Cybercriminalité : quel danger pour les PME ?

La Corée du Nord qui fait vaciller Sony, des hackers russes qui prennent le contrôle de TV5 Monde… La cybercriminalité prend parfois des tournures spectaculaires, mais la plupart du temps, les cyberattaques sont bien plus discrètes (il faut en moyenne deux cents jours pour les détecter), et visent des cibles beaucoup plus « accessibles » : les PME.

PME : une cible de choix pour les cyberattaques

Si les grandes organisations ont les moyens humains et financiers d’assurer leur cybersécurité, la réalité des PME est toute autre. Les petites et moyennes entreprises, davantage orientées vers leur cœur de métier, ne prennent pas suffisamment en compte le risque croissant de cyberattaque, souvent par manque de culture informatique, pensant qu’elles ne représentent pas une cible intéressante pour les hackers. Erreur : cette vulnérabilité des PME constitue leur principal attrait auprès des pirates informatiques, qui y concentrent le tiers de leurs cyberattaques selon les chiffres de Symantec. Nouvelles contraintes, coût supplémentaire : en rechignant à s’emparer de cette menace (une PME sur deux ne se protège pas selon un sondage Ipsos), les entreprises de taille moyenne s’exposent à la multitude des procédés utilisés par les hackers. Leur but : voler des données bancaires ou confidentielles de l’entreprise, mais aussi des données sensibles de ses clients.

Le top 4 des cyberattaques qui visent les PME

La plus répandue est le spearfishing, ou hameçonnage ciblé,  une attaque par email qui vise un nombre restreint de collaborateurs d’une entreprise. L’email usurpe l’identité d’une personne de confiance, et son contenu – bien documenté sur l’actualité de l’entreprise et le profil du destinataire – amène ce dernier à ouvrir une pièce jointe malveillante… Le hacker peut alors s’infiltrer sur le poste de l’entreprise, et accéder à des données confidentielles.

L’attaque du trou d’eau (watering hole) repose elle aussi sur une surveillance préalable des collaborateurs d’une entreprise. Elle consiste à identifier un site web fréquenté régulièrement par ces derniers, pour le piéger avec un virus placé dans le code HTML, qui permettra ensuite de s’infiltrer sur les postes de ses visiteurs.

Le ransomware (ou rançongiciel) s’appuie sur un logiciel malveillant qui crypte les données d’un poste. A l’allumage du poste, le collaborateur tombe sur un écran impossible à fermer, qui réclame un paiement pour débloquer l’ordinateur. Ce logiciel arrive sur le poste via un email comportant une pièce jointe malveillante.

Une cyberattaque peut aussi viser à saboter le site web d’une entreprise, notamment un site e-commerce, pour le rendre inaccessible. Ce type d’attaque, outre le fait qu’il entache la réputation de l’entreprise, la prive de son chiffre d’affaires le temps de la restauration.

Les bonnes pratiques pour la cybersécurité des PME

La CGPME et l’ANSSI (agence nationale de la sécurité des systèmes d’information) ont édité en mars dernier un guide des bonnes pratiques en matière de sécurité informatique à destination des PME. Sur 44 pages, il dicte 12 recommandations « d’hygiène numérique ». Parmi ces règles de bon sens :

• complexifier ses mots de passe et les modifier régulièrement (idéalement tous les six mois) ;
• mettre à jour régulièrement ses logiciels (elles contiennent des corrections de failles de sécurité) ;
• effectuer des sauvegardes régulières des données de l’entreprise (quotidiennes ou hebdomadaires) ;
• se montrer vigilant avec les pièces jointes et les liens contenus dans les emails reçus ;
• s’assurer de la sécurité des sites internet lors de téléchargements ou de paiement en ligne (ex : https) ;
• réglementer le BYOD (l’utilisation professionnelle par les collaborateurs de l’entreprise de leur équipement numérique personnel).

La vigilance accrue en interne passe aussi par une surveillance des signaux anormaux :

• ralentissement des postes ;
• redémarrages intempestifs ;
• connexion à des horaires inhabituels sur le système d’information de l’entreprise ;

Une PME doit aussi faire un effort pour sécuriser ses postes (antivirus, antispam, firewall, système de détection des intrusions), ce qui limite drastiquement les risques liés à la cybercriminalité.

Carte bancaire sans contact : des risques… limités

La généralisation des cartes bancaires permettant le paiement sans contact offre de nouvelles opportunités aux hackers : récupérer les données d’une CB depuis un smartphone via la technologie sans fil NFC. De quoi permettre à un pirate informatique de passer commande sur un site e-commerce de manière frauduleuse ? Non, si le paiement en ligne est sécurisé par les 3 chiffres du cryptogramme, situés au dos de la CB, et qu’un hacker ne peut pas récupérer sans les avoir vu de ses propres yeux… D’où l’importance de proposer un paiement en ligne sécurisé sur son site e-commerce. Et pour éviter de se faire pirater sa propre carte bancaire sans contact, il existe des étuis de protection bloquant les communications NFC « non désirées ».

Partenaire des entreprises du territoire roannais, Exco Hesio est prescripteur en matière de cybersécurité. Votre expert-comptable à Roanne vous accompagne dans votre transformation numérique, ce qui inclut la mise en place de process afin de lutter contre les risques liés à la cybercriminalité qui guettent chaque TPE et PME.