Les 4 phases d'une cyberattaque et où une PME peut l'arrêter

Plus que vous ne l'imaginez. Sur LinkedIn, il trouve des noms et des fonctions ; sur le site, des adresses email ; dans la presse, les fournisseurs ; dans les offres d'emploi, les logiciels internes. Il y ajoute les identifiants de collaborateurs divulgués lors de fuites d'autres services. Résultat : une attaque ciblée : le message du fournisseur habituel, l'appel de la banque, la tentative de connexion avec le mot de passe réutilisé. Rien de tout cela ne laisse de trace visible.

Le frein : ôter toute valeur aux identifiants et réduire la surface publique. Un mot de passe différent par service, stocké dans un gestionnaire de mots de passe, rend les fuites des autres inutiles. Moins d'adresses génériques publiées et une règle claire pour les demandes faites « au nom de » quelqu'un réduisent la marge de l'ingénierie sociale.

• Email frauduleux Identifiants saisis sur un faux portail ou pièce jointe qui installe un malware.
• Accès ouverts sur internet RDP, VPN ou anciens portails protégés par un simple mot de passe.
• Failles connues Pare-feu au firmware obsolète, serveur sans correctifs, Windows 10 hors support.

L'intrusion proprement dite prend quelques minutes.

Le frein : le MFA sur tout accès externe, pour que l'identifiant volé n'ouvre rien ; le filtrage de la messagerie et une équipe formée à détecter et signaler le phishing ; des correctifs appliqués et un pare-feu géré qui n'expose que l'indispensable. La plupart des attaques contre les PME devraient s'arrêter ici.

Une fois à l'intérieur, l'intrus veut trois choses : des comptes administrateur, un chemin vers les serveurs et l'accès aux sauvegardes. Si le réseau est à plat, si chaque utilisateur administre son PC et si le mot de passe d'administration est le même sur toutes les machines, quelques heures suffisent. Suivent l'antivirus désactivé, des comptes créés pour revenir plus tard et des sauvegardes effacées ou chiffrées.

Le frein :

• Réseau segmenté Des VLAN qui séparent postes, serveurs et sauvegardes (guide de segmentation).
• Pas d'administrateurs locaux Chacun travaille avec les droits strictement nécessaires.
• Sauvegardes immuables et isolées Hors de portée de tout compte du réseau.
• Des yeux sur le réseau NOC et supervision, en 24/7 dans le plan Premium 365, pour repérer les connexions à des heures inhabituelles, les nouveaux comptes ou le trafic anormal tant qu'il ne s'agit que d'alertes.

C'est le raisonnement des quatre étapes du Zero Trust appliquées aux PME.

L'entrée ne sera jamais totalement fermée : il y aura toujours un mauvais clic et une nouvelle vulnérabilité. L'impact, lui, ne se prévient plus. C'est pendant l'expansion qu'un réseau segmenté, surveillé et doté de sauvegardes protégées ramène un incident grave à un seul poste à réinstaller. C'est pourtant la phase que les entreprises négligent le plus, elles investissent dans la porte et dans la reprise, et laissent l'intérieur sans cloisons.

Confiner. Les dégâts se manifestent par des fichiers chiffrés avec une demande de rançon, des données exposées ou vendues, des virements frauduleux ou des services à l'arrêt. L'attaquant choisit son heure (vendredi soir, veille de jour férié) pour gagner du temps. Dès lors, on paie en jours d'inactivité, en consultants de reprise, en notifications à la CNPD et aux clients, et en image.

Le confinement : un plan de réponse écrit et répété (qui coupe quoi, qui parle à qui); des sauvegardes vérifiées et inaccessibles à l'attaquant, la différence entre restaurer en quelques heures et négocier avec des criminels ; un plan de reprise d'activité avec des objectifs de reprise définis ; et des premières heures menées avec méthode, comme le décrit le guide de récupération des données juste après l'incident.

Reconstitution à partir de plusieurs incidents en PME.

1. Mardi : à la comptabilité arrive une « facture fournisseur » ; la collaboratrice saisit ses identifiants sur un faux portail.
2. Le soir même : l'attaquant ouvre la boîte mail et observe pendant une semaine. Il découvre un accès distant au bureau sans second facteur.
3. Quelques jours plus tard : déjà dans le réseau, il profite du fait que l'utilisatrice est administratrice locale, récupère des identifiants et atteint le serveur de fichiers et le NAS des sauvegardes, sur le même segment.
4. Jeudi soir : il supprime les sauvegardes.
5. Nuit de vendredi à samedi : il chiffre toutes les données. L'entreprise ne s'en aperçoit que le lundi.

Un second facteur sur l'accès distant aurait tout arrêté en phase 2. Des VLAN et des sauvegardes isolées n'auraient laissé qu'un serveur à restaurer. Sans aucune de ces mesures, la facture s'est soldée par trois semaines au ralenti.

Nous analysons votre infrastructure phase par phase et vous remettons par écrit le point où une attaque serait arrêtée aujourd'hui et ce qu'il manque pour l'arrêter plus tôt. En savoir plus sur la cybersécurité gérée de DataRoad : en 11 ans, DataRoad n'a jamais enregistré d'incident de sécurité. Proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.

Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.