Il apparaît que 70% environ des cyberattaques utilisent une combinaison de ces techniques et font une victime secondaire, ce qui les rend plus complexes.

Autre fait troublant mis en lumière par le rapport, il apparaît que de très nombreuses vulnérabilités connues restent en l’état, tout simplement parce que les correctifs de sécurité recommandés ne sont pas installés. Beaucoup d’entre elles remontent à 2007, soit 8 ans en arrière.

Comme pour les éditions précédentes du rapport, les chercheurs de Verizon soulignent ce qu’ils appellent le « déficit de détection », le délai entre le moment où la brèche apparaît et sa détection. Dans 60% des cas, les cybercriminels n’ont besoin que de quelques minutes pour mettre à mal les barrières de sécurité des organisations victimes.

Pourtant, il suffirait bien souvent d’adopter une approche plus vigilante de la cybersécurité pour empêcher ces compromissions.

« Nous continuons de constater des écarts notables dans la défense des organisations », déclare Mike Denning, vice-président des activités de sécurité de Verizon Enterprise Solutions. « Rien ne permet de se protéger à 100% c’est certain, mais il suffirait que les entreprises fassent preuve d’un peu plus de vigilance dans la gestion des risques pour obtenir de bien meilleurs résultats. C’est une constatation récurrente depuis plus de dix ans que nous publions notre série de rapports ‘Data Breach Investigations Report’. »

L’édition de cette année propose un état des lieux complet de la cybersécurité et, pour la première fois, des pratiques de sécurité mobile, des technologies de l’Internet des objets et des conséquences financières d’une compromission.

Il apparaît qu’en général les menaces sur les terminaux mobiles sont exagérées et que le nombre des brèches de sécurité exploitées, toutes plates-formes mobiles confondues, est négligeable.

Pour la première fois cette année, le rapport s’intéresse à la sécurité des communications entre machines, ou M2M (machine-to-machine), et notamment aux incidents où des dispositifs connectés ont servi de point d’entrée pour compromettre d’autres systèmes, et à la cooptation de dispositifs de l’IoT au sein de botnets (réseaux d’ordinateurs privés infectés par du code malveillant et contrôlés à distance sans que le propriétaire le sache) pour des attaques par déni de service.

Les organisations qui déploient ces dispositifs intelligents de nouvelle génération vont devoir faire de la sécurité une priorité.

Verizon développe un tout nouveau modèle d’évaluation du coût des compromissions de données

Les analystes Verizon spécialistes de la sécurité ont utilisé un nouveau modèle pour évaluer l’impact financier d’une compromission de sécurité à partir de l’analyse de près de 200 demandes d’indemnisation dans des dossiers de cyber responsabilité. Ce modèle démontre le lien direct entre le coût de chaque dossier de vol et le type des données volées ainsi que le nombre de dossiers compromis, de même qu’une grande amplitude entre le coût le plus élevé et le plus faible (ex. vol de numéros de carte de paiement, de dossier médical, etc.).

Par exemple, le modèle prédit que le coût d’une compromission portant sur 10 millions de dossiers peut être compris entre 2,1 millions et 5,2 millions de dollars (dans 95% des cas) et qu’en fonction des circonstances, il peut atteindre 73,9 millions de dollars. Pour une compromission de 100 millions de dossiers, le coût sera compris entre 5 millions et 15,6 millions de dollars (dans 95% des cas) et peut atteindre jusqu’à 199 millions de dollars.

« Ce nouveau modèle révolutionnaire d’estimation du coût d’une compromission est très fiable, même s’il y a toujours une marge d’amélioration », déclare Mike Denning. « Nous savons désormais qu’il coûte toujours plus cher de subir les conséquences désastreuses d’une compromission que de se doter de mécanismes de défense adaptés. »

Dans 96 % des cas, on retrouve les mêmes neuf scénariis de base

Les chercheurs en sécurité de Verizon montrent que neuf types d’attaques sont responsables de 96 % des 80 000 incidents de sécurité recensés cette année et que leur fréquence varie d’un secteur d’industrie à un autre. Cette conclusion du rapport “2015 Data Breach Investigations Report” de Verizon a été présentée l’an dernier pour la première fois. Elle est centrale en ceci qu’elle va permettre de mieux cibler la lutte contre les cybermenaces et aider les entreprises à identifier leurs priorités en matière de sécurité.

Voici les neuf scénariis de menaces les plus fréquents identifiés en 2014 : erreurs diverses du type envoi d’un e-mail au mauvais destinataire ; programmes malveillants/crimeware (logiciels qui visent à prendre le contrôle du système) ; malveillances internes/abus d’autorisation ; perte/vol physique ; attaque d’apps Web ; attaque par déni de service ; cyberespionnage ; intrusions sur le point de vente ; et vol/clonage de carte bancaire.

Trois des neuf scénariis de menaces reviennent dans 83 % des incidents de sécurité recensés cette année (contre 76 % en 2014).

Il est urgent d’agir

Plus une entreprise met longtemps à découvrir l’existence d’une faille, plus les cybercriminels ont le temps de s’introduire et de faire des dégâts. Dans plus d’un quart des cas de compromission recensés, cela prend plusieurs semaines voire des mois à l’organisation victime pour contenir la brèche.

Le rapport 2015 s’accompagne d’informations détaillées et de recommandations d’amélioration sur les 7 thèmes suivants :
– La nécessité d’une vigilance accrue
– Les employés comme première ligne de défense
– Ne conserver que les données que l’on a besoin de connaître
– Installer rapidement les correctifs
– Chiffrer les données sensibles
– Utiliser un système d’authentification multifactorielle
– Ne pas négliger la sécurité physique

La série des rapports Data Breach Investigations Report se fonde sur les dossiers d’infractions avérées

L’édition 2015 marque la huitième année de publication du rapport, avec plus de 2 100 infractions avérées et quelque 80 000 incidents de sécurité signalés. En dix ans, ce sont plus de 8 000 compromissions et près de 195 000 incidents de sécurité qui ont été recensés. Le rapport DBIR s’intéresse aussi à des incidents de sécurité qui n’ont pas occasionné de fuite de données, afin de mieux appréhender le paysage de la cybersécurité. 70 organisations du monde entier ont contribué aux efforts d’analyse de Verizon par l’apport de données.

Téléchargement du rapport

L’édition intégrale du rapport 2015 peut être téléchargée à cette adresse : http://vz.to/dbirinfo