Les attaques d'applications Web augmentent à mesure que les cybercriminels continuent de se professionnaliser

C'est un fait connu de tous : les acteurs malveillants sont de plus en plus malins, plus organisés et plus ingénieux. Les attaques contre les applications Web, des menaces basées sur les API aux dénis de service distribués (DDoS), sont de plus en plus nombreuses et sophistiquées. S'y attaquer de front doit devenir la priorité pour les entreprises qui prennent leur transformation numérique au sérieux.

Et pour cause, une sérieuse violation ou panne au niveau de la couche Web applicative pourrait suffire à faire dérailler les projets dont les entreprises dépendent de plus en plus pour générer des revenus et fidéliser leurs clients. Il est temps de passer à l'attaque.

Les pirates des attaques DDoS sont plus malins

Nous entendons parler des attaques DDoS depuis des années. Mais il n'a jamais été aussi facile de les lancer. En effet, des données de l'Agence nationale d'application de la loi au Royaume-Uni révèlent que des enfants de neuf ans ont réussi à déployer ce genre d'attaque grâce à des outils vendus comme des services. Les attaques contre les applications Web contribuent grandement à l'augmentation globale des campagnes DDoS.

Bien que ces attaques soient plus longues à mener, elles sont également plus difficiles à détecter pour les organisations ciblées et requièrent plus de ressources pour être détectées que les attaques ciblant les réseaux. De plus, les acteurs malveillants les utilisent de manières très variées, notamment des attaques directes avec rançons et des tactiques de « triple extorsion » conçues pour forcer les victimes de ransomware à payer. Cela pourrait changer le calcul des risques DDoS pour certains responsables en sécurité dans les entreprises de taille moyenne.

Attaques sur les applications web

Les applications Web sont également une cible majeure des acteurs malveillants car elles peuvent mener directement à des données clients ou internes lucratives. La majorité de ces attaques étaient dues en 2021 aux attaques par injection et aux « contrôles d'accès défaillants ».

Le contrôle d'accès défaillant est l'un des risques pour la sécurité des applications répertoriés dans l'OWASP Top 10. Celui-ci comprend les infractions « sur les emplacements des ressources prévisibles », dans lesquelles un pirate est capable de deviner ou trouver par force brute des noms courants de répertoires de fichiers, et par conséquent d'accéder à des informations potentiellement sensibles. Les attaques par injection comprennent l'injection SQL et des attaques similaires. Toutes les organisations devraient être vigilantes face à ces menaces. Il n'existe pas un seul secteur dans lequel les applications web ne jouent pas un rôle majeur pour les clients ou les employés.

Les API dans le viseur

Un nouveau rapport met en lumière la menace grandissante envers les API. Les API se retrouvent de plus en plus au cœur de l'entreprise numérique, alors que davantage d'organisations connectent leurs applications web, données et appareils en interne et avec des systèmes tiers pour créer des expériences plus riches pour les utilisateurs. L'étude révèle que 95 % des organisations ont rencontré un incident de sécurité sur une API au cours des 12 derniers mois, 12 % ayant même subi une moyenne de plus de 500 attaques par mois.

Parmi les principales préoccupations des personnes interrogées, on retrouve le risque que les API soient obsolètes (43 %), suivi du risque que les incidents mènent à un piratage de compte (22 %). Alors que les innovations technologiques ne cessent de progresser, les équipes de sécurité devraient également tenir compte des anciennes versions qui sont peut-être moins sécurisées, comme ces API « zombies ». Il est tout aussi important d'avoir de la visibilité sur ce pan de l'environnement informatique que de comprendre que les API sont une voie de plus en plus utilisée pour avoir un accès non autorisé aux données. Selon les prédictions de Gartner, d'ici 2022, les API deviendront le vecteur d'attaque le plus fréquent pour les violations de données.

En quoi cela vous concerne

Alors que la cyberguerre s'intensifie en Ukraine, toutes les organisations doivent renforcer les maillons les plus faibles de leur infrastructure de sécurité car c'est là que les pirates frapperont. Même si le conflit ne se propage pas en une guerre en ligne plus générale entre la Russie et les alliés occidentaux de l'Ukraine, les organisations devraient se concentrer en priorité sur l'atténuation des risques sur les applications web, en particulier parce qu'elles investissent de plus en plus dans le numérique.

Qu'est-ce que cela signifie en pratique ? Nous vous conseillons de :

• Faire plus attention aux API en tant que vecteur d'attaque, en comprenant où se situent les failles dans votre protection et en les refermant via des pare-feux d'applications web et d'autres outils.


• Comprendre l'évolution de la dynamique des DDoS, notamment la menace émergente de la triple extorsion et l'essor des attaques DDoS avec rançon. Les organisations devraient faire appel à des spécialistes pour atténuer l'impact de ce genre d'attaque sur la couche web applicative.


• S'efforcer d'intégrer la sécurité au processus de développement des applications et des API, ainsi que de protéger ces environnements contre les attaques de tiers.

Il est capital d'agir de façon proactive. En effet, un incident grave pourrait ralentir le déploiement de nouvelles applications, grâce auxquelles les entreprises sont en mesure de répondre rapidement aux exigences du marché, par de nouvelles expériences clients. Dans ce contexte, la sécurité n'est plus accessoire, elle doit être intégrée à chaque projet comme prérequis essentiel pour l'innovation et le succès numériques.

Protégez vos applications avec une plateforme simple