Le saviez-vous ? D’après la dernière étude Mimecast, les emails frauduleux restent la principale porte d’entrée pour les pirates informatiques en 2023. En effet, les entreprises y sont de plus en plus confrontées. En France comme dans le reste du monde d’ailleurs ! Pire encore : non contentes de se faire toujours plus nombreuses, les attaques par mail sont également de plus en plus sophistiquées… Comment expliquer ce phénomène ? Quelles sont les attaques possibles ? Comment les entreprises peuvent-elles se protéger ? Nous vous présentons les principaux enseignements de cette étude pour vous aider à vous défendre contre la cybercriminalité !
Un mot sur la méthodologie de l’étude Mimecast
Pour son enquête mondiale 2023, la solution de cybersécurité Mimecast s’est associée au cabinet d’études Vanson Bourne. 1 700 RSSI (Responsables de la Sécurité des Systèmes d’Information) et autres professionnels de l’informatique et de la cybersécurité ont ainsi été interrogés entre octobre et novembre 2022 dans 13 pays différents.
À savoir : la France, le Canada, l’Allemagne, le Royaume-Uni, les Etats-Unis, les Pays-Bas, la Suède, le Danemark, l’Arabie saoudite, l’Afrique du Sud, les Émirats Arabes Unis, Singapour et l’Australie.
Dans notre article, nous nous intéresserons surtout aux chiffres français !
Les emails frauduleux : une arme toujours plus utilisée et toujours plus sophistiquée
Selon l’étude 2023 de la solution de cybersécurité Mimecast, les hackers et autres pirates informatiques emploient de préférence les emails pour s’attaquer aux entreprises. En France notamment, 67% des entreprises ont connu une augmentation des menaces liées aux emails au cours de l’année 2022. C’est moins que la moyenne internationale (75%) mais cela reste un chiffre très élevé !
63% des répondants français affirment également que ces attaques par email sont de plus en plus sophistiquées. Si bien qu’elles constituent leur « plus grand défi » en matière de cybersécurité !
Ransomwares, phishing, : les principales attaques par mail
Le phishing : l’attaque préférée des hackers
Toujours selon cette étude, le phishing reste (de loin) le principal type d’attaque par mail. En effet, 85% des entreprises françaises interrogées ont été ciblées par des attaques de phishing par e-mail ! En tout, il y aurait eu 255 millions de tentatives de phishing en 2022, soit une progression de 61% par rapport à 2021.
Pour rappel, le phishing (« hameçonnage ») consiste à se faire passer pour un tiers de confiance (ex.: fournisseur, banque) afin de vous pousser à confier des informations sensibles. Classiquement, le mail vous demandera de cliquer sur un lien vous dirigeant sur une page où vous pouvez entrer votre mot de passe, vos coordonnées bancaires, etc. Mais il existe aussi des tentatives de phishing par SMS !
« Les tentatives de phishing ont considérablement augmenté, en particulier les attaques très ciblées et très sophistiquées visant nos dirigeants. »
Source : Dean Lythgoe,
Vice-président des opérations d’infrastructure et de la sécurité, CHG Healthcare
Le ransomware, un nouveau phénomène en pleine expansion
Nouvel ennemi en hausse également : le ransomware ou « rançongiciel », qui fait énormément parler de lui ces dernières années. Dans ce genre d’attaque, les cybercriminels piratent votre système informatique à l’aide d’un logiciel malveillant. Logiciel que vous ou l’un de vos collaborateurs avez téléchargé en cliquant, par exemple, sur un lien dans un email…
D’une certaine façon, le ramsomware va prendre en otage vos données ! En effet, il va les crypter et les rendre complètement inutilisables pour votre entreprise… Mais bien entendu, les hackers vont vous proposer de vous donner la clé de cryptage, contre une somme rondelette !
Pour en savoir plus ce phénomène, n’hésitez pas à consulter notre article précédent consacré aux ransomwares.
Comment expliquer l’augmentation et le perfectionnement des emails frauduleux ?
Malheureusement, ce phénomène s’explique facilement. Ne serait-ce que par le contexte de ces dernières années. En effet, la crise sanitaire a poussé de nombreuses entreprises à digitaliser leurs activités en urgence… Sans réellement maîtriser les bases de la cybersécurité.
Autant dire que les hackers s’en sont donnés à cœur joie dès les débuts de la pandémie ! Beaucoup d’entre eux ont même décidé « d’étendre leurs activités » en proposant des Ransomware-as-a-Service (RaaS). Comprenez par-là qu’ils délivrent un service permettant aux néophytes d’utiliser des ransomwares sans avoir la moindre notion de codage, généralement contre un abonnement. Ils proposent même un service client ! En résumé : c’est exactement le même principe que les Saas (« Software as a Service ») bien connus comme Saleforces par exemple, mais ils sont destinés aux cybercriminels débutants… On arrête pas le progrès !
