Actu
« Cybercrime on Main Street » : dans l’édition 2024 de son rapport sur les menaces, Sophos détaille les cyber-risques auxquels sont exposées les PME
mars 2024 par Sophos
Sophos annonce la publication de son rapport annuel sur les menaces. Intitulée Cybercrime on Main Street, l’édition 2024 du rapport Sophos présente en détail les principales menaces auxquelles sont confrontées les petites et moyennes entreprises (PME*). Selon le rapport, près de 50 % des malwares détectés en 2023 sur ce segment du marché étaient des keyloggers, des spywares et des infostealers, c’est-à-dire des malwares que les cyberattaquants utilisent pour s’emparer de données et d’identifiants qui leur permettront d’obtenir des accès à distance non autorisés, d’extorquer leurs victimes, de déployer des ransomwares, etc.
Ce rapport analyse également les courtiers d’accès initial (IAB — Initial Access Brokers), une catégorie de cybercriminels spécialisés dans l’intrusion dans les réseaux informatiques. Comme le montre l’étude, ces courtiers utilisent le dark web pour promouvoir leurs services et leur aptitude à s’introduire dans les réseaux spécifiquement utilisés par les PME, ou pour vendre des données prêtes à l’emploi permettant d’accéder à des PME déjà infectées.
Découvert par l’équipe Sophos X-Ops sur un forum du dark web, ce message annonce l’accès à des cabinets comptables américains. D’autres exemples d’annonces publiées sur des forums cybercriminels et visant des PME par secteur d’activité et par pays sont présentés dans le 2024 Sophos Threat Report.
« La valeur des données en tant que monnaie d’échange a augmenté de façon exponentielle au sein de la communauté des cybercriminels. C’est tout particulièrement le cas des PME qui ont tendance à utiliser un service ou un logiciel unique pour l’ensemble de leurs opérations. Prenons l’exemple d’un groupe d’attaquants qui déploie un infostealer dans le réseau de sa cible en vue de subtiliser des identifiants et d’accéder au mot de passe du logiciel de comptabilité. Les agresseurs peuvent ainsi accéder aux données financières de l’entreprise ciblée et transférer des fonds vers leur propre compte », explique Christopher Budd, directeur des études Sophos X-Ops, Sophos. « C’est un fait, plus de 90 % des cyberattaques signalées à Sophos en 2023 impliquaient le vol de données ou d’identifiants, que ce soit par le biais d’attaques de ransomware, d’extorsion de données, d’accès à distance non autorisé ou tout simplement de vol de données. »
Les ransomwares demeurent la plus importante cybermenace pour les PME
Si le nombre d’attaques de ransomware visant des PME s’est stabilisé, cette menace n’en demeure pas moins la plus importante source de danger pour ce type de structure. Parmi les cas traités par l’équipe Réponse aux Incidents (IR — Incident Response) qui vient en aide aux entreprises confrontées à une attaque active, le gang de ransomwares LockBit est le plus dangereux, devant Akira et BlackCat (respectivement deuxième et troisième). Les PME étudiées dans le cadre de ce rapport ont également essuyé des attaques de ransomwares persistants ou moins connus, tels que BitLocker et Crytox.
Selon le rapport, les groupes de ransomwares continuent de modifier leurs tactiques, faisant notamment appel au chiffrement à distance et ciblant les fournisseurs de services managés (MSP — Managed Services Providers). Entre 2022 et 2023, le nombre d’attaques de ransomware ayant impliqué un chiffrement à distance — les attaquants utilisent un appareil non managé sur le réseau d’une entreprise pour chiffrer des fichiers résidant sur d’autres systèmes du réseau — a progressé de 62 %.
L’année dernière, l’équipe Détection et Réponse Managées (MDR — Managed Detection and Response) de Sophos a répondu à cinq cas impliquant des petites entreprises attaquées par un exploit visant le logiciel de surveillance et de gestion à distance (RMM — Remote Monitoring and Management) de leur MSP.
Les auteurs de menaces affinent leurs attaques d’ingénierie sociale et par usurpation d’identité (BEC — Business Email Compromise)
Selon le rapport de Sophos, les attaques par usurpation d’identité (BEC — Business Email Compromise) se sont positionnées à la deuxième place des attaques les plus souvent traitées par l’équipe IR en 2023, derrière les ransomwares.
Ces attaques et autres campagnes d’ingénierie sociale affichent un degré de sophistication de plus en plus élevé. Au lieu d’envoyer un simple courriel contenant une pièce jointe infectée, les attaquants ont davantage tendance à communiquer avec leurs cibles en échangeant des courriels conversationnels, voire en les contactant par téléphone.
Afin d’échapper aux outils traditionnels de lutte contre les spams, les cyberattaquants expérimentent actuellement de nouveaux formats pour envoyer leurs contenus malveillants : ils incorporent par exemple des images qui renferment le code infecté ou envoient des pièces jointes malveillantes au format OneNote ou d’archive. Dans l’un des cas traités par Sophos, les hackers ont transmis un fichier PDF contenant la vignette floue et illisible d’une « facture ». En fait, le bouton de téléchargement contenait un lien pointant vers un site web malveillant.
