Baromètre du numérique du Crédoc

Selon le dernier Baromètre du numérique du Crédoc, le Covid-19 a provoqué d’importants changements structurels dû au télétravail pendant la pandémie, avec notamment le retour de l’ordinateur comme porte d’entrée vers internet au détriment du mobile.

Tous les ans, le Centre de recherche pour l’étude et l’observation des conditions de vie (Crédoc) publie un rapport sur le numérique, relatant notamment les taux d’équipements des Français (téléphone fixe, téléphone mobile, ordinateur à domicile, smartphone, tablette, connexion internet à domicile, télévision) et leurs modes de connexion, leurs usages (navigation sur internet, messageries instantanées, achat et vente, réseaux sociaux, e-administration, recherche d’emploi, temps passé sur les écrans…), et plus largement le numérique dans la vie quotidienne (protection de la vie privée, considérations sanitaires, fin de vie des appareils détenus…).

Les incidences du télétravail

Le dernier rapport 2021 est particulier puisqu’il aborde les usages pendant les périodes de confinement. Et premier constat : cette crise a clairement influencé les équipements. Avec le développement du télétravail, l’ordinateur (43 % des cas) a supplanté le mobile (41 %) comme moyen d’accès au web, qui était préféré depuis 2017. De nombreuses entreprises ont, en effet, équipé leurs effectifs de matériel informatique ces derniers mois, les constructeurs notant, par ailleurs, une augmentation de 15 à 20 % des ventes sur les produits professionnels. Autre constat : pendant les confinements, un peu plus d’une personne sur deux (56 %) aurait été autonome vis-à-vis de l’usage des outils informatiques et numériques. Enfin, 58 % des actifs considèrent que les nouvelles technologies (notamment la micro-informatique et internet) facilitent la compatibilité entre vie professionnelle et vie privée (alors qu’ils n’étaient que 42 % à le penser en 2013).Pour consulter le rapport : www.arcep.fr

Article publié le 07 juillet 2021 – © Les Echos Publishing 2021

Des propositions sénatoriales pour protéger les TPE/PME des cyber-risques

Dans un rapport sur la cybersécurité des entreprises rendu public le 10 juin dernier, la délégation des entreprises du Sénat fait plusieurs propositions pour améliorer la protection des TPE/PME contre les cyber-risques.

Les cyber-risques augmentent d’année en année, et l’amélioration de la cyberdéfense des grandes entreprises a reporté cette cybercriminalité vers les petites entreprises plus vulnérables. Avec la crise sanitaire et l’incitation au télétravail, la situation s’est encore aggravée, les salariés utilisant leur propre matériel informatique sans véritable souci de la sécurité informatique. On note ainsi une augmentation de 667 % des attaques par phishing entre le 1er et le 23 mars 2020.

Vers une meilleure formation des entrepreneurs

Pour améliorer la protection des TPE-PME, les sénateurs font plusieurs propositions. Ils souhaitent ainsi, par exemple, organiser chaque année le 30 novembre (journée mondiale de la cybersécurité) un « hackathon » pour rendre public les failles de sécurité des logiciels utilisés par les petites entreprises et forcer les fournisseurs à revoir leurs produits. Ils aimeraient également la création d’un « package » de solutions de cybersécurité simple d’utilisation pour les TPE/PME, et mettre en réseau des responsables de sécurité des services informatiques (RSSI), ayant le statut de tiers de confiance, par les CCI. Ils proposent également de mieux former les salariés sur le sujet, mais aussi des « cyber opérateurs » spécialisés en cybersécurité (niveau 3, 4, 5 / BTS ou DUT Cyber). Enfin, ils souhaitent l’instauration d’un crédit d’impôt spécifique pour les TPE/PME, qui favoriserait la formation au numérique des artisans et commerçants et leur permettrait de réduire de 50 % et à hauteur de 5 000 € leurs coûts d’équipement.www.senat.fr

Article publié le 30 juin 2021 – © Les Echos Publishing 2021

Apple : un mode « Focus » pour favoriser la concentration

Parmi les nouvelles fonctionnalités d’iOS 15, il en est une qui devrait séduire les utilisateurs d’iPhone : le mode focus permet en effet de recevoir un nombre réduit de notifications, uniquement en lien avec l’activité qui occupe le propriétaire de l’appareil.

