Par Gérard Haas et Virgile Servant Volquin
Interpol, l’organisation internationale de police criminelle, a récemment fait de la cybercriminalité un dossier prioritaire. Elle coordonne les actions de ses Etats-membres, émet des recommandations et a notamment ouvert un bureau spécialisé en Afrique.
La cybercriminalité est en train de devenir l’un des enjeux majeurs de la décennie. Elle tend à muter régulièrement dans ses modalités notamment à l’heure de la crise sanitaire, touche toujours plus d’acteurs, et occasionne en conséquence des préjudices importants.
Selon le rapport 2020 sur le risque du forum économique mondial, le coût global pour l’économie mondiale serait de 6 000 milliards de dollars en 2021. Cette somme astronomique représente 1/6ème de plus que le PIB annuel du Japon, la troisième économie mondiale.
Quelles sont alors les mesures pertinentes pour se protéger du risque cyber ? Une analyse du modus operandi des hackers.
Les groupes de hackers s’organisent de sorte à laisser un minimum de traces et à complexifier la tâche des enquêteurs.
A cet effet, les hackers :
Les hackers peuvent être décrits en trois catégories-types :
Ces hackers poursuivant des finalités différenciées, ils n’ont pas recours aux mêmes types d’attaques :
Quant aux hackers mafieux, ils agissent quasi exclusivement par « ransomware » (rançongiciel). Il s’agit d’un programme malveillant installé sur l’ordinateur ou les serveurs de la victime qui chiffre les données de l’organisation, en vue de les rendre inaccessibles.
L’utilisateur qui tente de se connecter à un poste infecté voit s’afficher sur son écran un message l’invitant à envoyer une certaine somme de cryptomonnaies à un portefeuille de cryptomonnaie externe en échange de la clef de déchiffrement.
L’organisation touchée par l’attaque se voit ainsi offert un délai oscillant entre 1 et 3 jours pour payer, sans quoi l’ensemble de ses données seraient détruites ou publiées sur le darknet.
Il existe plusieurs techniques d’infiltration sur le serveur d’une organisation, mais la plus utilisée reste d’utiliser l’utilisateur lui-même.
En effet, il est plus aisé de se servir d’un utilisateur à son insu que de déployer les moyens techniques nécessaires à un piratage complexe.
A cet effet, plusieurs techniques sont mises en place par les hackers :
Les deux dernières méthodes étant plus difficiles à mettre en œuvre, le phishing reste le mode opératoire favori des hackers. En effet, les copies de site sont généralement faciles à dévoiler, dans la mesure où elles ne sont pas protégées par un certificat https. Quant à l’infiltration d’un complice, elle nécessite pour le hacker de se dévoiler, ce qui augmente son risque.
Avant toute opération de phishing, les hackers mettent en œuvre une phase de prospective et de recherche pour « se déguiser » en une personne avec laquelle la cible a confiance : collègue de travail, site de commerce en ligne. Cette enquête se décompose en trois étapes :
1. Identification des victimes sur le web (15 minutes)
2. Enquête poussée (plusieurs semaines) :
3. Mise en œuvre du phishing :
Dans la mesure où le phishing repose sur une démarche active de l’utilisateur, qui tombe dans un « piège », il est envisageable de mettre en œuvre des mesures afin de diminuer ce risque.
Les organisations doivent s’assurer que les mesures de sensibilisation et de formation au risque cyber ont été mises en place pour tous les collaborateurs disposant d’un accès au système d’information.
L’élaboration d’une charte informatique ainsi que d’un guide de bonne utilisation des réseaux sociaux signés lors de la conclusion du contrat de travail peut être un moyen pertinent de sécuriser juridiquement le risque cyber.
La souscription d’une assurance cyber spécifique peut être pertinente, d’autant que le gouvernement a lancé un plan d’action auquel sont associées les parties prenantes en vue de l’élaboration d’une offre assurantielle adaptée au risque en 2022.
Le risque 0 en matière de cyberattaque n’existe pas.
Pour éviter d’ajouter un risque juridique au risque opérationnel, économique et réputationnel d’une cyberattaque, les organisations doivent veiller aux obligations posées par le RGPD.
Le RGPD, qui a pris effet le 25 mai 2018, impose aux organisations victimes d’une violation de données à caractère personnel de notifier la violation à la Cnil[1]. Les délais sont réduits puisque la notification initiale doit survenir dans les 72h suivant la constatation de la violation.
Les organisations doivent donc prévoir des processus internes permettant de faire remonter l’information rapidement en cas de cyberattaque.
La communication de l’organisation en externe est également cruciale. Elle permet de montrer que la réaction de l’entreprise a été exemplaire en vue de réduire le risque réputationnel.
***
Le département cyber sécurité du Cabinet Haas Avocats, Cabinet spécialisé depuis plus de 20 ans en droits des nouvelles technologies et de la communication et en droit de la propriété intellectuelle, se tient à votre disposition pour répondre à vos questions et vous assister dans le pilotage juridique de la gestion des cyber risques. Pour en savoir plus, cliquez ici.
[1] Article 33 RGPD