Les plateformes commerciales de confiance sont la nouvelle surface d’attaque
La cybercriminalité devient plus intelligente. Les attaquants ne se contentent plus d’envoyer de faux courriels à partir de domaines étranges. Au lieu de cela, ils utilisent des plateformes auxquelles votre entreprise fait déjà confiance – Dropbox, SharePoint, QuickBooks et Zoom Docs – pour franchir vos défenses. C’est une initiative brillante, si l’on y réfléchit bien. Ces services sont conçus pour être sécurisés, mais les attaquants exploitent leur légitimité pour distribuer des liens malveillants, en contournant les systèmes de sécurité traditionnels.
Il s’agit d’un changement de stratégie. Au lieu de créer de nouveaux sites web suspects qui peuvent être signalés, les attaquants intègrent du contenu malveillant dans les services que vous et vos employés utilisez quotidiennement. Cela signifie que les courriels d’hameçonnage proviennent de domaines réels et vérifiés plutôt que d’une adresse web aléatoire et non enregistrée. Pire encore, les cybercriminels détournent de vrais comptes de messagerie d’entreprise – parfois de vos partenaires commerciaux ou de vos fournisseurs – de sorte que le courriel semble tout à fait authentique. Il s’agit d’un défi de taille pour les équipes de sécurité.
Selon le rapport annuel 2024 de Darktrace sur les menaces, plus de 30,4 millions de courriels d’hameçonnage ont été détectés l’année dernière. 96 % d’entre eux utilisaient des domaines de confiance existants. Si votre stratégie de sécurité repose encore sur la détection de fausses URL, vous êtes déjà en retard.
La montée en puissance d’attaques plus intelligentes et plus difficiles à détecter
Nous entrons dans une nouvelle phase de la cybercriminalité, où l’intelligence artificielle fait le gros du travail pour les attaquants. Oubliez les courriels frauduleux mal écrits et truffés de fautes d’orthographe. Les attaques de phishing générées par l’intelligence artificielle sont aujourd’hui si sophistiquées que même les professionnels chevronnés ont du mal à faire la différence. La structure du message, le ton et le choix des mots donnent l’impression d’être humains parce que, eh bien, ils le sont – ils sont simplement générés par une machine.
C’est pourquoi 38 % des attaques de phishing impliquent aujourd’hui du spear phishing, c’est-à-dire des messages hautement personnalisés destinés à une personne ou à une entreprise spécifique. Les attaquants utilisent l’intelligence artificielle pour rédiger des messages adaptés à vous et à votre entreprise. Ils peuvent imiter des styles d’écriture, utiliser des termes d’initiés et faire référence à des détails commerciaux réels récupérés sur Internet.
À cela s’ajoute l’utilisation croissante de charges utiles en plusieurs étapes, c’est-à-dire de courriels contenant plusieurs étapes d’infection, conçues pour éviter d’être détectées. Certaines des attaques les plus créatives incluent désormais des codes QR malveillants – 940 000 courriels d’hameçonnage les ont utilisés rien que l’année dernière. Pourquoi ? Parce que la plupart des entreprises se concentrent sur l’analyse des liens de courrier électronique, et non des codes QR. Il s’agit d’une solution de contournement simple mais très efficace.
Ce qu’il faut en retenir ? Les attaquants automatisent la tromperie à grande échelle et les méthodes de sécurité traditionnelles ne peuvent pas suivre.
Les cybercriminels utilisent vos propres outils contre vous
Il faut se rendre à l’évidence : les cybercriminels n’ont pas toujours besoin de nouveaux logiciels malveillants pour s’introduire dans votre entreprise. Souvent, ils utilisent les outils dont vous disposez déjà. C’est ce que l’on appelle le « Living-off-the-Land » (LOTL), une méthode d’attaque dans laquelle les pirates informatiques réutilisent des logiciels d’entreprise intégrés pour mener des activités malveillantes tout en passant inaperçus.
Pensez-y : si un attaquant peut accéder à un système et utiliser les outils d’administration existants, il n’a pas besoin d’introduire des logiciels malveillants personnalisés susceptibles de déclencher des alertes. Au lieu de cela, il utilise des applications d’entreprise fiables pour se déplacer latéralement au sein de votre réseau, extraire des données ou escalader des privilèges. Ces attaques sont incroyablement difficiles à détecter car, techniquement, rien ne se comporte de manière anormale, sauf l’intention.
