Remote Support : TeamViewer
TeamViewer is a compact module that runs on your computer and allows EVOK technical services to provide remote technical assistance

Le social engineering est un terme utilisé pour désigner un large éventail d'activités malveillantes réalisées par le biais d'interactions humaines. Elle utilise la manipulation psychologique pour inciter les utilisateurs à commettre des erreurs de sécurité ou à donner des informations sensibles.

En comprenant bien les attaques de social engineering et en reconnaissant que la véritable protection contre ces attaques passe par le côté humain ET technologique, vous pouvez protéger votre organisation des conséquences de ces types de pratiques.

Table des matières

Quels sont les types d'attaques de social engineering les plus courants ?

Voici quelques-unes des techniques de social engineering les plus courantes :

Le Phishing

Le Phishing, aussi appelé hameçonnage, est la tactique de social engineering la plus courante.

Celle-ci se fait par le biais d’un e-mail, un site Web, une publicité sur internet ou une vidéo pour inciter ses victimes à agir. Les personnes derrière l’attaque se passent pour une banque, un service de livraison ou une agence gouvernementale, ou bien elles peuvent être plus spécifiques et sembler provenir d'un département de l'entreprise de la victime (ressources humaines, IT, commercial...). Au fait, les e-mails d'hameçonnage, souvent à l’air innocent, comportent un appel à l'action. On va donc demander à la victime de cliquer sur une URL, qui le mènera ensuite à un site Web frauduleux contenant un logiciel malveillant.

Bien que les utilisateurs les moins avertis sont conscients de l’existence de cette pratique, elle continue de faire des ravages. D’autant plus que les cybercriminels font beaucoup plus d’efforts pour faire en sorte qu’elles soient bien conçues et insoupçonnables.

A noter qu’il existe des variantes du phishing comme le Spear Phishing qui cible un groupe démographique, comme les employés d'une certaine entreprise ou les directeurs financiers d'un certain secteur. Il y a également le Whaling qui vise les cadres ou les employés de haut niveau.

Le Baiting

Le Baiting (traduit de l’anglais : l’appât) est également une forme assez courante de social engineering. Celle-ci consiste à attirer la victime avec une offre alléchante (musique ou jeux gratuits). L’attaquant espère que le mot de passe utilisé pour se connecter et obtenir les cadeaux numériques gratuits est un mot de passe qu'elle utilise sur des sites plus importants. Et s’il est unique, l'attaquant pourra quand même le vendre sur le dark web. En entreprise, une attaque de baiting est plus susceptible de consister en une clé USB laissée dans un endroit commun. Lorsque la personne la trouve et la branche sur le réseau de l'entreprise pour voir à qui elle appartient, elle télécharge un logiciel malveillant.

Le Pretexting

Comme son nom l’indique, le "pretexting" est une forme d'ingénierie sociale dans laquelle l'attaquant présente un prétexte pour gagner la confiance de la victime. Celui-ci peut se faire passer pour un investisseur, un représentant RH ou une autre source « légitime ». Le type de scénario joue sur généralement sur les émotions de la victime en utilisant un sentiment d'urgence ou l’effet de surprise.

Comment contrer les pratiques de social engineering ?

Afin de venir à bout des menaces de social engineering, il est indispensable de se focaliser à la fois sur le côté humain et le côté matériel/logiciel.

Commençons d’abord par le côté humain qui représente le point d’attaque des cyber criminels spécialistes en social engineering ! Dans ce sens, la formation à la sécurité reste le meilleur moyen d'éviter d'être victime d'une attaque. Dans le cadre des programmes de sensibilisation à la sécurité, les organisations devraient continuer à rappeler à leurs employés les pratiques courantes suivantes :

Passons maintenant au côté technologique ! Il est impératif de :

Et surtout, restez à l'affût de toutes les nouveautés en termes de cybersécurité en devenant un lecteur régulier de notre blog 😉 !

En Suisse et partout ailleurs dans le monde, la cybercriminalité rôde et menace votre sécurité informatique. Les organisations, quelle que soit leur taille, ont besoin d'un plan de cybersécurité en 2023. Pour les petites et moyennes entreprises (PME), le besoin est encore plus grand car les cybercriminels portent de plus en plus leur attention sur les petites organisations ces dernières années. Preuve à l'appui, on observe une augmentation de près de 200 % des incidents ciblant les entreprises de moins de 1 000 employés en 2022.

Heureusement pour vous, vous êtes entre de bonnes mains ! EVOK vous a concocté la checklist ultime pour solidifier votre cybersécurité en 2023. A cet effet, notre article de blog portera sur les zones à risque ainsi que les possibilités d'amélioration de la sécurité de vos opérations.

Table des matières

Quelles sont les menaces qui mettent en danger votre cybersécurité ?