Apple vient de dévoiler les nouvelles fonctionnalités de la mise à jour iOS 15. Plusieurs évolutions ont notamment été apportées à FaceTime et iMessages. Mais ce qui a retenu l’attention est le nouveau mode « Focus ». Ce mode permet d’indiquer à l’appareil que l’on est concentré sur une activité (travail, conduite, sommeil…). Celui-ci ne laisse alors passer que les notifications en rapport avec cette activité, voire aucune. Ainsi, si l’utilisateur indique qu’il est au travail, il ne recevra que les notifications concernant ses collègues ou des applications liées à son activité professionnelle, et avec un son amoindri. Le correspond peut lui-même être informé que ce mode est activé, pour ne pas insister.

Un simple réglage

Pour mettre en place ce nouveau mode destiné à faciliter la concentration, il faudra se rendre dans les Réglages, puis dans Concentration, et sélectionner les profils pré-configurés (Travail, Sommeil, Temps pour soi, Ne pas déranger…) ou en créer soi-même. Pour chacun des profils, il faudra alors choisir les applications qui pourront recevoir des notifications ou non, et opter ou non pour la possibilité d’informer les contacts sur iMessage que le mode focus est activé. Le profil Repos supprime par défaut toutes les notifications, excepté l’horloge et les appels entrants des contacts d’urgence.

À noter : le mode focus peut s’activer automatiquement dans plusieurs situations, par exemple en voiture ou en cas de sommeil.

Article publié le 24 juin 2021 – © Les Echos Publishing 2021

Comment prévenir et déjouer les cyberattaques ?

La crise sanitaire n’a pas freiné les pirates informatiques. Selon le dernier baromètre de la cybersécurité des entreprises françaises réalisé par OpinionWay pour le Club de la sécurité de l’information et du numérique (Cesin), 57 % des entreprises interrogées ont été victimes d’au moins une cyberattaque en 2020. Illustration de quelques situations à risque et rappel des comportements à adopter pour y faire face.

Un simple courrier de relance

Le phishing ou hameçonnage est la première technique utilisée par les pirates pour attaquer les entreprises.

Laurent dirige la filiale d’un grand groupe de presse. Client du distributeur Amazon, il reçoit, par mail, une facture, portant son nom, l’invitant à régler un montant de 253 € correspondant à un achat réalisé quelques jours plus tôt. Comme il a regroupé ses comptes de messageries professionnelle et personnelle sur son smartphone professionnel, il ne s’étonne pas de recevoir une telle relance sur ce smartphone. En revanche, comme il ne se souvient pas d’avoir réalisé cet achat, il n’hésite pas à cliquer sur la pièce jointe associée au courriel pour en savoir plus. Sur le coup, rien ne se passe. Mais quelque temps plus tard, il constatera que sa base de contacts a été pillée et que chacun d’eux a reçu un SMS, les appelant à l’aide, signé de son nom et contenant un lien. Ceux qui auront la mauvaise idée de cliquer sur ce lien téléchargeront, à leur tour, un malware qui prendra la main sur leur carnet d’adresses et usurpera leur identité.

Comment se protéger ?

L’hameçonnage (phishing) est une technique qui permet à des pirates de se faire passer pour une banque, un fournisseur ou encore une institution publique auprès d’une entreprise ou d’un particulier afin d’obtenir des informations sensibles (coordonnées bancaires, mots de passe…) ou d’introduire un logiciel malveillant dans un système informatique. Pour réduire le risque d’être victime de ce type d’attaques, il faut : toujours vérifier l’identité de l’expéditeur (en l’occurrence, l’adresse de l’expéditeur n’était pas Amazon.com mais Amazoon.com. En outre, le courriel est arrivé sur l’adresse professionnelle de Laurent. Une adresse inconnue d’Amazon) ; ne jamais cliquer sur une pièce jointe ou un lien intégré dans un mail suspect (Laurent n’avait rien commandé chez Amazon depuis des mois. Il n’avait donc aucune raison de recevoir une relance) ; ne jamais communiquer d’informations sensibles (mots de passe, coordonnées bancaires…) suite à une demande par mail ou SMS.

Une vieille machine bien pratique

Nos ordinateurs personnels sont, souvent, moins bien protégés que ceux de l’entreprise. Les utiliser pour réaliser une tache professionnelle n’est donc pas recommandé.

