Vulnérabilités communes aux PME – Rapport 2020

Selon les dernières données de vulnérabilités US-CERT, les cyberattaquants ciblent encore plus les PME que les grandes entreprises. Voici les méthodes les plus couramment utilisées.


Les petites et moyennes entreprises (PME) aimeraient peut-être penser que les grandes entreprises sont les cibles les plus juteuses pour les cybercriminels. Le grand nombre de reportages donne à penser que seules les sociétés géantes ont vu leur vie privée violée et leurs informations secrètes révélées.

La vérité est que les PME sont confrontées aux mêmes menaces de sécurité que leurs homologues plus importantes. Malheureusement, ces PME ne disposent pas des appareils de cybersécurité avancés utilisés par les grandes organisations.

Voici un nombre stupéfiant. Aux États-Unis, les entreprises de moins de 20 travailleurs représentent 89% de toutes les organisations employant des salariés. Et nous venons de noter qu'ils sont les moins préparés à repousser les pirates. En d'autres termes, la petite entreprise a un gros problème. Voyons exactement d'où viennent ces menaces.

Statistiques sur la cybersécurité des PME

  1. icône de recherche statistiqueMalware: Dans une étude indépendante, 61% des petites et moyennes entreprises représentées dans l'étude ont subi une cyberattaque en 2017.
  2. Hameçonnage: Les attaques de phishing ont entraîné la perte de milliards de dollars de PME chaque année. Le spear phishing est l'un des plus grands défis auxquels les services informatiques sont confrontés aujourd'hui et est le point d'entrée pour de nombreuses intrusions, y compris le vol d'identité, les ransomwares et le piratage.
  3. Fraude non présente sur la carte: L'incidence de la fraude CNC (alias «écrémage RFID») a augmenté au cours des dernières années aux États-Unis et au Royaume-Uni. Par exemple, le Royaume-Uni a vu une augmentation de 750 200 cas signalés en 2012 à 1 437 832 cas signalés 2016..
  4. Manque de connaissances en cybersécurité: CFC UNDERWRITING, un fournisseur de cyber-assurance, a déclaré qu'en 2016, environ 38% de ses réclamations auraient pu être évitées si une meilleure éducation et formation avait été mise en œuvre par les PME..
  5. Attaques DDoS: Les attaques par déni de service distribué peuvent paralyser les PME. En octobre 2016, 80 sites Web aux États-Unis et en Europe ont été rendus inaccessibles au public en raison d'attaques DDoS.
  6. Injection SQL: Soixante-cinq pour cent des organisations représentées dans une étude indépendante ont déclaré avoir subi des attaques par injection SQL. Ces attaques ont contourné leurs défenses de périmètre, mettant leur entreprise en danger. L'injection SQL était la 2e forme de cyberattaque la plus courante sur les sites WordPress - qui alimentent près de 25% d'Internet - selon un récent rapport WP Scan, et se produit le plus souvent sur des thèmes et des plugins obsolètes.
  7. Attaques internes: Verizon a enquêté sur 500 intrusions qui ont eu lieu sur quatre ans. Leur conclusion est que 18% des violations sont le résultat d'attaques internes. Bien que le nombre d'attaques internes contre les PME soit moindre que dans les grandes entreprises, leur impact est plus important car dans les petites entreprises, les particuliers ont accès à un certain nombre de systèmes.
  8. Sensibilisation aux cyberattaques ayant échoué: Un rapport publié par le Sands Institute a montré que 64% des personnes interrogées ignoraient qu'elles avaient été attaquées avec succès / sans succès par des cyberattaques..
  9. Échecs des titres de service cloud: En 2017, le groupe de piratage chinois «Red Apollo» a lancé une campagne mondiale de cyberespionnage d'une ampleur sans précédent. Au lieu d'attaquer directement les entreprises, il a attaqué les fournisseurs de services cloud et les réseaux cloud pour diffuser des outils d'espionnage à un certain nombre d'entreprises..