Avant d'en arriver à la checklist, il est important de comprendre quels sont les dangers qui planent sur vous. Pour les PME en particulier, voici quelques-unes des menaces de cybersécurité en 2023 :

  1. Ransomware. Un type de malware chiffrant les données d'une victime et exigeant une "rançon" afin de rétablir l'accès aux fichiers et au réseau.
  2. Phishing. Voici un type de social engineering (ingénierie sociale). Celui-ci vise à inciter les utilisateurs à contourner les pratiques normales de cybersécurité et à divulguer des données sensibles telles que des noms d'utilisateur et des mots de passe, des informations sur des comptes bancaires, des numéros de sécurité sociale, des données de cartes de crédit, etc.
  3. Mauvaise configuration ou absence du pare-feu : Nul besoin de démontrer l'importance du pare-feu pour votre cybersécurité en 2023. Une configuration et une maintenance correctes du firewall (pare-feu) sont essentielles pour assurer la sécurité de votre réseau.
  4. Vos employés peuvent être le maillon faible. Le manque d'investissement dans les ressources se traduit par un environnement plus laxiste. La plupart des employés utilisent encore des mots de passe faciles à deviner pour accéder aux comptes de l'entreprise. Certains ne sont pas capables de repérer les signes de danger dans les attaques.

La checklist à suivre pour solidifier votre cybersécurité en 2023

Définition de politiques strictes de mots de passe

Des critères stricts pour les mots de passe des employés empêcheront tout accès non désiré. Essayez ce qui suit pour établir et maintenir des politiques de mots de passe forts :

Mise en place de restrictions sur le courrier électronique

Le courrier électronique est l'un des points d'entrée les plus courants pour les cybercriminels et les logiciels malveillants. Dans un premier temps, il faut bien choisir son hébergeur d'emails. Si vous êtes en Suisse, vous devez opter pour un outil de messagerie intégralement hébergée en Suisse. Si vous êtes par exemple ; une commune, un home médicalisé, un cabinet médical, une institution financière, vous devez vous conformer à loi Suisse sur la protection des données (Art 18 al. 1 LPrD). EVOK vous propose un hébergement Hosted Exchange®, 100% Suisse et sous législation Suisse avec réplication sur un géo-cluster dans ses datacenters de Fribourg et Lausanne.

En outre, il ne faut pas oublier d'utiliser des filtres anti-spam, le cryptage des messages et des logiciels antivirus pour empêcher les menaces d'atteindre leurs cibles.

Maintien de plusieurs couches de protection

Également connue sous le nom de multi-sécurité ou de défense en profondeur (DiD), l'idée ici est d'adopter une approche de la sécurité en couches avec des redondances intentionnelles - de sorte que si un système échoue, un autre prend immédiatement sa place pour empêcher une attaque. Le maintien de plusieurs couches de protection comprend les éléments suivants :

Pour en savoir plus sur la sécurité des réseaux, consultez notre offre d'audit informatique.

Combien de fois avez-vous entendu des phrases du style : « Vos employés sont le maillon faible de votre cybersécurité », « Les employés constituent le point d'accès majeur pour les cyberattaques », etc.. ? Vous savez, ce n'est pas forcément le cas. Au contraire, vos employés peuvent être le plus grand atout de la sécurité de l’entreprise. Bien évidemment, si vous les formez correctement aux politiques et pratiques de cybersécurité.

Découvrez comment les employés peuvent constituer le maillon faible de votre cybersécurité mais surtout comment y remédier pour en faire votre force. 

Sommaire :

Le rôle des employés dans la cybersécurité de l’entreprise 

Bien que les entreprises, en Suisse et partout dans le monde, protègent constamment leurs données contre les hackers, la plus grande menace de cybersécurité demeure le facteur humain. En effet, l'erreur humaine est presque à la source de toutes les violations de données signalées.

Les hackers ciblent les employés de première ligne et parfois même les PDG les plus diligents avec des attaques très sophistiquées et souvent personnalisées. Par exemple, le profil LinkedIn et le site Web de l'entreprise contiennent un trésor pour une attaque de spear-phishing. Tout y passe : les adresses électroniques, les domaines, les relations entre les employés et l’agenda du PDG par exemple.  

Ces détails facilitent la tâche des hackers, qui peuvent ainsi créer un point de contact crédible à exploiter. Pour eux, les employés peu méfiants représentent une cible facile, mais ce sont les clés qu'ils détiennent sur le réseau de l'entreprise qui constituent l'objectif ultime. 

Ceux ne sont là que quelques raisons pour lesquelles le facteur humain menace la sécurité de l’entreprise. En effet, en plus du Phishing et social engineering, il existe également les virus et malwares comme les ransomwares ou encore la perte accidentelle de matériel utilisé au travail (téléphone, ordinateur).

Les employés sont-ils réellement le maillon faible de la chaine de cybersécurité ?

