Rapport sur la sécurité des applications 2021 – Comment les bots malveillants et les API rompues mettent en danger les données commerciales européennes

Près des trois quarts (72 %) des grandes et moyennes entreprises admettent avoir subi au moins une violation de sécurité causée par une vulnérabilité au sein d'une application au cours des 12 derniers mois. Bon nombre d'entre elles ont même été touchées plusieurs fois.

C'est ce que révèlent les résultats d'une enquête mondiale menée par Vanson Bourne et Barracuda Networks en avril 2021 auprès de 750 décideurs dans le domaine de la sécurité des applications. Cette enquête a également dévoilé que les principaux défis auxquels sont confrontées les entreprises sont les attaques de bots, la détection des vulnérabilités, la sécurité des API et les attaques contre les chaînes logistiques.

Le passage au télétravail depuis le confinement imposé par la pandémie de COVID-19 et les difficultés que cela pose aux entreprises ont amplifié les opportunités de cyberattaques basées sur les applications, dont l'omniprésence et l'agressivité se sont encore renforcées au cours de l'année dernière.

En ce qui concerne les défis liés au développement et à la sécurité des applications, l'Europe excelle particulièrement dans un domaine : la neutralisation des menaces. Principalement pilotée par la France et la région DACH (Allemagne, Autriche, Suisse), cette stratégie est probablement due aux lois strictes de l'UE en matière de confidentialité et de conformité, telles que le Règlement général sur la protection des données (RGPD). Les sanctions du RGPD ont d'ailleurs fait la une des journaux en Allemagne à la fin de l'année dernière lorsque H&M, la chaîne de magasins de vêtements, a été condamnée à une amende de 35 millions d'euros pour stockage incorrect des données de ses employés.

Au cours des deux dernières années, la mauvaise sécurité des API a été citée comme l'un des principaux facteurs de réussite des violations de données par au moins 70 % des personnes interrogées dans le monde et même 77 % des personnes interrogées en Europe. Cela montre à quel point il est important pour les entreprises de protéger correctement leurs API.

Il n'est donc pas étonnant que la sécurité des API soit une préoccupation majeure pour la grande majorité des personnes interrogées lors de cette enquête. De nombreux participants déploient des API publiques pour leurs clients et leurs partenaires, et la plupart des entreprises orientent leur développement vers les API. Cependant, si les API accélèrent le développement de nouvelles versions et améliorent la convivialité des applications, elles offrent également un champ d'attaque de plus en plus vaste aux cybercriminels.

Les entreprises interrogées ont déclaré utiliser en moyenne 33 API publiques, ce qui offre des points d'attaque supplémentaires aux cybercriminels et leur donne un accès direct aux données sensibles relatives aux applications. Bien que la plupart des entreprises aient recours à plusieurs outils pour sécuriser le trafic de leurs API, ces derniers n'offrent pas une sécurité adéquate. En effet, si elles déploient déjà des protections multicouches pour les API telles que des firewalls, des passerelles et des solutions RASP, il reste encore beaucoup à faire.

Il ressort également de ces chiffres que la région DACH continue de privilégier les firewalls de nouvelle génération, qui n'offrent malheureusement qu'une protection très limitée aux applications Web et aux API. C'est d'ailleurs peut-être la raison pour laquelle des problèmes importants ont été signalés dans cette région de la zone euro.

Près des deux tiers (64 %) des personnes interrogées en Europe ont été victimes d'une violation par le biais d'une application Web au cours des 12 derniers mois. 75 % d'entre elles viennent d'Allemagne ou de la région DACH. Un peu moins de la moitié des participants européens ont déclaré que les attaques de bots visant les applications étaient la source la plus probable de violations de données réussies au cours des 12 derniers mois, contre 40 % des personnes interrogées dans la région Asie-Pacifique.

Et les attaques basées sur les bots ont été citées comme étant deux des trois principaux risques pour la sécurité des applications. Des entreprises de toutes les régions ont ainsi été touchées par le scraping, le spam, le carding et autres.

Bien que le spam par bots puisse être plutôt considéré comme une nuisance qu'un risque important, cette activité est souvent utilisée pour dissimuler une attaque plus ciblée. Cette stratégie a ainsi été utilisée dans le cadre de la violation massive qu'a subie TalkTalk. Une attaque par déni de service a en effet servi de manœuvre de diversion pour une injection SQL qui a entraîné la perte des données client.

Il existe de plus en plus de plateformes de vente en ligne sur lesquelles il est possible d'acheter des bots et les attaques automatisées lancées par ces bots passent par de nombreux vecteurs différents. Et si plusieurs types de bots sont utilisés en combinaison, ils ont d'autant plus de succès. Il est d'ailleurs intéressant de noter que la protection contre les bots et les passerelles API sont les deux principales solutions que les personnes interrogées prévoient de déployer dans les 12 prochains mois.

Malgré les mesures prises pour garantir que la sécurité soit prise en compte dès les premières étapes du développement logiciel, beaucoup craignent que ces mesures ne ralentissent inutilement le processus de développement des applications.

Compte tenu de la prévalence des attaques signalées par les participants à l'enquête, il ne fait aucun doute que des mesures plus efficaces doivent être prises pour protéger les applications contre les attaques de bots et les violations d'API. Les entreprises en sont conscientes et nombre d'entre elles recherchent activement de nouvelles solutions. Cependant, la sécurité des applications devient de plus en plus complexe lorsque d'autres solutions sont ajoutées, ce qui peut créer des problèmes de gestion pour les utilisateurs.

L'enquête a également révélé une autre tendance inquiétante : 28 % des personnes interrogées ont admis que les dernières violations de bots subies par leur entreprise étaient dues, entre autres, à une erreur humaine. Même si de nombreuses mesures de sécurité sont mises en place, les attaques de bots peuvent quand même réussir si les employés laissent derrière eux une vulnérabilité par erreur. Compte tenu de ces facteurs, la protection des applications contre les attaques de bots et visant les API doit être une priorité absolue pour les entreprises.

Une approche de la sécurisation des applications par plateforme permet d'obtenir une protection efficace aussi bien contre les menaces traditionnelles qu'émergentes, tout en restant simple à déployer et gérer. Les entreprises doivent donc faire appel à des fournisseurs tiers pour prévenir, détecter et identifier l'activité des bots afin de se protéger contre les attaques visant leurs applications. Sinon, elles seront inévitablement victimes d'une violation ou, dans le cas de la plupart des entreprises, d'une autre violation.

Barracuda peut aider votre entreprise grâce au service Web Application Firewall. Essayez-le gratuitement et programmez une démo.