En 2022, les acteurs de la menace vont faire monter la pression sur le cloud, la messagerie, les réseaux, etc.

Ces deux dernières années, les entreprises ont subi des perturbations sans précédent en raison de la pandémie. Nombre d'entre elles se sont vues obligées d'investir massivement dans le numérique pour permettre le télétravail généralisé et de nouvelles façons de procéder. Bien qu'essentiels, ces plans ont, par la même occasion, involontairement augmenté la surface d'attaque des entreprises. Et les acteurs malveillants n'ont pas attendu pour en profiter. Nous entrons dans la 3e année de COVID-19, et les entreprises cherchent à inclure la sécurité dans leur transformation numérique dès le départ, pour mieux gérer leurs risques.

Mais un problème subsiste : les acteurs malveillants se sont aussi adaptés à cette nouvelle réalité. Voici les tendances que les entreprises devraient prévoir en 2022 dans le monde des menaces.

Le piratage d'adresse e-mail professionnelle gagne du terrain grâce à l'IA

La compromission de la messagerie en entreprise (BEC) est la forme de cybercrime la plus rentable, selon le FBI. En 2020, les pirates auraient ainsi gagné près de 1,9 milliard de dollars par ce biais. Pourtant, de nombreuses entreprises réussissent à mieux détecter et atténuer cette menace, en faisant évoluer leurs processus métier pour vérifier deux à trois fois toutes les demandes de gros transferts de fonds, par exemple. C'est une très bonne solution, car les acteurs malveillants s'améliorent eux aussi dans l'usurpation de l'identité de fournisseurs, de PDG ou d'autres personnes, dans le but d'inciter le personnel à effectuer ces virements.

Pour cela, ils piratent les comptes e-mail des personnes susceptibles de demander ces transferts d'argent. Mais les technologies de « deepfakes » basées sur l'IA seront elles aussi de plus en plus populaires. Grâce à celles-ci, les pirates peuvent imiter la voix des personnes qui demandent le transfert par téléphone. Cette manipulation a déjà été utilisée dans plusieurs cas très médiatisés, comme le détournement de 35 millions de dollars l'année dernière dans une banque des Émirats arabes unis.

Le manque de compétences source de mauvaises configurations de cloud public

L'ampleur de la crise de compétences en sécurité est reconnue dans le monde entier. D'après les dernières estimations, 2,7 millions de professionnels en sécurité informatique seraient nécessaires pour combler ce manque sur le marché, notamment 199 000 en Europe et 33 000 au Royaume-Uni. Cette pénurie aura des conséquences bien après 2022. Elle ne doit pas être sous-estimée, car les entreprises continuent de bâtir leur infrastructure de cloud public pour pouvoir innover davantage, être plus efficaces et réduire leurs coûts.

En 2022, les dépenses totales pour les clouds publics devraient augmenter de 20 % par rapport à l'année dernière, pour atteindre 397 milliards de dollars. Mais sans les compétences appropriées en interne pour gérer cette infrastructure, les entreprises s'exposent à de mauvaises configurations. Selon ce rapport, les erreurs de configuration au sein des applications, des bases de données et des politiques de sécurité sont responsables des 2/3 des failles dans les environnements cloud entre le 2e trimestre 2020 et le 2e trimestre 2021. En 2022, cela ne devrait pas changer, à moins que les entreprises ne mettent en place des outils de conformité aux politiques automatisés et en continu.

Les réseaux industriels à risque au moment où le COVID-19 encourage plus de connectivité

Les fabricants ont été durement touchés par la pandémie,car les chaînes logistiques ont subi une pression sans précédent. Les services publics ont également fait l'objet d'une surveillance accrue en raison de la flambée des prix de l'énergie depuis l'année dernière. Ces deux secteurs, et d'autres encore, sont de grands utilisateurs de la technologie opérationnelle. Les propriétaires de bâtiments industriels cherchent de plus en plus à connecter leurs systèmes afin de mieux les gérer, de réduire leurs coûts et d'augmenter leur productivité face à la pandémie et à d'autres sources de pression.

Mais cela pose problème. En effet, lorsqu'ils connectent leur infrastructure, ils exposent également d'anciens systèmes à des attaques à distance. L'année dernière, nous avons vu de nombreux exemples de ce qui peut se passer quand la technologie opérationnelle et la technologie de l'information convergent sans que la sécurité n'ait été réfléchie. En août dernier, 14 vulnérabilités ont été détectées dans une pile TCP/IP, qui auraient pu mener à de l'exécution de code à distance, à un déni de service, à un vol d'informations et plus encore. Dans ces secteurs, les CISO doivent trouver des moyens plus judicieux de corriger les bugs, sans affecter la performance et la disponibilité des services, tout en mettant en place des moyens de contrôle supplémentaires comme les firewalls et la microsegmentation.

Les acteurs des ransomwares se diversifient pour arriver à leurs fins

Les extorsions de fonds combinées au vol de données caractérisent désormais la majorité des attaques par ransomware. Mais alors que les compagnies d'assurance demandent de plus en plus aux assurés d'améliorer leurs pratiques de sécurité, les acteurs malveillants chercheront des moyens innovants de compromettre les systèmes et les données en 2022. Les attaques sur les chaînes logistiques comme celle qui a frappé Kaseya seront de plus en plus utilisées. Si votre entreprise fournit des services numériques à de nombreux clients, prenez garde.

Alors que les entreprises améliorent la sécurité des e-mails et corrigent les failles dans leur infrastructure RDP et VPN, les acteurs malveillants chercheront des moyens inhabituels de s'infiltrer. Cela peut inclure SharePoint, OneDrive, Google Drive ou Google Docs. Nous avons déjà observé de nouvelles campagnes de phishing visant ces plateformes SaaS. Cela ne devrait pas s'arrêter là. Les entreprises doivent gagner en visibilité et en contrôle pour identifier et protéger leurs données sensibles et détecter les malwares avancés.

L'avènement du Zero Trust grâce au gouvernement américain

Le décret présidentiel de Joe Biden, passé en mai 2021, a déjà fait bouger les lignes. Largement salué par les professionnels de la sécurité, parmi ses propositions, l'une des plus intéressantes est de rendre obligatoire le Zero Trust dans toutes les agences fédérales. En 2022, nous devrions observer des répercussions positives de cette initiative au sein des agences et des fournisseurs fédéraux comme dans le secteur privé. Les conseils d'administration comprendront vite que lorsque ce principe est bien appliqué, il peut créer des avantages concurrentiels significatifs pour les entreprises.

Une fois de plus, tout réside dans les détails. Pour mettre toutes les chances de leur côté, les CISO doivent comprendre qu'aucun produit à lui seul ne peut fournir une solution toute faite pour le Zero Trust. Le Zero Trust doit être vu comme un voyage et non comme la destination. Mais c'est un parcours qu'ils peuvent commencer dès maintenant avec des solutions de sécurité existantes, comme les pare-feux basés sur les hôtes, la microsegmentation, la prévention contre les pertes de données, les contrôles d'accès en fonction du rôle, etc.

Cette liste n'est évidemment pas exhaustive. La clé pour optimiser les initiatives de cybersécurité au cours des 12 prochains mois sera de savoir s'adapter et de faire preuve de résilience.

E-book : Protégez-vous des ransomwares en quelques clics