Avant de prendre toute mesure, les entreprises doivent s'assurer que leurs employés font partie de leur cyberplanning pour renforcer leur résilience.

Tous les propos avancés suggèrent que les employés sont toujours à la tête des problèmes liés à la cybersécurité. Toutefois, il faut souligner que l’inconscience des employés à l’égard de la sécurité de l’entreprise relève de sa responsabilité et la culture au sein de l’organisation. Car si vous sensibilisez vos employés, ces derniers constitueront la ligne de défense la plus importante.

Comment faire de vos employés la force de votre cybersécurité ?

1. Sensibiliser et former vos employés 

Vos employés connaissent-ils les politiques de cybersécurité de votre entreprise ? Connaissent-ils les meilleures pratiques en matière de mots de passe ? Ont-ils des identifiants uniques qu'ils modifient régulièrement ? Sont-ils au courant des cybermenaces les plus récentes, comme les logiciels malveillants et les tentatives d'hameçonnage ? Par exemple, savent-ils quoi faire lorsqu'ils reçoivent un courriel conçu pour ressembler à celui de leur superviseur ? Dans un premier temps, il s’agit de sensibiliser les employés et de les former continuellement sur des questions de cybersécurité.

2. Instaurer la politique des mots de passe 

Les employés préfèrent souvent des mots de passe simples qu'ils peuvent facilement retenir, mais cela ne devrait pas être pratiqué. 

Mettez en place une authentification 2FA pour une couche supplémentaire de protection. De plus, pour que les employés génèrent ou créent des mots de passe forts dont même eux ne se souviennent pas, fournissez-leur des outils de gestion des mots de passe qui leur permettront de stocker et d'accéder rapidement à leurs comptes avec la fonction de sécurité supplémentaire. Aussi, il ne s'agit pas seulement d'avoir des mots de passe forts mais de les changer fréquemment. Voici encore une étape qui vous permet de protéger la sécurité de votre entreprise.

3. Utilisation des données et de l'Internet

Veillez à ce que des règles claires soient établies lorsque les employés sont connectés au réseau de l'entreprise. Prévoyez des politiques qui garantiront la protection des données de l'entreprise. Premièrement, précisez que les e-mails professionnels ne doivent être utilisés qu'au travail et que les e-mails personnels doivent être limités.

Deuxièmement, les dispositifs de stockage tels que les disques durs externes ou clés USB doivent être interdits, sauf s'ils sont fournis et/ou analysés par l'entreprise.

En outre, à moins que cela ne soit nécessaire pour le travail, vous pouvez limiter l'accès des employés aux sites web qui ne sont pas importants, comme les réseaux sociaux ou le streaming vidéo en ligne. Cela permettra aux employés d'éviter d'aller sur des sites Web frauduleux qui pourraient potentiellement s'introduire dans votre réseau.

4. Investir dans une solution de sécurité 

Aujourd’hui, les logiciels malveillants (malwares) exploitent des techniques avancées pour contourner les outils et équipements de sécurité réseau. Les effets sur une entreprise peuvent être désastreux, en particulier si le malware est un ransomware qui bloque votre ordinateur et vous empêche d’y accéder tant que vous n’avez pas payé de rançon.

Afin de garantir votre cybersécurité au plus haut point, EVOK est partenaire de plusieurs fournisseurs d’équipement de sécurité de dernière génération, dont Palo Alto Networks, Juniper Networks ou encore Fortinet. 

Nos collaborateurs certifiés sont en mesure d'élaborer une stratégie de sécurité qui reflète les les contraintes de votre profession. Nos équipements sécurisent vos applications, protègent vos identités, détectent et préviennent des menaces avancées, y compris dans du trafic chiffré. Ils utilisent des technologies de pointe comme le Machine Learning, qui permet de détecter des variations de menaces, de prédire les étapes suivantes de l’attaque et de mettre en place les protections en quasi temps réel.

A retenir

Il faut donc garder à l’esprit que toutes les entreprises sont des cibles potentielles pour les violations de données. Les hackers ne se soucient donc pas de votre secteur d'activité, de votre chiffre d'affaires ou du nombre d'employés. Ils ne s'intéressent qu'aux données que vous possédez et ne reculeront devant rien pour y mettre la main. C’est pour cette raison qu’en tant qu’entreprise, il vous incombe d’avoir une stratégie solide en matière de confidentialité des données et ce, même au niveau de vos employés. 

EVOK Fribourg

Head Office - Altern8 SA
Rte des Arsenaux 9
1700 Fribourg
Switzerland

EVOK Lausanne

Branch Office - Altern8 SA
Av. des Baumettes 7
1020 Renens
Switzerland

EVOK Genève

Branch Office - Altern8 SA
Grand-Rue 26
1204 Genève
Switzerland