Marie dirige le bureau d’études d’une PME spécialisée dans la production de systèmes de freinage pour les automobiles. Confinée chez elle comme des millions de Français en raison de la crise sanitaire, elle profite des beaux jours de mai 2020 pour travailler dans son jardin et peaufiner le dossier technique associé à la demande de brevet d’un nouveau type de plaquette qu’elle va bientôt déposer pour le compte de son entreprise. De peur d’abîmer son ordinateur portable professionnel quand elle travaille dans le jardin, elle a recours à une bonne vieille machine que toute la famille utilise et qui en a vu d’autres. Un jour, alors qu’elle tente d’ouvrir ses fichiers, elle s’aperçoit qu’ils ont disparu. Une analyse technique du vieil ordinateur montrera qu’ils ont été recopiés, puis supprimés par un pirate qui avait pris la main sur la machine en s’appuyant sur une faille logicielle non corrigée.

Comment se protéger ?

44 % des incidents de sécurité rencontrés par les entreprises en 2020 ont été causés par le « Shadow IT », autrement dit par l’utilisation d’une solution technique (cloud, courriel personnel…) ou d’un matériel (ordinateur, tablette, smartphone…) non approuvé par l’entreprise. Pour éviter de rendre vulnérable l’environnement informatique de son entreprise, il est important : d’éditer une charte de bonnes pratiques rappelant, notamment, que seuls les matériels informatiques et les solutions fournis par l’entreprise peuvent être utilisés pour travailler ; de veiller à ce que ces matériels et ces solutions soient aussi puissants, pratiques et efficaces que ceux dont dispose chaque collaborateur à titre privé. Car à défaut, il risque rapidement de ne plus les utiliser ; de ne jamais oublier d’installer les mises à jour (logiciels antivirus, systèmes d’exploitation, navigateurs…) sur son ordinateur personnel.

Un logiciel gratuit qui coûte cher

Lorsque l’on est victime d’une attaque par rançongiciel, il est très difficile de récupérer les données qui ont été cryptées par le logiciel pirate.

Phillipe codirige une petite agence de design. Comme ses deux associés, il cumule les fonctions : il est à la fois commercial, créatif et responsable des achats. Lors d’un déjeuner de travail, un de ses clients lui parle d’un nouveau logiciel de conception de logo. Avant de l’acheter, il souhaite le tester. Il ne trouve pas de version d’essai sur le site de l’éditeur, mais découvre un lien qui devrait lui permettre d’en télécharger une sur un forum de designers. Il clique sur le lien et installe, malgré lui, un rançongiciel sur sa machine. Le programme crypte immédiatement ses données et celles de tous les ordinateurs de l’agence connectés au réseau.

Comment se protéger ?

Les rançongiciels sont des programmes malveillants qui, une fois installés sur une machine (station, serveur…), vont emprisonner les données qui y sont stockées en les cryptant. L’utilisateur en est alors averti via un écran d’information et est invité à verser une rançon (souvent en cryptoactifs) en échange de laquelle les clés de déchiffrement lui seront, en théorie du moins, communiquées. Les rançongiciels s’introduisent sur une machine en utilisant une faille technique ou en profitant d’une erreur humaine. Pour éviter d’être contaminé, il convient donc : d’installer systématiquement les mises à jour sur les machines de l’entreprise (logiciels antivirus, systèmes d’exploitation, navigateurs…) ; de ne jamais donner suite aux courriels suspects (non sollicités, envoyés par un expéditeur non clairement identifié…) ou incongrus (envoi d’une facture par un prestataire connu à la mauvaise personne, par exemple), et surtout de ne jamais ouvrir les pièces jointes qu’ils contiennent ;- de ne jamais télécharger des logiciels dont l’origine est inconnue ; de ne jamais laisser un ordinateur inutilement allumé afin d’éviter qu’il soit contaminé en cas d’attaque ;- d’effectuer des sauvegardes régulières, car ainsi, même en cas d’impossibilité de déchiffrement, les pertes de données seront réduites. Et en cas d’attaque, il est conseillé : de débrancher immédiatement la machine contaminée du réseau de l’entreprise ; d’alerter le service informatique de votre entreprise ou votre prestataire technique ; de ne jamais payer la rançon, car cela n’offre aucune garantie et ne fait qu’encourager les pirates ; de déposer plainte auprès des autorités.