Les petites et moyennes entreprises sont vulnérables aux cyberattaques car nombre d'entre elles estiment que leur taille en fait une cible inintéressante pour les pirates. Mais comme nous l'avons vu, leur taille et leur manque de cybersécurité approfondie en font une cible de choix pour les escrocs. Les grandes entreprises peuvent absorber les pertes financières causées par les violations de la cybersécurité.

Pour les petites et moyennes entreprises, ces violations peuvent signifier qu'elles sont obligées de fermer leurs portes. Examinons de plus près les sept vulnérabilités que nous avons mentionnées.

Malware / Ransomware

ransomware stat 2017De nombreuses petites et moyennes entreprises repensent leurs stratégies de continuité des activités et de reprise après sinistre en raison d'une augmentation des logiciels malveillants et des ransomwares.

Le ransomware crypte les fichiers, puis conserve les fichiers pour une rançon jusqu'à ce que la source derrière le malware reçoive des frais.

Les ransomwares se propagent par des attaques de phishing, des partages de réseau externes et des kits d'exploitation. De nouvelles souches de logiciels malveillants et de rançongiciels apparaissent en ligne à une telle fréquence que les programmes antivirus ne sont pas en mesure de protéger les petites et moyennes entreprises.

Les ransomwares peuvent fonctionner si rapidement qu'ils peuvent crypter tout un ordinateur en quelques minutes lorsqu'un individu clique sur un lien de messagerie électronique. On estime que 23% des PME déclarent ne pas avoir de plan de récupération pour la restauration des données victimes de logiciels malveillants / ransomwares. Cliquez ici pour en savoir plus sur les malwares / ransomwares et comment en protéger votre PME.

Hameçonnage

Contrairement aux escroqueries par phishing généralisées, le spear phishing est ciblé. Les cybercriminels utiliseront des approches conçues individuellement et ils s'appuieront sur des techniques d'ingénierie sociale pour faire paraître un e-mail légitime et dirigé vers la cible. Les mesures de sécurité traditionnelles n'arrêtent pas ces attaques en raison de leur personnalisation.

comment fonctionne le spear phising

Un seul dérapage suffit à tous les cybercriminels pour déployer des logiciels malveillants, utiliser des attaques par déni de service et voler des données importantes. Même des individus de haut rang tels que des cadres et des dirigeants peuvent se retrouver à ouvrir un e-mail qu'ils estiment sûr, uniquement pour exposer les données de leur entreprise. En savoir plus sur le phishing sous-marin et comment vous en protéger.

Manque de connaissances en cybersécurité

Les rapports montrent que la faible sensibilisation à la sécurité des employés est la principale cause d'insécurité du réseau. C'est la principale cause de violations de la cybersécurité depuis quatre ans. Des enquêtes montrent que les deux tiers des employés américains n'ont jamais entendu parler de ransomware ou de protection par mot de passe.

montants des ransomwares par pays

Il est peu probable que les employés prennent des mesures pour empêcher les ransomwares ou autres sources de cyberattaques s'ils ne savent même pas qu'ils existent. Lisez cet article pour en savoir plus sur la manière dont les connaissances en cybersécurité peuvent protéger votre petite ou moyenne entreprise.

Attaques DDoS

architecture d'attaque ddosLes attaques DDoS sont un outil néfaste utilisé par les criminels pour perturber le trafic du serveur qu'ils ciblent. L'objectif est de rendre le service ou le réseau tellement submergé par un flot de trafic Internet qu'il devient inutilisable.

Les attaques DDoS sont efficaces car plusieurs systèmes informatiques compromis sont utilisés simultanément pour attaquer le trafic. Les cybercriminels peuvent exploiter votre ordinateur, les machines connectées aux réseaux et les appareils IOT. Lors d'une attaque, le trafic Internet est bloqué à un niveau élevé, ce qui empêche à son tour le trafic régulier et souhaité d'atteindre sa destination.