Bref : entre les hackers aguerris et les « newbies » qui peuvent à présent pirater des entreprises en un claquement de doigt, la situation est vraiment devenue problématique pour les entreprises. Y compris pour les TPE et les PME françaises qui, contrairement à la croyance populaire, ne sont pas du tout à l’abri des cyberattaques. Bien au contraire même : elles y ont souvent confrontées et, compte tenu de leurs ressources modestes, les conséquences de ces cyberattaques sont plus lourdes pour elles que pour les grandes entreprises.
Pour couronner le tout, l’IA (Intelligence Artificielle) commence aussi à faire des siennes dans le domaine de la cybercriminalité…
L’IA, la nouvelle amie des hackers ?
Toujours d’après cette étude, les cybercriminels utilisent de plus en plus l’IA et le machine Learning pour perfectionner leurs attaques. Cela leur permet de créer des campagnes de phishing encore plus « indétectables » par exemple. Ou des ransomwares encore plus perfectionnés.
Même la célèbre IA ChatGPT, commence à être utilisée par les cybercriminels. En effet, plusieurs d’entre eux y font désormais appel pour perfectionner leurs emails frauduleux. Ils peuvent lui demander d’écrire un message à la manière d’un neurochirurgien qui communiquerait avec un collègue par exemple, pour pirater plus facilement des centres hospitaliers. Ou encore lui demander d’écrire des codes malveillants à leur place !
On semble donc se diriger vers une « démocratisation » de la cybercriminalité… Ce qui est loin d’être une bonne nouvelle pour les entreprises. Mais fort heureusement, des solutions existent pour se défendre contre les attaques des cybercriminels !
Comment les entreprises peuvent-elles se protéger contre les emails frauduleux et les autres cyberattaques ?
Vers un match IA contre IA ?
A en croire cette étude, les entreprises auraient tout intérêt à utiliser également des solutions de cybersécurité boostées à l’IA pour contrecarrer les plans des cybercriminels. D’ailleurs, beaucoup d’entre elles le font déjà !
En effet, près de la moitié des répondants (49%) utilisent déjà l’IA et le Machine Learning pour améliorer leur stratégie de cybersécurité. Et 43% des entreprises qui n’y font pas appel prévoient de le faire.
Ce qui semble être un choix judicieux car, appliquée au champs de la cybersécurité, l’IA peut :
- analyser finement et rapidement de grandes quantités de données, afin de repérer les schémas suspects pouvant signaler une cyberattaque ;
- générer directement une réponse face à une menace authentifiée. Exemples concrets : les bots gérés par une IA peuvent mettre directement en quarantaine les fichiers suspects. Ou même arrêter en urgence certains processus sur vos serveurs ;
- automatiser les tâches rébarbatives et répétitives, ce qui permet aux agents humains de se concentrer sur d’autres problèmes.
« L’IA est notamment utilisée dans le domaine de la cybersécurité pour analyser de grandes quantités de données afin d’identifier des schémas qui peuvent être le signe d’une attaque. Par exemple, une institution financière peut utiliser l’IA pour surveiller les transactions à la recherche d’une activité inhabituelle qui pourrait signaler une fraude. »
Source : IoT industriel
Bref : si l’IA est l’alliée des cybercriminels, elle a aussi tous les atouts pour devenir l’alliée des entreprises. D’ailleurs, celles qui l’utilisent déjà soulignent son efficacité pour :
- détecter plus précisément les menaces (50%) ;
- mieux bloquer les cyberattaques en tous genres (49%) ;
- corriger plus rapidement les cybermenaces (48%).
Bien former ses collaborateurs : un autre point essentiel pour contrecarrer les emails frauduleux
Opter pour une solution de cybersécurité « dernier cri », c’est bien. Mais force est de constater qu’une erreur humaine reste à l’origine de la plupart des attaques qui aboutissent. Après tout, il suffit qu’un salarié clique sur un lien dans un mail ou télécharge un fichier corrompu sur le net pour mettre en péril toute la sécurité de l’entreprise…
Un risque dont les répondants français semblent avoir particulièrement bien conscience d’ailleurs. La preuve ? 8 entreprises françaises sur 10 pensent qu’elles courent « le risque d’avoir des fuites de données involontaires causées par des employés imprudents ou négligents ». 1 quart des répondants a même déclaré qu’ils estimaient ce risque « extrêmement élevé » !
Source : infographie Mimecast 2023
Pour limiter ce risque, 98% des entreprises offrent une certaine formation en cybersécurité à leurs collaborateurs. Cela va de la simple initiation aux bonnes pratiques (ex. : toujours bien vérifier l’adresse de l’expéditeur, se méfier des mails contenant des fautes d’orthographe, vérifier la fiabilité d’un site internet avant de télécharger un fichier, etc. ) à des formations nettement plus étoffées.