Article publié le 17 juin 2021 – © Les Echos Publishing 2021

E-parcours cybersécurité : pour assurer face aux risques de cyberattaque

La banque d’investissement Bpifrance propose aux entreprises de se former sur le thème de la cybersécurité via un e-parcours permettant de mieux comprendre d’où peuvent venir les risques et comment y faire face.

Face aux cyberattaques qui se multiplient, beaucoup d’entreprises se trouvent démunies, notamment les plus petites, celles qui ne disposent pas d’un service informatique ou qui ne sont pas accompagnées par un prestataire extérieur spécialisé. Pour les aider à faire face à ce risque croissant, Bpifrance lance un e-parcours cybersécurité dont l’objectif est de donner toutes les clés de compréhension et des outils pour bien appréhender les enjeux et les menaces, mettre en œuvre les mesures adéquates pour se prémunir du risque de cyberattaque et avoir les bons réflexes afin réagir correctement en cas d’attaque.

Un parcours en trois phases

Cet e-parcours se déroule en trois parties : une phase d’auto-diagnostic d’une quinzaine de minutes destiné à mesurer le niveau de cybersécurité de l’entreprise via un questionnaire ; une formation de 3h30 pour apprendre à se prémunir via différents outils (modules de e-learning, webinaires, digital guides et guide) et connaître les mesures simples pour se protéger ; un webinaire et un guide d’une soixantaine de minutes pour découvrir comment faire face, réagir et redémarrer suite à une cyberattaque. Pour démarrer le E-parcours cybersécurité, rendez-vous sur bpifrance-universite.lms.crossknowledge.com

Article publié le 16 juin 2021 – © Les Echos Publishing 2021

Entrée en vigueur de l’authentification forte pour les transactions bancaires

Dans le cadre de la règlementation DSP2, l’ensemble des transactions en ligne par carte bancaire au-dessus de 30 € doivent désormais se soumettre à une authentification forte, c’est-à-dire être vérifiées via une double authentification.

L’authentification forte consiste à valider une opération bancaire par au moins deux des trois éléments d’authentification existants : soit un mot de passe que seul l’utilisateur connaît, soit via un appareil possédé par l’utilisateur (téléphone, carte à puce…), soit via une caractéristique personnelle de l’utilisateur (empreinte digitale, reconnaissance faciale…). Et c’est aux établissements bancaires de mettre en place ce dispositif, à charge pour les commerçants de l’appliquer.

Un impératif européen

Cette demande d’authentification à double facteur est issue d’une directive européenne sur les services de paiement (DSP2), entrée en vigueur en janvier 2018, mais qui n’était pas encore totalement appliquée, la France ayant choisi une mise en œuvre progressive pour ne pas imposer une mesure brutale.Depuis octobre 2020, le seuil des montants qui nécessitent une authentification forte est donc régulièrement abaissé, de 2 000 € à 30 € depuis le 15 mai dernier. La Fédération bancaire française (FBF) a tout de même indiqué que les établissements bancaires français avaient 4 semaines de plus pour s’adapter, notamment pour laisser le temps aux Français de télécharger l’application de leur banque.Passé ce délai, les banques pourront décliner toute transaction non conforme…

Article publié le 08 juin 2021 – © Les Echos Publishing 2021

En 2020, la Cnil a sanctionné davantage

Dans son rapport annuel pour l’année 2020, la Commission nationale de l’informatique et des libertés (Cnil) indique avoir prononcé plus de sanctions que l’année d’avant avec notamment un nombre grandissant de violations de données.

Ce sont 14 sanctions et 49 mises en demeure qui ont été prises en 2020 par la Cnil, des chiffres en augmentation par rapport à 2019 (8 sanctions et 42 mises en demeure l’année précédente). La crise sanitaire et son augmentation de l’utilisation des technologies de communication à distance n’y sont pas pour rien.