Votre ordinateur ou d'autres appareils seront infectés par des logiciels malveillants. Chaque ordinateur deviendra un zombie ou un bot. Un botnet est l'endroit où un attaquant contrôle un certain nombre de périphériques réseau. L'attaquant visera l'adresse IP de sa victime et provoquera une surcapacité du serveur ou du réseau. Étant donné que chaque bot est un appareil Internet légitime, il peut être difficile, voire impossible, de séparer le trafic utilisé dans une attaque du trafic normal.

Il s'agit d'une excellente ressource pour en savoir plus sur les attaques DDoS et comment en protéger votre petite ou moyenne entreprise..

Pour les propriétaires d'entreprise qui cherchent à protéger leurs sites Web contre les attaques DDoS, veuillez consulter mon guide sur les meilleurs hébergeurs australiens ainsi que le guide plus complet de l'hébergement pas cher.

Attaque par injection SQL

icône d'injection sqlLes attaques par injection SQL se présentent sous plusieurs formes. Il s'agit d'un type d'attaque qui peut donner aux cybercriminels un contrôle total sur une base de données d'applications Web. Ceci est accompli en insérant du SQL arbitraire dans une requête de base de données.

Les attaques par injection SQL remontent à la fin des années 1990. Pourtant, en 2019, ils affectent les applications Web sur Internet. La bonne nouvelle pour les PME est que les injections SQL sont faciles à défendre. Ce ne sont pas des attaques de pointe de la CIA, incassables. Il est simple de corriger votre application Web pour minimiser le risque de ce type d'attaque.

Cependant, certains propriétaires de petites entreprises qui ont conçu leur propre site Web ou application Web n'ont pas réussi à le faire. Un échec de ce type est une négligence grave limite. Téléchargez ce PDF pour en savoir plus sur l'impact des attaques par injection SQL et comment en protéger votre PME.

Attaques internes

Les menaces internes, qu'elles proviennent de fournisseurs, d'employés ou d'autres personnes qui ont accès à vos données, sont un moyen potentiel pour les cybercriminels. Les violations pourraient être causées par des personnes négligentes ou qui cherchent à attaquer vos données avec une intention malveillante.

stat d'attaque d'initié 2017Des études ont montré qu’un nombre croissant d’employés cherchent à augmenter leur revenu en vendant les données sensibles de leur employeur. La même étude montre qu’un tiers des employés ont volé les données ou informations sensibles de leur employeur lors de leur licenciement ou lorsqu’ils ont décidé de commencer une nouvelle carrière. Ils utilisaient ces informations pour démarrer leur propre entreprise ou pour saboter leur employeur.

La négligence a conduit de nombreuses personnes ayant un accès privilégié aux fichiers de leur entreprise à compromettre l'entreprise de l'intérieur sans même le savoir. Ils ont cliqué sur des e-mails de phishing qui permettaient aux criminels d'accéder aux données de leur entreprise.

Alors que les menaces posées par les initiés augmentent, les entreprises prennent davantage de mesures pour se protéger. Ces actions comprennent:

  • Entrainement d'employé
  • Plans de réponse aux incidents
  • Moniteurs système

Les propriétaires de PME ignorent souvent ou sont inconscients des menaces internes potentielles. C'est pourquoi il est plus important que jamais que les PME soient proactives dans leur approche de la sécurité et dans leur recherche des menaces internes. Découvrez comment protéger votre PME contre les attaques internes.

Sensibilisation aux cyberattaques ayant échoué

Les rapports montrent que près de 65% des petites entreprises aux États-Unis ne répondent pas après un incident de cybersécurité. Les rapports montrent que 70% des entreprises dans le monde ne sont pas préparées aux cyberattaques. Cette vulnérabilité est disproportionnellement plus élevée dans les petites et moyennes entreprises. Ces entreprises n'ont pas de stratégies en place pour prévenir les attaques, encore moins pour conjurer les attaques ou les détecter tôt si elles se produisent..

cyberattaques stat T2 2017

Bien qu'un nombre substantiel de petites et moyennes entreprises déclarent que les cybermenaces sont leur principale préoccupation, la moitié déclarent qu'un budget insuffisant est la raison pour laquelle elles ne font pas plus pour se protéger contre les cyberattaques..

