Qu'est-ce qu'un Data Breach (violation de données) ?

Quel type de données est à risque ?

N'importe quelle donnée peut être divulguée lors d'une violation, mais les attaquants veulent des données ayant une valeur monétaire. Les données financières ont beaucoup plus de valeur que les simples noms et adresses électroniques. Néanmoins, des données financières combinées à des informations personnelles pourraient rapporter des millions de dollars aux attaquants si un nombre suffisant d'enregistrements était divulgué.

Un attaquant qui cible une organisation exfiltre autant de données que possible pour s'emparer des informations les plus précieuses. Le type de données détermine le bénéfice monétaire d'une violation de données. Par exemple, les identifiants bancaires volés pour un compte contenant au moins 2 000 dollars valent 120 dollars chacun, mais les identifiants PayPal volés pour des comptes sans solde ne valent que 14 dollars chacun. (Source : Dark Web Price Index 2021)

Quelles sont les cibles d'une violation de données personnelles ?

Les informations relatives aux clients ne sont pas la seule cible d'un attaquant. Les données violées peuvent conduire à des attaques plus sophistiquées. Par exemple, des informations d'identification volées lors d'une campagne de phishing peuvent conduire à un accès privilégié et autorisé à des données sensibles.

Les cibles d'une violation de données comprennent :

Les mots de passe faibles : Même si les mots de passe sont cryptés, des algorithmes de chiffrement obsolètes ou des mots de passe vulnérables aux attaques par dictionnaire peuvent être utilisés dans de futures menaces.
Des informations d'identification volées : Le phishing, le spear phishing et le whale phishing ciblent les utilisateurs pour leur voler des informations d'identification et d'autres informations sensibles.
Actifs compromis : L'accès à des informations d'identification, le déploiement de malware ou l'exploitation d'applications offrant un accès non autorisé peuvent permettre à un attaquant d'exfiltrer silencieusement des données.

Fraude à la carte de crédit : Les skimmers et le phishing ciblent les utilisateurs pour obtenir leurs informations de carte de crédit.
Informations d'identification et accès de tiers : L'accès par l'intermédiaire d'un tiers, tel qu'un fournisseur ou un entrepreneur extérieur, est une stratégie pour les attaquants.
Appareils mobiles : La sécurité des points finaux est plus importante que jamais, car les appareils mobiles peuvent être une passerelle vers le réseau local et vos données.

Quels sont les dommages causés par un Data Breach ?

Contrairement à d'autres attaques, un Data Breach (ou violation de données) ne peut être corrigé par un simple correctif ou une mise à jour logicielle. Il déclenche généralement des efforts pour ajouter une infrastructure de cybersécurité supplémentaire au réseau, mais même dans ce cas, le mal est fait. La réponse à un incident après un Data Breach implique des efforts immédiats de reprise après sinistre tels que la réponse à l'incident et le confinement, l'éradication, l'analyse de la cause profonde, la détermination des données divulguées, les clients affectés, les préoccupations de conformité et la communication avec les clients affectés.

La gravité d'une violation de données dépend de la cible visée. Si elles peuvent être dévastatrices pour les individus, les violations de données peuvent coûter des millions aux organisations et avoir un impact négatif sur leurs revenus à long terme. Les trois principales entités touchées par les Data Breachs sont les suivantes :

Les entreprises : Une organisation victime d'une violation de données peut perdre de l'argent en litiges et en réparations, mais le dommage le plus considérable concerne la réputation de la marque. Target, Equifax et Yahoo sont bien connus pour leurs Data Breachs, qui leur ont coûté des millions de dollars en perte de confiance des consommateurs et en dommages à la marque.
Le gouvernement : Les militaires, les secrets commerciaux du gouvernement et le personnel sous couverture sont en danger si un attaquant compromet l'infrastructure gouvernementale.
Les particuliers : Pour les particuliers, le risque monétaire le plus important est le vol d'identité. Les données personnelles peuvent être vendues sur les marchés darknet ou utilisées immédiatement pour ouvrir des lignes de crédit, acheter des produits ou créer des comptes frauduleux.

Types de violations de données

Lorsque vous pensez à une violation de données, vous pensez généralement à un pirate informatique qui compromet un réseau et vole des données. Cependant, les violations de données peuvent résulter de plusieurs actions différentes. L'erreur humaine, par exemple, est l'un des facteurs les plus importants dans les violations de données.

