Blog > Vulnérabilités critiques

Pourquoi les pirates informatiques ciblent-ils les PME ?

Vous vivez encore dans le déni et pensez que la cybercriminalité est seulement le problème des autres? Détrompez-vous. Encore aujourd'hui, plusieurs responsables informatiques et gestionnaires pensent que les pirates informatiques visent uniquement les grandes et prestigieuses entreprises. Mais faites une petite recherche, vous verrez une toute autre réalité. C'est faux et risqué de penser ainsi. Laissez-nous vous expliquer pourquoi.

Les chiffres parlent d’eux-mêmes

Débutons par quelques statistiques impressionnantes publiées par Devolutions dans un excellent blog en mai dernier :

  • Deux tiers des PME ont subi une cyberattaque au cours des 12 derniers mois.
  • 80 % des PME déclarent que l'outil malicieux qui les a infecté a réussi à contourner leur logiciel antivirus.
  • Le coût moyen pour remettre une PME sur pied après une cyberattaque est de 690 000$.
  • Pour une PME lors d’une cyberattaque, l’arrêt des systèmes dure en moyenne plus de 8 heures.
  • Un courriel sur 323 reçus dans une PME est malveillant; Pour mettre le tout en perspective, un seul employé reçoit en moyenne 120 courriels par jour.

Même si vous ne le voyez pas dans les nouvelles, les statistiques actuelles démontrent que plus de 50 % de toutes les attaques visent les petites et moyennes entreprises (PME). Voici trois raisons pour lesquelles les pirates informatiques ciblent les PME.

Cibles d'opportunité \ Peu d’investissement en cybersécurité

La première chose à savoir est que la grande majorité des attaques sont générées de manière aléatoire par des robots à la recherche de vulnérabilités dans votre système. Votre entreprise n'a donc pas besoin d'être LA cible d'un groupe de cyberpirates pour que vous soyez piraté. Vous pouvez simplement être la victime d'un jeu de chiffres aléatoires. À prendre note : dans ce jeu, tout le monde est touché, et si vos mesures de défenses sont faibles, vous perdez à coup sûr.

Alors que les grandes entreprises disposent d’une équipe dédiée à la sécurité informatique et ont les moyens d’avoir des mesures de cybersécurité efficaces, les PME ont tendance à avoir des budgets plutôt limités, voire inexistants pour la cybersécurité, ce qui rend leurs réseaux vulnérables. Au total, près de 43 % des PME aux États-Unis et au Royaume-Uni n'ont pas de plan en matière de cybersécurité pour faire face à une cyberattaque. Et une proportion encore plus importante de PME n'a pas de personnel spécialisé dans la cybersécurité. Voyez-vous le problème? Sans moyen de défense ou avec des mesures insuffisantes, les attaques automatisées peuvent pénétrer facilement dans votre réseau et installer des logiciels malveillants, exfiltrer des données sensibles ou tout simplement faire d'importants ravages.

La cybercriminalité est payante \ Les PME détiennent aussi des données sensibles

Vous vous demandez peut-être, mais qu’est-ce qu’un pirate pourrait bien vouloir de mon entreprise? Sachez qu’il n'est pas nécessaire d'avoir des tonnes d’adresses IP pour être une cible intéressante. En fait, plusieurs PME détiennent des informations sur des clients qui valent beaucoup en ligne sur le marché noir. Selon un rapport publié par Verizon, pour les pirates informatiques, la motivation première derrière les fuites de données en 2020 était monétaire (86%), et seulement 14 % pour l'espionnage, la vengeance et la malveillance.

Toutes les informations nominatives (PII pour Personally Identifiable Information), ou autrement dit toutes les données pouvant servir à identifier un individu sont très recherchées par les pirates. On parle notamment de numéros d’assurance sociale, de carte de crédit, ou même des données médicales. À titre d’exemple, des informations bancaires peuvent être vendues pour 35$ par dossier, ou encore, les informations sur les permis de conduire américains pour 550$ par permis. Les données sur un passeport canadien peuvent atteindre 1 500$ et les plus grosses primes sont pour les informations personnelles d’assurances (comme la HIPAA aux États-Unis).

Le facteur humain

Quel que soit le montant de votre investissement en matière de sécurité informatique, si votre personnel n'est pas sensibilisé à la cybersécurité, vous courez un risque élevé d’être piraté. Sachez-le, votre personnel est votre maillon faible en matière de cybersécurité.

Oui, les pirates informatiques vont essayer de trouver les vulnérabilités de votre réseau. Mais, trop souvent encore, ce sont les employés qui ne sont pas suffisamment sensibilisés aux risques d'hameçonnage ou à la gestion des mots de passe qui leur ouvrent la porte. Près de 55 % des incidents de piratage sont dus à l'erreur humaine.

Un rapport publié cette année par le groupe Aberdeen a révélé qu'une formation pratique de sensibilisation à la sécurité permettait de réduire les risques d'ingénierie sociale jusqu'à 70 %. En tant que PME, investir dans la formation à la sécurité devrait donc être l'une de vos priorités.

C’est le temps d’agir

En 2019, le coût moyen associé à une cyberattaque était de 200 000$. Un chiffre suffisamment élevé pour mettre de nombreuses PME en faillite. Si votre parc informatique n’est pas protégé, vous risquez de devenir une statistique. Vous n'êtes peut-être pas une cible précise, mais ne vous faites pas d'illusions : vous êtes une cible.

Quelques recommandations

  • Réalisez un audit de sécurité, élaborez un plan et sensibilisez vos employés aux risques de sécurité, en particulier à l'hameçonnage
  • Mettez en place un ou plusieurs outils de détection des intrusions (comme le service de Détection et Réponse Gérées StreamScan) qui vous permettent d'avoir une visibilité à 360 degrés de votre réseau
  • Appliquez les correctifs (patch) de sécurité!
  • Ne comptez pas que sur les pare-feu, les antivirus et les outils de gestion des événements de sécurité (SIEM) qui vous protège uniquement contre les (anciennes) menaces connues
  • Surveillez les communications de votre réseau pour identifier les cyberattaques qui vous ciblent. La surveillance vous permet d'identifier les mesures de protection efficaces à mettre en place
  • Utilisez l'authentification à plusieurs facteurs (AMF) pour l'accès à distance
  • À la place des mots de passe classiques, utilisez plutôt des phrases secrètes (minimum 20 caractères de long, pas de mots du dictionnaire, etc.)
  • Mettez en place un contrôle d'accès robuste : les comptes d'utilisateurs devraient se verrouiller automatiquement (par exemple après 10 minutes d’inactivité) et après 3 ou 5 tentatives de connexion échouées
  • Utiliser le VPN pour l'accès à distance au lieu du RDP
  • Vérifiez régulièrement si vos informations sont en vente sur le Dark Web
  • Utilisez l'authentification multifactorielle (MFA) pour accéder à votre courriel dans le nuage (Office365, etc.).

Découvrez comment notre service de Détection et Réponse Gérées (MDR) peut protéger votre réseau

Nous sommes convaincus qu'après avoir vu notre solution MDR (alimentée par notre technologie de surveillance du réseau CDS) en action, vous ne voudrez plus laisser votre réseau sans protection. C'est pourquoi nous vous proposons un essai gratuit de 30 jours qui comprend :

  • Une séance d'information
  • Configuration du CDS
  • Preuve de concept gratuite de 30 jours
  • Rapport d'activité du premier mois et recommandation

Courriel: Freetrial@streamscan.ai

Téléphone : 1 877-208-9040