Darktrace a constaté que 40 % des cyberattaques du début de l’année 2024 ciblaient des vulnérabilités dans des outils professionnels largement utilisés, notamment Ivanti Connect Secure, Palo Alto Networks et les appareils Fortinet. Les attaquants utilisent également des identifiants volés pour obtenir un accès à distance via des VPN, ce qui leur permet d’exploiter facilement les systèmes de l’entreprise.
Vue d’ensemble ? Les menaces qui pèsent sur la sécurité ne se limitent pas à la défense contre les logiciels malveillants externes. Le véritable défi consiste à identifier le moment où l’activité normale de l’entreprise est utilisée comme arme contre vous.
Les rançongiciels et la prochaine évolution des attaques contre les entreprises
Les rançongiciels est un modèle économique. Et comme tout marché concurrentiel, les cybercriminels font évoluer leurs stratégies pour maximiser leur efficacité et leurs profits. La dernière tendance en date ? Utiliser des outils d’entreprise légitimes pour mener des attaques furtives.
Au lieu de développer de nouvelles méthodes d’attaque détectables, les groupes de ransomware s’appuient désormais sur des logiciels informatiques courants, tels que AnyDesk et Atera, pour établir un accès et un contrôle à distance sur les systèmes infectés. Ils utilisent également des services cloud de confiance pour stocker les données volées avant de lancer des tentatives d’extorsion. La raison en est évidente : les équipes de sécurité sont beaucoup moins susceptibles de repérer des activités qui ressemblent à des opérations commerciales normales.
Cette évolution a conduit à une explosion des opérations de Ransomware-as-a-Service (RaaS) et de Malware-as-a-Service (MaaS), où des cybercriminels professionnels créent des outils d’attaque et les louent à d’autres criminels. Le marché de ces outils connaît une croissance rapide – l’utilisation des MaaS a augmenté de 17 % entre le premier et le second semestre 2024, tandis que les déploiements de chevaux de Troie d’accès à distance (RAT) ont fait un bond de 34 % au cours de la même période. En d’autres termes, un plus grand nombre de criminels ont désormais accès à des outils avancés, ce qui rend les attaques sophistiquées plus courantes.
Si votre entreprise considère encore les ransomwares comme un « risque futur », vous êtes déjà à la traîne. La question n’est pas de savoir si votre entreprise sera ciblée, mais quand. Et lorsque cela se produira, l’attaque ressemblera à une activité commerciale normale, jusqu’à ce qu’il soit trop tard.
Principaux enseignements pour les dirigeants
- Exploiter des plateformes de confiance : Les cyberattaquants exploitent des services bien établis comme SharePoint, Zoom Docs et Dropbox pour lancer des attaques de phishing, 96 % des courriels de phishing utilisant des domaines de confiance. Les dirigeants devraient réévaluer les mesures de sécurité autour de ces plateformes afin de prévenir les violations.
- Tactiques d’hameçonnage renforcées par l’IA : Le spear phishing avancé, alimenté par l’IA, devient de plus en plus sophistiqué, rendant les méthodes de détection traditionnelles moins efficaces. Les décideurs devraient investir dans des solutions de sécurité adaptatives, pilotées par l’IA, pour contrer ces menaces en constante évolution.
- Techniques de survie : Les cybercriminels réutilisent des outils d’entreprise légitimes pour contourner les systèmes de sécurité sans introduire de nouveaux logiciels malveillants. Les entreprises doivent surveiller l’utilisation des outils internes et appliquer des contrôles d’accès stricts pour atténuer ce risque furtif.
- L’évolution furtive des ransomwares : Les groupes de ransomware adoptent des outils d’entreprise et des chevaux de Troie d’accès à distance pour leurs opérations secrètes, l’utilisation de MaaS ayant augmenté de 17 % et les déploiements de RAT de 34 %. Il est essentiel d’actualiser les stratégies de cybersécurité en améliorant les capacités de détection et de réaction rapide.