Voici quelques types de violations de données personnelles :

Les informations d'identification stockées dans le code source : Les développeurs commettent une erreur courante en laissant des informations d'identification ou des clés d'accès dans des dépôts de code. Les attaquants recherchent les dépôts publics sur GitHub pour les trouver.
Systèmes d'authentification ou d'autorisation exploités : Les applications présentant des vulnérabilités ou toute infrastructure de cybersécurité présentant des bogues pourraient permettre à un attaquant d'obtenir un accès non autorisé.
Écoute clandestine : Le trafic non crypté sur un réseau est vulnérable à l'interception et à l'écoute clandestine.
Erreur humaine : Une négligence ou un employé mécontent peut divulguer des données, intentionnellement ou accidentellement, en se laissant prendre au piège du phishing ou de l'ingénierie sociale.
Piratage : Si un attaquant accède aux appareils des utilisateurs ou compromet l'infrastructure interne, un logiciel malveillant peut être installé pour voler des données.
Menaces internes : Les employés actuels ou licenciés pourraient envoyer intentionnellement des données à un tiers ou les voler pour leur propre gain financier.
Menaces physiques : Les organisations sont vulnérables au vol de données lorsque les ressources locales, les appareils des utilisateurs, les ordinateurs portables de travail et d'autres actifs physiques sont volés.

Méthodes malveillantes utilisées lors des violations de données

Les attaquants utilisent plusieurs méthodes pour compromettre les réseaux et voler des données. Les méthodes malveillantes utilisées par les attaquants sont les principales raisons pour lesquelles une infrastructure et des stratégies de cybersécurité sont nécessaires. Ces stratégies malveillantes varient en fonction de la cible et des objectifs de l'attaquant.

Voici quelques méthodes malveillantes populaires :

Le phishing : le phishing comporte des sous-stratégies telles que le whale phishing et le spear phishing. De nombreux incidents importants de violation de données ont commencé par un courriel de hameçonnage ciblant les employés et les incitant à divulguer leurs informations d'identification.
Force brute : Une organisation peut être vulnérable aux attaques par force brute lorsqu'un attaquant accède à des données cryptées ou envoie un nombre illimité de tentatives d'authentification. Ces attaques sont généralement automatisées et peuvent être détectées avec une infrastructure de cybersécurité appropriée.
Les malwares : Cette méthode contient une vaste collection d'applications malveillantes, notamment des ransomwares, des virus, des rootkits, des chevaux de Troie, des logiciels espions, des keyloggers et des bots.

Comment un Data Breach se produit-il ?

Les violations de données étant très rentables, les attaquants recherchent des informations personnelles identifiables (PII). Les petites entreprises pensent souvent qu'elles ne sont pas une cible, mais elles peuvent être une cible plus importante qu'une grande entreprise dotée d'une infrastructure de cybersécurité efficace. Les petites entreprises doivent donner la priorité à la cybersécurité, sinon elles pourraient être la prochaine victime d'un important Data Breach.

Les violations de données personnelles peuvent provenir de :

Vulnérabilités du système : Les logiciels obsolètes sont l'une des principales erreurs qui permettent aux attaquants d'exploiter les vulnérabilités et d'accéder aux données.
Mots de passe utilisateur faibles : Des mots de passe utilisant des expressions courantes, des informations personnelles ou des mots de passe faiblement construits et vulnérables aux attaques par force brute peuvent permettre un accès non autorisé.
Téléchargements par effraction : Les utilisateurs qui ont un accès illimité à l'internet peuvent installer accidentellement un logiciel malveillant en visitant une page malveillante avec un navigateur ou un système d'exploitation vulnérable.
Les logiciels malveillants ciblés : Dans le cas de campagnes de logiciels malveillants ciblés, un attaquant utilise le courrier électronique ou l'ingénierie sociale pour inciter les utilisateurs à ouvrir des fichiers contenant un code malveillant ou à télécharger des logiciels malveillants à partir d'un site web malveillant.

Statistiques sur les violations de données

Les incidents de cybersécurité sont en hausse depuis des années, mais les incidents sont montés en flèche après l'introduction par COVID-19 de la main-d'œuvre à domicile. Les organisations ont été contraintes de faire appel à des travailleurs à distance pour tous les aspects de la productivité de l'entreprise, et ce phénomène a entraîné une augmentation des violations de données. Les utilisateurs ont stocké des données sur leurs appareils personnels, et les organisations ont ouvert les ressources du cloud et les infrastructures internes accessibles par VPN.

