reçu de correctifs, ou un collègue pressé un vendredi après-midi. C'est aussi ce qui est encourageant : une poignée d'habitudes suffit à bloquer la grande majorité de ces attaques, et chacune de ces habitudes peut être acquise par une équipe.