IBM a publié les résultats de son étude annuelle (2019) menée avec l’institut Ponemon, relative au coûts des violations de données. Plus que les données brutes, ce sont leurs évolutions qui sont intéressantes.
207 jours
Dans l’étude 2018, le délais moyen constaté dans les entreprises, avant l’identification d’une compromission de leurs systèmes d’information, était de 167 jours.
Selon l’étude 2019, ce délais est désormais de 207 jours.
Parallèlement, un nombre croissant d’attaques a été porté à la connaissance du public, ou du moins, d’un public averti…
Moins de 10% de la réalité
On comprend mieux les propos tenus par Guillaume Poupard, directeur de l’ANSSI, tenus lors de l’ouverture du FIC 2020:
« En faisant la somme de tout ce que vous trouvez en sources ouvertes, en terme d’attaques, en terme de victime, etc, vous vous trouvez probablement à moins de 10% de la réalité… »
L’occasion de rappeler qu’aucun entreprise, aucun organisme n’est à l’abri d’une attaque ou d’une violation de donnée, quelque soit sa taille, la sensibilité des données qu’elle traite, ou le peu d’intérêt qu’elles sont censées représenter pour un pirate.
L’Advanced Persistent Threat (APT) : caractéristiques
Le chiffres cités ci-dessus confirment les tendances annoncées ces derniers mois : les attaquants se sont professionnalisés, et leurs process cherchent à rendre encore plus efficaces leurs attaques, en les rendant le plus silencieuses et profondes possibles, avant de déclencher les actions néfastes visibles par l’utilisateur.
Attaques par rebonds
Ce concept d’APT se répercute sur les échanges entre les entreprises entre elles, dans une relation de clientèle, de partenariat ou de sous-traitance.
Tant que l’attaque est silencieuse, l’attaquant va chercher à propager ses outils au delà du réseau de l’entreprise, et effectuer des attaques « par rebonds », pour, de sous-traitant en sous-traitant, remonter à sa cible prioritaire.
Il ne faut donc pas imaginer que le « peu d’intérêt » à priori de son Système d’Information le met à l’abri d’une compromission.