Pour améliorer la capacité de détection des cyberattaques, les petites et moyennes entreprises doivent disposer d'une surveillance continue des réseaux essentiels. La détection des intrusions est également indispensable. Le suivi des violations, qu'elles aient réussi ou échoué, l'intégration de la surveillance et de l'enregistrement manuel peut aider à atténuer les risques futurs. En matière de cyberattaques, l'ignorance n'est pas un bonheur.

Échecs des titres de service cloud

Les PME sont attirées par les fournisseurs de services cloud en raison de la flexibilité et de l'évolutivité qu'elles offrent. Bien que le cloud computing offre des avantages et des opportunités importants pour les PME, il présente également un certain nombre de défis en matière de sécurité et de confidentialité. Relever correctement les défis de sécurité qui existent dans les environnements cloud nécessite un mélange d'approches juridiques, organisationnelles et technologiques. Malheureusement, une grande partie de cela échappe au contrôle ou aux limites financières des PME.

Enquête sur l'adoption du cloud computing

Il existe un certain nombre de failles dans l'architecture cloud qui offrent la possibilité aux cybercriminels d'exploiter les vulnérabilités de la sécurité et d'accéder à des informations qui doivent rester confidentielles. Certains de ces défis incluent un manque de contrôle sur le cycle de vie des données, les violations de données et le piratage des services.

La technologie et l'informatique en nuage sont des technologies relativement nouvelles dans lesquelles les PME peuvent s'aventurer. Les PME ayant une bonne maîtrise des affaires et une compréhension des étapes appropriées pour sécuriser la technologie cloud peuvent en tirer les avantages. Cliquez ici pour en savoir plus sur la façon dont la technologie cloud et les risques de sécurité potentiels pourraient influer sur la future mise en œuvre.

Conclusion

Les PME sont exposées aux mêmes risques que les grandes entreprises en matière de cybercriminalité. Contrairement aux grandes entreprises, les petites et moyennes entreprises n'ont généralement pas le soutien financier nécessaire pour survivre à une cyberattaque. Lorsqu'une petite ou moyenne entreprise connaît une violation de données, elle peut rapidement perdre la confiance de ses clients. C'est quelque chose qui, une fois perdu, est difficile à retrouver.

Vous pouvez protéger votre petite ou moyenne entreprise en créant d'abord un plan d'attaque. Assurez-vous que la cybersécurité est une priorité à tous les niveaux de votre entreprise. Attribuez à des personnes responsables la tâche d'examiner et de maintenir les besoins de cybersécurité de votre entreprise. Pour les personnes qui cherchent à se protéger, choisir d'utiliser le meilleur VPN possible est votre premier et meilleur choix.

Les employés peuvent être votre meilleure défense contre les cybercrimes ou être votre maillon le plus faible. Former les employés à la cybercriminalité. Utilisez des expériences de phishing pour voir dans quelle mesure vos employés sont conscients des risques potentiels. Former de nouveaux employés en pensant à la cybersécurité.

sme cyber attaques statistiques

Les petites entreprises doivent créer un plan pour tous les incidents, qu'ils soient réussis ou non. Ce plan commence par la détection. Il comprend le confinement et la notification. Ensuite, une fois la situation gérée, cela impliquerait une évaluation de la façon dont l'entreprise a réagi à l'attaque. Dans ce plan, il n'y a pas de place pour l'ambiguïté. Chaque membre de l'équipe doit avoir des rôles et des responsabilités spécifiques clairement définis.

Pour les petites entreprises, l'externalisation de la cybersécurité pourrait être un moyen efficace d'améliorer la préparation. Cela ne dégage pas les employés de leurs responsabilités. Les employeurs et les employés doivent être conscients et engagés. C'est le seul moyen d'identifier et de protéger les petites et moyennes entreprises contre les vulnérabilités de cybersécurité.

David Gewirtz
David Gewirtz Administrator
Sorry! The Author has not filled his profile.
follow me