Cibles Cyber Privilégiées Selon le Rapport DBIR de Verizon 2022
Le Verizon 2022 Data Breach Investigations Report (DBIR) a révélé que, contrairement à ce que beaucoup nous disent, 75 % des violations proviennent de tiers externes. Les informations personnelles identifiables (PII) et les identifiants d’authentification sont les sources de données les plus ciblées, souvent exploitées lorsque les organisations envoient, partagent et reçoivent des communications numériques sensibles.
Le rapport a également constaté que, lors de nombreuses attaques, les données privées—souvent régies par des réglementations en matière de conformité—étaient la cible des acteurs malveillants. De plus, les humains jouent un rôle crucial dans de nombreuses violations réussies suivies dans le rapport : la cause de 82 % peut être reliée à des identifiants volés, du phishing, une utilisation abusive ou une erreur pure et simple.
La discussion suivante explore les liens entre ces éléments et les communications de contenu sensible.
Résumé des Incidents de Données et des Constatations de Violations dans le Rapport
L’année écoulée a été extraordinaire à bien des égards en matière de cyberattaques et a été riche en histoires bien médiatisées sur les victimes (ceux qui ont été attaqués) ainsi que sur les acteurs malveillants (ceux qui ont mené l’attaque). Les organisations de nombreux secteurs industriels—finance, santé, énergie et services publics, gouvernement, fabrication, sciences de la vie, et autres—ont été touchées par des attaques de ransomware, de supply chain, et autres. La supply chain reste dans le collimateur des cybercriminels et des États voyous, et pour de bonnes raisons ; les violations réussies se multiplient par 10, 100, voire 1 000 lorsque les acteurs malveillants accèdent non seulement au réseau, aux applications et au contenu de l’organisation piratée, mais aussi à ses partenaires de la supply chain en aval.
Les identifiants, le phishing, l’exploitation des vulnérabilités et les botnets sont les quatre voies liées aux incidents et violations, selon les recherches de Verizon. Aucune organisation ne peut éviter ces quatre éléments, et tout plan de gestion des risques de sécurité doit inclure ces quatre domaines. Les identifiants, de loin, sont en tête de liste, représentant environ 50 % des incidents et violations totaux, suivis par le phishing à un peu moins de 20 %, l’exploitation des vulnérabilités à moins de 10 %, et les botnets à moins de 1 %.
En ce qui concerne les vecteurs d’attaque, le ransomware de Verizon est resté un problème sérieux en 2022, augmentant de près de 13 %—une augmentation aussi importante que celle des cinq dernières années combinées (pour une augmentation totale de 25 % actuellement). Les logiciels malveillants ont été un pilier des DBIR de Verizon depuis leur création, et 2022 n’a pas fait exception, avec plus de 30 % des violations de données causées par des logiciels malveillants.
En termes de types d’attaques par ransomware, les identifiants volés et les logiciels malveillants étaient les principales préoccupations. L’une des raisons pour lesquelles les cyberattaquants aiment le ransomware est qu’ils n’ont pas besoin de rechercher des types de données spécifiques et des données de valeur particulière, mais ils doivent simplement désactiver les fonctions critiques de l’organisation en chiffrant les données associées. Quant aux types d’applications ciblées par le ransomware, 40 % concernaient des logiciels de partage de bureau, et 35 % concernaient des e-mails.
Sans surprise, à la lumière de toutes les nouvelles de l’année écoulée, les trois quarts des violations externes se sont produites parce que les attaquants ont exploité un maillon de la supply chain. En même temps, 62 % des incidents impliquant une intrusion dans le système étaient liés à la supply chain. Enfin, bien que les cybercriminels soient souvent motivés par l’argent, les acteurs menaçants des États-nations, dans la plupart des cas, ont des objectifs différents, évitant les demandes de rançon et conservant simplement l’accès.
Ce que Ciblent les Acteurs Malveillants—Serveurs de Messagerie, Applications Web et Types de Contenu
Les deux types de données les plus souvent ciblés par les cybercriminels et les nations voyous sont les identifiants et les données personnelles. Comme les identifiants peuvent être utilisés pour se faire passer pour des utilisateurs légitimes sur un système ou une application, ils sont une cible de choix pour les acteurs malveillants. Ils leur offrent également de la discrétion ; ils restent indétectés jusqu’à ce qu’ils attaquent. Le vol d’identifiants peut avoir un effet à long terme, les identifiants piratés restant sur le darknet pendant de longues périodes—un « cadeau qui continue de donner ».
Les données personnelles, ou informations personnelles identifiables (PII), sont une cible pour les acteurs externes malveillants ainsi que pour les initiés malveillants. Pour ces derniers, les données médicales ont été prises dans 22 % des cas. Et avec le secteur de la santé en tête de tous les autres secteurs en matière de violations de données, cette statistique a du sens.