Bon nombre des dernières statistiques sur les violations de données sont dues à la pandémie, mais voici quelques statistiques actuelles qui ont eu un impact sur la cybersécurité et les entreprises :

L'impact COVID-19 des travailleurs à distance a augmenté les coûts de violation de données de 137 000 $ par incident.
76 % des organisations ont indiqué dans une enquête d'IBM que les travailleurs à distance augmentaient le temps nécessaire pour identifier et contenir une menace.
Les experts dénombrent 192 000 attaques connues liées au coronavirus, et les chiffres continuent d'augmenter.
Les attaques visant les informations relatives aux patients ont augmenté de 58 %.
Les exploits et compromissions d'applications Web ont doublé depuis 2019 et représentent 43 % des attaques.
Les prêts offerts par le gouvernement américain pour aider les petites entreprises ont impacté 8000 d'entre elles d'une violation de données.
Symantec estime que 4800 sites web sont compromis chaque mois par le clickjacking.
Verizon estime que 71 % des violations de données sont motivées par des raisons financières.
En 2019, 36 % des violations de données provenaient de cybercriminels organisés.

Il faut en moyenne 80 jours pour contenir une menace.
Les organisations de santé ont eu le plus de mal à contenir les menaces et ont mis en moyenne 329 jours pour les contenir.
Microsoft Office conserve 48 % des pièces jointes de fichiers malveillants.
Le coût moyen d'un Data Breach dans le monde est de 3,86 millions de dollars.
Le secteur des soins de santé paie les coûts les plus élevés après une violation de données, soit 7,13 millions de dollars par incident.
La plupart des coûts engendrés par un Data Breach surviennent un an après l'incident.
Un employé du service clientèle d'un institut financier a accès à 11 millions de dossiers, ce qui le rend vulnérable à l'ingénierie sociale et au phishing.
80 % des violations impliquent des attaques par mot de passe par force brute ou des informations d'identification volées.
En 2020, les attaques par déni de service distribué (DDoS) ont augmenté de plus de 278 %.

Coût d'un Data Breach

Le coût d'un Data Breach a considérablement augmenté l'année dernière, principalement en raison de l'augmentation d'une main-d'œuvre à domicile. En 2015, le coût d'un Data Breach était en moyenne de 3,8 millions de dollars. Aujourd'hui, le coût d'une violation de données est de 14,8 millions de dollars.

Proofpoint a fait des recherches sur les coûts associés à une violation de données et a constaté que les coûts collatéraux à long terme peuvent persister après les coûts initiaux. La perte de productivité du personnel chargé de la réponse aux incidents et des autres employés en raison des temps d'arrêt se traduit par un gaspillage estimé à 63 343 heures pour gérer un Data Breach.

Le courrier électronique est un vecteur courant des attaques, et une compromission coûte aux grandes entreprises 6 millions de dollars par an. Certaines attaques utilisent le courrier électronique et l'ingénierie sociale pour inciter les employés à payer des factures et des transferts d'argent frauduleux pour un montant estimé à 1,17 million de dollars.

Les ransomwares continuent d'évoluer et peuvent paralyser une organisation. Beaucoup de ces attaques partent de messages électroniques. Certaines organisations paient la rançon, mais sur les 5,66 millions de dollars dépensés annuellement, seuls 790 000 dollars proviennent du paiement de la rançon.

Le coût moyen de résolution d'une violation de données pour les organisations est de 807 506 dollars, soit une augmentation spectaculaire par rapport aux 338 098 dollars de 2015. Le vol d'identifiants par phishing explique une grande partie de ces coûts. Dans l'ensemble, les logiciels malveillants et l'exfiltration de données ont coûté environ 137 millions de dollars.

Les plus grands Data Breach récents

Les cyberincidents se produisent tous les jours, mais certains se distinguent plus que d'autres. Les violations de données impliquant des millions d'enregistrements ont l'impact le plus important sur les consommateurs et l'entreprise visée.

