Les menaces web affectant les PME en 2019

Découvrez comment les menaces Web évoluent et deviennent de plus en plus intelligentes.

Dans quelle mesure mon entreprise est-elle sécurisée en ligne? Cette question nous préoccupe beaucoup lorsque nous cliquons pour ouvrir nos emails, faisons défiler diverses pages Web et consentons aux cookies qui suivent nos données.

Avec une audience Internet de plus de 4 milliards d’utilisateurs actifs, le Web est devenu un terrain de jeu pour les cybercriminels. Chaque jour, plus de 50 000 sites Web sont piratés dans le but de voler des informations privées, de conserver des fichiers contre rançon ou de collecter des données et de les utiliser pour diverses raisons. Les menaces Web deviennent de plus en plus prolifiques – lorsqu’une menace est circonscrite, d’autres commencent à apparaître et la remplace. C’est pourquoi il est important de rester informé sur les menaces les plus récentes.

Partout dans le monde, les hackers cherchent à trouver le moyen le plus simple et le moins cher d’extraire des données et d’obtenir le plus de renseignements possible sur les employés et les clients. De nouvelles technologies sont publiées tous les jours pour lutter contre les menaces en ligne. Pourtant, les hackers innovent et élaborent de nouvelles méthodes.
Examinons de plus près certaines des menaces Internet qui émergent cette année …

Formjacking
La popularité des ransomwares est en baisse, de près de 20% en 2018. Les pirates informatiques adoptent de nouvelles techniques, comme le «formjacking» ou le «capture de formulaires» récemment popularisé. Les cybercriminels recueillent des informations sur les cartes de crédit des clients en injectant un code malveillant dans les sites Web et en volant des données lorsque l’utilisateur accède à la page de paiement. Les petites et moyennes entreprises sont compromises soit directement, soit via des services de paiement tiers et des plug-ins.

Credential Stuffing
Les pirates ont renoncé la pratique traditionnelle consistant à essayer des centaines de combinaisons de mots de passe jusqu’à ce que l’accès soit autorisé. Le Credential Stuffing a pris sa place parce que c’est plus facile, plus rapide et très franchement – cela fonctionne. Les données comme le nom d’utilisateur et le mot de passe sont collectées et «intégrées» dans une énorme base de données que les pirates informatiques utilisent pour tester des sites Web et des services en ligne dans l’espoir de trouver une correspondance.
Les employés étant réputés pour utiliser les mêmes mots de passe ou des mots de passe associés sur plusieurs sites, y compris les boites mail professionnels, les entreprises risquent d’être victimes de Credential Stuffing visant à dérober les données clients des entreprises.

Cryptojacking
Ce type de menace Web est particulièrement dangereux, car la simple navigation sur un site Web malveillant peut ouvrir la porte à un cryptojacking sur un appareil. Aucun clic ou téléchargement n’est nécessaire. Le crypto-piratage se produit quand un cybercriminel utilise un ordinateur, un appareil mobile ou un serveur pour exploiter la crypto-monnaie.
Bien que les crypto-monnaies ne soient plus aussi populaires qu’auparavant, cette méthode «d’exploitation minière» est pratiquement gratuite pour les cybercriminels. Ils utilisent votre alimentation, vos périphériques et vos ressources pour générer la crypto-monnaie. Ce malware ne cherche pas à voler les données de l’entreprise, mais utilise plutôt vos ressources de calcul (CPU), ce qui peut s’avérer coûteux pour une PME.
Alors, comment ça marche? Eh bien, les mineurs de crypto malveillants piratent les sites Web à fort trafic en incorporant un petit code JavaScript qui exploite des crypto-monnaies telles que Bytecoin et Monero. Si votre appareil est piraté, vous remarquerez généralement que la batterie se décharge plus rapidement que d’habitude ou que la chaleur augmente à mesure que l’utilisation de la puissance du processeur augmente à l’intérieur de votre appareil. Certaines entreprises placent même des scripts d’extraction malveillants sur leurs propres sites Web pour augmenter leurs revenus en utilisant des sociétés tierces telles que Coinhive.

Phishing
Si vous connaissez bien les cybermenaces, cette tactique n’est pas une surprise. Si vous n’êtes pas familier, le phishing se produit lorsque des pirates informatiques envoient des courriers électroniques se faisant passer pour une entreprise ou une personne de confiance afin d’obtenir des données sensibles ou pour inciter l’utilisateur à cliquer sur un lien illicite.

Selon cette étude, « Un courrier électronique sur cent envoyé dans le monde entier a une intention malveillante, susceptible de contenir des logiciels malveillants, de mener une opération de phishing, de commettre une fraude ou toute autre activité menée par des cybercriminels. »
Les attaques de phishing peuvent être sournoises. 90% des e-mails de phishing n’incluent pas de pièce jointe ou de lien malveillant; leur but est de vendre l’idée que le courrier électronique provient vraiment d’une personne de confiance. Les deuxième et troisième courriers électroniques contiennent généralement les liens ou les pièces jointes à l’origine de programmes malveillants ou de violations du réseau. Les cybercriminels ciblent les PME en raison du manque de sécurité et de la possibilité d’avoir accès à des chaînes ou des réseaux d’approvisionnement plus vastes.

Comment protéger mon entreprise contre les menaces Web?
Obtenez un antivirus puissant! C’est la principale ligne de défense contre les menaces Web.
Maintenez le logiciel antivirus et toutes les autres applications à jour. Parfois, les mises à jour sont poussées vers les utilisateurs pour bloquer le code malveillant utilisé pour la cybercriminalité. Le logiciel de mise à jour et de correction est essentiel pour la santé de vos appareils et la sécurité de vos données.
Déployez une protection Web qui bloque les menaces Web avant qu’elles ne pénètrent dans votre réseau. Une passerelle Web sécurisée inspecte les pages Web à la recherche de code malveillant ou de contenu préjudiciable avant que celui-ci ne soit transmis à l’utilisateur.