L’effet des rançongiciels

Le nombre de notifications de violation de données (2 825) a augmenté de 24 % notamment à cause d’un grand nombre d’attaques au rançongiciel. Mais aussi du piratage informatique qui est à lui seul à l’origine de 1 315 notifications (+70 % par rapport à l’année passée).La Cnil a également reçu 13 585 plaintes (+62,5 % depuis la mise en œuvre du RGPD !), chiffre qui confirme la prise de conscience des Français vis-à-vis de leurs droits en matière de protection de leur vie privée. Pour aider les entreprises à se mettre en conformité avec le RGPD et la loi, la Cnil rappelle à ce sujet qu’elle propose aux professionnels une boîte à outils généraux et sectoriels. Elle a notamment publié un guide des tiers autorisés et un guide pour aider les professionnels à définir des durées de conservation des données, ainsi que de nombreux contenus sur les cookies et autres traceurs. Elle dispose également de nouvelles fiches explicatives pour comprendre et maîtriser les règles d’entreprise contraignantes (politique de protection des données intra-groupe en matière de transferts de données personnelles hors de l’Union européenne), ou encore sur la certification (d’un produit, service, processus ou système de données).

Pour consulter le rapport 2020 : www.cnil.fr/

Article publié le 02 juin 2021 – © Les Echos Publishing 2021

Une stratégie nationale pour le Cloud

Parce que le Cloud représente une opportunité unique pour la France en termes d’emplois et de croissance, mais parce qu’il comporte aussi des risques pour l’intégrité des données, le gouvernement vient de présenter une stratégie nationale.

De plus en plus de services numériques s’appuient sur le Cloud, qui pourrait représenter dans les prochaines années un chiffre d’affaires aussi important que celui du secteur des télécommunications et créer de nombreux emplois. Son essor entraîne une transformation des entreprises et des administrations et donne naissance à une nouvelle compétitivité économique. Mais le Cloud présente aussi des risques pour l’intégrité des données des Français, à la fois d’un point de vue technique avec la multiplication des cyberattaques, et d’un point de vue juridique avec l’accès potentiel d’États étrangers aux données des citoyens, des administrations et des entreprises françaises.Pour répondre à ces enjeux, le gouvernement a élaboré une stratégie reposant sur trois axes : un label « Cloud de confiance » octroyé aux fournisseurs de services pour bénéficier des outils offerts du Cloud (suites bureautiques collaboratives, outils de visioconférence, etc.) avec l’assurance d’une protection des données ; une politique « Cloud au centre » de l’administration pour accélérer la transformation numérique du service public dans le strict respect de la cybersécurité et de la protection des données des citoyens et des entreprises ; une stratégie industrielle ambitieuse, dans le cadre de France Relance, avec un soutien direct à des projets Cloud à forte valeur ajoutée pour permettre à la France de progresser dans sa souveraineté technologique.

Article publié le 25 mai 2021 – © Les Echos Publishing 2021

Rançongiciels : la menace persiste !

La crise sanitaire n’a pas dissuadé les hackers de lancer des attaques par rançongiciel contre les entreprises, bien au contraire. Une bonne raison de revenir sur ce fléau technologique et sur les moyens à mettre en œuvre pour le contrer.

Les rançongiciels ?

Les rançongiciels ou ransomwares peuvent totalement bloquer le fonctionnement d’une entreprise dont ils affectent les ordinateurs.

Pour rappel, les rançongiciels sont des programmes malveillants qui, une fois installés sur une machine (station, serveur…), vont emprisonner les données qui y sont stockées en les cryptant. L’utilisateur en est alors averti via un écran d’informations et est invité à verser une rançon en échange de laquelle les clés de déchiffrement lui seront, en théorie du moins, communiquées. Ces logiciels malveillants sont redoutables, d’autant plus qu’ils utilisent des techniques de chiffrement d’un niveau si élevé qu’il est presque impossible de les décrypter. C’est pourquoi de nombreuses entreprises victimes se résignent à payer les maîtres-chanteurs. Et ces derniers s’attaquent aux multinationales, aux PME, mais aussi à des services publics aussi sensibles que les services de santé. Les centres hospitaliers de Dax-Côte d’Argent et de Villefranche-sur-Saône en ont récemment fait les frais.

Attention : beaucoup de rançongiciels ne vont pas se contenter de chiffrer les fichiers contenus sur le ou les disques durs de l’ordinateur infecté. Ils vont aussi s’attaquer aux données présentes sur les supports que la machine contrôle (clés USB, disque dur portable, données enregistrées sur un serveur en cas de connexion à un réseau…).