Voici quelques-unes des dernières violations de données de grande ampleur :

En raison d'une mauvaise configuration du stockage en cloud, un site Web de réservation de voyages a divulgué 10 millions d'enregistrements contenant des informations sur les clients d'un hôtel, notamment des numéros d'identification nationaux, des informations sur les cartes de crédit, des noms complets et des adresses électroniques.
Une entreprise de divertissement et de technologie a téléchargé par erreur 5 Go de données, divulguant 1,4 million d'informations sur le personnel et les utilisateurs après un exploit OAuth.
7,4 milliards d'enregistrements pour un journal en France ont été divulgués, contenant des données sur le personnel et les abonnés après exfiltration du serveur de stockage en cloud d'un fournisseur de confiance.

Comment prévenir une violation de données ?

La prise en compte de toutes les menaces, y compris l'erreur humaine, est un travail à plein temps et difficile pour les petites entreprises, mais les organisations peuvent suivre des normes spécifiques et utiliser des stratégies communes pour stopper les attaques.

Il suffit d'un seul maillon faible pour entraîner une violation de données. Les stratégies doivent donc renforcer tous les aspects de l'organisation, y compris la formation et l'éducation du personnel en matière de cybersécurité.

Voici quelques bonnes pratiques pour protéger les données contre les Data Breach :

Toujours installer la dernière version du logiciel, en particulier les correctifs de sécurité.
Utiliser un cryptage sécurisé pour le trafic réseau et le stockage.
Mettre les appareils à niveau avec les dernières mises à jour du système d'exploitation.
Appliquer des règles si les utilisateurs sont autorisés à apporter leurs propres appareils.
Utiliser des politiques de mot de passe pour imposer la longueur et la complexité des mots de passe.
Sensibiliser les employés aux signes avant-coureurs du phishing, de l'ingénierie sociale et d'autres attaques.

Comment la cyber assurance peut-elle aider ?

La cyber assurance aide à compenser les coûts en couvrant les dommages monétaires après un incident tel qu'un virus ou un déni de service (DoS). Même avec la meilleure infrastructure de cybersécurité en place, les organisations ne seront jamais à l'abri de tout risque. L'assurance cybersécurité aidera à payer les coûts après un incident, en particulier lorsque l'organisation est responsable de la perte de données. Par exemple, les organismes de santé peuvent encourir de lourdes amendes en cas de perte d'informations personnelles identifiables (PII).

Les contrats d'assurance diffèrent d'un assureur à l'autre ; les organisations doivent donc lire les conditions avant de signer. Par exemple, un assureur peut exiger que l'organisation soit conforme et dispose d'une infrastructure de cybersécurité spécifique pour rester assurée.

Comment Proofpoint peut vous aider

Proofpoint propose de nombreuses stratégies et plans de cybersécurité qui répondent aux besoins spécifiques de votre entreprise. Que ce soit pour rester à jour avec les dernières exigences de conformité ou pour organiser une formation de sensibilisation des employés à la sécurité (Security Awareness Training), Proofpoint veille à ce que vos données soient protégées contre les logiciels malveillants, les attaquants, l'espionnage d'entreprise, les ransomwares, le phishing et les nombreux risques associés aux actifs numériques.

Guide du marché des solutions de prévention des fuites de données 2021 de Gartner®

Ce rapport fait le point sur les tendances du marché et vous guide dans le choix d'une solution DLP.

Protection des informations médicales avec Proofpoint

Protégez les données des patients contre les menaces internes, les fuites de données et l'extension du cloud.

Rapport: Voice of the CISO 2022

Les attaques d'envergure ciblant les secteurs de la santé et de l'approvisionnement en carburant et en denrées alimentaires ont mis les RSSI en état d'alerte. Le blocage des cybercriminels n'est qu'une partie du problème.

E-book: Redéfinir la prévention des fuites de données

Cet eBook s'intéresse aux difficultés croissantes associées aux environnements informatiques et de travail en évolution rapide. Il explique pourquoi les approches DLP traditionnelles ne sont pas à la hauteur de la tâche et propose une feuille de route pour une stratégie DLP adaptée au fonctionnement des entreprises modernes.

Proofpoint Managed Services pour la protection des informations

Les Proofpoint Managed Services pour la protection des informations (MSIP, Managed Services for Information Protection) mettent à votre disposition des experts hautement qualifiés pour gérer votre programme de protection des données.

E-book sur la confidentialité des données

Téléchargez notre guide pour élaborer un programme de protection des informations centré sur les personnes et tenant compte des risques qui protège les données personnelles, préserve votre conformité et aide vos utilisateurs à rester productifs.