Temps Nécessaire pour Découvrir les Vulnérabilités et les Violations de Données
Le DBIR a également étudié la durée moyenne qu’une attaque a pris avant d’exploiter avec succès les données. Il a été quelque peu surprenant de découvrir que de nombreuses violations comprenaient seulement une poignée d’étapes. Le phishing, le téléchargeur et le ransomware étaient les méthodes d’attaque les plus fréquentes, avec cinq tactiques différentes ou plus rarement employées. Ici, les attaquants semblent graviter vers les tactiques qu’ils connaissent le mieux et s’y tenir. De plus, Verizon a constaté que plus un attaquant prend d’actions, plus un défenseur a d’opportunités de répondre, de détecter et de corriger une violation avant que les données ne soient exfiltrées. Cependant, Verizon note simultanément que le risque est plus élevé, car il y a plus de points de vulnérabilité potentiels. En réponse, la gestion des risques cyber devrait être au premier plan de la stratégie de sécurité de chaque organisation pour maintenir les informations sensibles et empêcher l’exploitation des vulnérabilités.
Applications Web et Serveurs de Messagerie
Les applications web sont une cible de choix pour les cyberattaquants, représentant environ 70 % des incidents de sécurité. Les identifiants volés sont un moyen principal d’y accéder (plus de 80 %). Parmi les attaques d’applications web, les PII et les informations médicales protégées (PHI) étaient au premier plan ; 69 % des violations de données impliquaient des PII, tandis que les données médicales (qui incluent les PHI) étaient incluses 15 % du temps.
Ensuite, en ce qui concerne les actifs ciblés, viennent les serveurs de messagerie (environ 20 %). Lorsqu’ils sont ciblés, 80 % ont été compromis avec des identifiants volés et 30 % ont été compromis en utilisant une forme d’exploitation. Bien que ce 30 % puisse ne pas sembler un nombre extrêmement élevé, le ciblage des serveurs de messagerie utilisant des exploits a considérablement augmenté depuis l’année dernière, où il ne représentait que 3 % des violations.
Beaucoup pourraient penser que ces types d’attaques sont en grande partie le fait de criminels entreprenants qui arrosent Internet à la recherche d’identifiants faibles. Cependant, les États voyous utilisent cette même approche—c’est peu coûteux avec un rendement élevé, avec 20 % des violations de données attribuées à l’espionnage.
Erreurs de Configuration : Les PII en Première Ligne
Les erreurs de configuration ont représenté environ 10 % des violations de données—et les employés sont les principaux coupables. Les données cloud sont à l’avant-garde des vulnérabilités. Cela n’est pas surprenant, car les déploiements cloud sont souvent mis en place sans contrôles d’accès appropriés. La mauvaise livraison de données privées est également un facteur, avec des e-mails envoyés au mauvais destinataire dans de nombreux cas. Enfin, les PII appartenant aux clients sont le plus souvent impliquées dans ces incidents et violations de données.
Déterminer si un incident de sécurité a entraîné une violation de données est en réalité difficile dans 90 % des cas ; cela est dû au fait qu’il est difficile de déterminer où les données ont été compromises. Parmi les constatations du DBIR, le secteur de la santé représente une grande part des organisations avec des violations de données. L’équipe de recherche de Verizon suppose que des réglementations de conformité plus strictes pour le traitement des PHI rendent beaucoup plus probable que les organisations signalent de tels incidents.
Importance des Contrôles de Gouvernance et de la Sécurité pour Atténuer les Violations de Données
La gestion des risques tiers est un domaine où les organisations doivent porter une attention particulière. Un examen des principaux vecteurs d’action dans le DBIR révèle que les tiers (partenaires) sont en tête de liste. Instituer la bonne gouvernance pour la sécurité et la conformité est crucial ici. Le contenu sensible, qui inclut les PII, les PHI, les dossiers financiers et les informations confidentielles de l’entreprise, doit avoir le bon suivi de gouvernance et les contrôles en place.
Avec cela à l’esprit, les organisations doivent contrôler qui accède aux informations, qui peut collaborer et apporter des modifications, à qui elles peuvent être envoyées, et par quels canaux de communication et appareils elles sont envoyées. Un échec à le faire peut créer un risque tiers significatif, avec un impact qui s’étend à travers la supply chain. À ce sujet, en cas de violations de la supply chain, les victimes secondaires de la violation peuvent rapidement croître—se multipliant exponentiellement pour affecter des centaines ou des milliers d’organisations et des centaines de milliers ou des millions d’individus.
Avec la plateforme Kiteworks, les organisations peuvent créer des réseaux de contenu privé, définissant et gérant les politiques de sécurité et de conformité de manière centralisée pour le partage, l’envoi et la réception numériques d’informations privées. Les contrôles de gouvernance peuvent inclure qui peut accéder à ces informations, qui peut y apporter des modifications, à qui elles peuvent être envoyées, et plus encore. Et en employant une approche de sécurité en profondeur et un zéro trust défini par le contenu, Kiteworks utilise une sécurité renforcée et un chiffrement clé pour verrouiller l’accès au contenu privé lorsqu’il est échangé numériquement, quel que soit le canal de communication utilisé—messagerie électronique, partage de fichiers, transfert sécurisé de fichiers, formulaires web ou interfaces de programmation d’applications (API).