En 2020, le nombre d’attaque par rançongiciels signalées et traitées par l’Agence nationale de la sécurité des systèmes d’information (Anssi) a été multiplié par 4 par rapport à 2019. C’est devenu, selon la plate-forme publique www.cybermalveillance.gouv.fr, la première menace informatique pour les collectivités, mais aussi pour les entreprises.

Prévenir

Pour réduire les conséquences d’une attaque par rançongiciel, des précautions doivent être prises.

Les rançongiciels s’introduisent sur une machine en utilisant une faille technique ou en profitant d’une erreur humaine. Il convient donc de combler ces failles techniques en appliquant les mises à jour de sécurité sur les logiciels et en maintenant à jour ses antivirus. En termes de comportement, il est conseillé de ne pas donner suite aux courriels suspects (non sollicités, envoyés par un expéditeur non clairement identifié…) ou incongrus (envoi d’une facture par un prestataire connu à la mauvaise personne, par exemple), et surtout de ne jamais ouvrir les pièces jointes qu’ils contiennent. Il convient également d’éviter les sites internet non officiels et de ne jamais laisser un ordinateur connecté à un réseau allumé inutilement.

Les indispensables sauvegardes

Enfin, l’ultime précaution à prendre pour limiter les conséquences d’une attaque par rançongiciel est de réaliser des sauvegardes régulières des données de l’entreprise (au moins une fois par jour) sur une machine ou via un service en ligne (cloud) non connecté en permanence au réseau de l’entreprise (afin qu’il ne puisse être touché par l’attaque du rançongiciel). Dès lors, même en cas d’impossibilité de déchiffrement, les pertes de données, seront réduites.

Et réagir

Débrancher la machine contaminée et appeler des informaticiens en renfort sont les premières actions à mener en cas d’attaque par rançongiciel.

Même en prenant toutes les précautions, le risque zéro n’existe pas. Il faut donc se préparer à réagir, si par malheur, un rançongiciel parvenait à s’introduire sur un des ordinateurs de votre entreprise. Ainsi, en cas d’attaque, vous devez : débrancher immédiatement la machine contaminée du réseau de l’entreprise. L’objectif est ici, dans la mesure du possible, d’éviter que le rançongiciel ne contamine le serveur mais aussi les autres ordinateurs connectés au réseau ; alerter le service informatique de votre entreprise ou votre prestataire technique. Ces professionnels de la sécurité informatique tenteront alors de contrer le rançongiciel afin de récupérer le plus de données possibles. Si les données de la machine touchée sont irrécupérables, ils régénéreront la dernière sauvegarde. Ensuite, ils nettoieront la machine avant de la reparamétrer et d’y recopier les données sauvegardées. Si vous n’avez pas de service informatique, une liste de prestataires spécialisés est proposée sur le site www.cybermalveillance.gouv.fr ; ne jamais payer la rançon ! Pourquoi ? Tout d’abord, parce que cela ne vous garantit pas du risque que le preneur d’otage tiendra sa parole et « libérera » vos données. Ensuite, car cela ne fera que l’encourager à continuer, voire à prendre à nouveau votre entreprise pour cible ; déposer plainte et notifier cette attaque à la CNIL si elle a entraîné une violation des données à caractère personnel des salariés ou des clients de l’entreprise.

Important : la sécurité informatique est l’affaire de tous, des salariés comme des dirigeants. Des informations sur les bonnes pratiques doivent donc être régulièrement communiquées à chacun. Sur ce point, des fiches techniques et mémo simples et pédagogiques sont proposées sur www.cybermalveillance.gouv.fr. N’hésitez pas à inviter vos équipes à les consulter.

Des décrypteurs efficaces

Les rançongiciels ne sont pas toujours bien programmés, ce qui permet aux informaticiens travaillant dans les services de police et dans les sociétés éditrices de logiciels anti-malwares de créer des décrypteurs pour s’en libérer. Grâce à ces outils mis à disposition gratuitement sur le site No More Ransom (www.nomoreransom.org), il est possible de neutraliser une centaine de ces rançongiciels. Il est donc recommandé, en cas d’attaque et après avoir identifié le rançongiciel, de vérifier sur ce site si un décrypteur efficace n’existe pas.

Article publié le 20 mai 2021 – © Les Echos Publishing 2021