Le rapport sur les violations de données montre plus de phishing, moins de transparence

Les compromissions de données officiellement déclarées sont en constante augmentation, mais les rapports qui s'y réfèrent ne sont pas aussi détaillés que nous le souhaiterions. Selon l'Identity Theft Resource Center (ITRC), au cours du premier trimestre 2022 l'« inconnu » était le principal vecteur d'attaque.

Cette organisation américaine à but non lucratif publie des rapports trimestriels et annuels qui ont pour objectif d'examiner l'étendue, la nature et les causes profondes des compromissions de données signalées aux États-Unis. Ces analyses s'appuient sur les médias, les agences gouvernementales, les entreprises spécialisées dans la recherche et les déclarations officielles des entreprises. Seules les compromissions officiellement déclarées par les entreprises américaines sont prises en compte dans cette étude et les données exposées qui ne sont pas protégées par une loi nationale sur les violations de données ont été exclues. L’ITRC mesure également l’impact d’une violation de données en tenant compte du nombre de victimes, et non des enregistrements.

Les deux rapports les plus récents sont celui du premier trimestre 2022, que nous avons déjà évoqué, et le Rapport annuel sur les violations de données de l'année 2021. Ces deux rapports laissent entrevoir des difficultés en termes de compromissions, de violations et d'expositions.

Types de compromission des données

Le National Institute of Standards and Technology (NIST) définit la compromission des données comme suit : il s'agit d'un terme technique qui désigne l'ensemble des événements au cours desquels des informations personnelles sont rendues accessibles à des tiers non autorisés et/ou à des fins non intentionnelles. Elle peut faire référence à l'un des éléments suivants :

• Violation de données : des tiers non autorisés accèdent à des informations personnelles depuis l'endroit où elles sont stockées. Il peut s'agir de données volées à partir d'un ordinateur de bureau, un serveur, un système de stockage dans le cloud ou tout autre support contenant des enregistrements numériques. Vous risquez d'être tenu(e) pour responsable d'une violation de données même si quelqu'un vole votre ordinateur portable, que vous perdez une clé USB ou qu'un de vos anciens collaborateurs refuse de vous rendre un appareil mobile. Les cyberattaques n'en sont pas la seule cause.


• Exposition des données : des informations personnelles sont accessibles à des tiers non autorisés, mais il n’y a aucune preuve de violation. Elle est généralement due à une mauvaise configuration ou à des vulnérabilités qui laissent des failles dans la sécurité autour des données. Les expositions ne sont pas considérées comme des violations de données sauf s'il existe des preuves qu’un tiers non autorisé y a accédé.


• Fuite de données : collecte rendue publique de données à faible risque qui peuvent être utilisées pour établir le profil d’une personne. Cette collecte n’inclut pas d’informations sensibles telles que les numéros de sécurité sociale (SSN), mais elle comporte suffisamment de données pour créer une attaque efficace d'ingénierie sociale ou de phishing contre la victime. Cette catégorie a été ajoutée au rapport de l’ITRC en 2021.

Les compromissions de données occupent une place grandissante

Le rapport du premier trimestre établi par l'ITRC suggère que 2022 sera à nouveau une année prolifique pour les cybercriminels. En effet, les compromissions de données officiellement déclarées ont augmenté pour la troisième année consécutive, ce qui se traduit par une augmentation de 14 % par rapport au premier trimestre 2021. Le phishing et les ransomwares sont les deux principales sources identifiées, bien que la majorité des déclarations concernant les violations n’identifient pas la cause profonde. L’ITRC estime que ce manque de transparence au cours du premier trimestre « représente une hausse de 40 % du nombre total de causes de violation inconnues pour l’ensemble de l’année 2021».

Il y a eu 1 862 compromissions de données en 2021, le nombre le plus élevé jamais enregistré depuis 2003. Au total, 1 189 constituaient des violations de données et 88 % d'entre elles sont la conséquence directe de cyberattaques. Le phishing et les attaques connexes ont fait de l'e-mail la principale cause de violations de données en 2021.

Barracuda offre des solutions globales de sécurité des e-mails qui permettent de protéger votre entreprise contre les 13 types de menaces par e-mail. Consultez notre site web pour en savoir plus sur Barracuda Email Protection.

Si vous avez aimé cet article, consultez Les trois types de menaces par e-mail les plus difficiles à détecter par Olesia Klevchuk.