Une bonne pratique, que nous vous encourageons également à adopter. Petit bémol en revanche : seulement 19% des entreprises françaises assurent la formation continue de leurs collaborateurs en la matière. C’est peu, quand on sait que les cybercriminels cherchent sans cesse à perfectionner leurs techniques. Nous vous conseillons donc plutôt de former régulièrement vos équipes aux nouvelles menaces « à la mode ». Comme les deepfakes audio et les attaques DDoS par exemple, qui font de plus en plus de dégâts en France.
Les outils de collaboration, une nouvelle porte d’entrée pour les cybercriminels ?
Si l’étude Mimecast s’intéresse surtout aux emails frauduleux, sachez qu’elle pointe aussi du doigt les outils de collaboration digitaux.
En effet, 38% des personnes interrogées déclarent que les attaques dues aux outils collaboratifs (ex. : Dropbox, Google Drive) sont en augmentation. De plus :
- 72% des répondants estiment que leur entreprise sera touchée par une attaque basée sur les outils de collaboration ;
- 75% d’entre eux déclarent également que les outils collaboratifs créent de « nouvelles failles de sécurité qu’il est urgent de combler ».
Ces entreprises ont-elles l’intention de se débarrasser de ces outils ? Absolument pas : ils sont beaucoup trop pratiques pour travailler en équipe. En revanche, elles sont 55% à se plaindre que les employés téléchargent et utilisent régulièrement de nouveaux outils collaboratifs AVANT de les faire contrôler ou approuver par le service informatique… Là encore, une formation aux bonnes pratiques de la cybersécurité semble nécessaire pour mettre fin à ce type de comportement.
Pour en savoir plus, n’hésitez pas à consulter l’étude complète « L’état de la sécurité des e-mails 2023 » de Mimecast.
Conseil bonus pour mieux défendre votre entreprise contre les emails frauduleux et les autres cyberattaques
Pour aller plus loin, nous vous recommandons également de consulter le site Cybermalveillance.gouv. L’état y délivre de nombreux conseils pratiques pour les entreprises confrontées à des cyberattaques ! Par exemple, vous pouvez y découvrir comment :
- prévenir et/ou combattre la défiguration de votre site web. A comprendre : la modification de l’apparence de votre site internet par des hackers. Hackers qui s’amusent d’ailleurs souvent à faire apparaitre la mention « owned » ou « hacked » sur vos pages dans ce genre de cas… En pratique, il s’agit d’une attaque très ennuyeuse car elle cause des pertes financières directes (vous ne pouvez plus rien vendre sur votre site tant que les pirates le contrôlent) et indirectes (les personnes qui ont vu que votre site a été piraté peuvent craindre pour la sécurité de leurs données personnelles et ne plus faire affaire avec votre entreprise) ;
- réagir en cas d’attaque par ransomware ;
- mieux protéger vos comptes contre les pirates informatiques, etc.
A noter que vous pouvez également vous rendre sur ce site pour déclarer une cyberattaque en cours et obtenir des conseils personnalisés. Si la situation est trop délicate, le site vous dirigera même vers un prestataire spécialisé en cybersécurité !
Pensez aussi à des formations en cybersécurité pour mieux protéger votre entreprise
Comme dit plus haut, l’idéal pour limiter les « erreurs humaines » est encore de sensibiliser et former l’ensemble de vos équipes contre les cybermenaces.
Pourquoi ne pas envisager une formation Initiation à la Cybersécurité de Niveau 1 par exemple ? Elle leur permettrait déjà d’acquérir toutes les bonnes pratiques pour éviter les pièges les plus fréquents (ex. : comment sécuriser ses mots de passe sur son ordinateur de travail, comment identifier les tentatives de phishing, etc.).
Cela étant dit, il existe aussi des formations en cybersécurité plus pointues : tout dépend de vos besoins ! Par exemple, la formation Implémenter une politique de Cybersécurité de Niveau 2 vise essentiellement à optimiser les compétences des DSI (Directeur/trices des Systèmes d’Information), Évaluateurs Sécurité et autres personnes chargées d’assurer la sécurité de vos systèmes d’information. Sécurisation des postes de travail, souscription d’une cyber-assurance, veille cybersécurité… Elle donne toutes les clés pour bien protéger votre entreprise.
Derniers conseils pour conclure :
- si vous optez pour une formation en cybersécurité, pensez au format e-learning. Apprendre en ligne, c’est plus rapide et plus pratique ! En plus, cela évite les frais de déplacements inhérents aux formations présentielles ;
- n’hésitez pas à vous renseigner sur les dispositifs de financement disponibles dans votre situation. Vous trouverez toutes les informations nécessaires dans notre guide des dispositifs de financement 2023 !
Vous pouvez également contacter directement nos conseillers si vous avez la moindre question sur une formation et les moyens de la financer !
