Baromètre. Les tendances de la cybersécurité en 2023

Les hackers ne cessent de cibler les chaînes d’approvisionnement numériques et physiques, de lancer des cyberattaques massives et de trouver de nouveaux moyens de rançonner les entreprises, grandes et petites.

Aujourd’hui, la plupart des attaques par ransomware impliquent le vol de données personnelles ou commerciales sensibles, à des fins d’extorsion. Ce phénomène accroît le coût et la complexité des incidents informatiques, ainsi que le risque d’atteinte à la réputation.

L’analyse des grands sinistres cyber, réalisée par Allianz Commercial, montre une croissance annuelle des exfiltrations de données. Celles-ci sont passées de 40 % en 2019 à près de 80 % en 2022, et ont encore fortement augmenté en 2023.

Le rapport d’Allianz Commercial sur les tendances de la cybersécurité 2023 (“Cyber security trends 2023: The latest threats and risk mitigation best practice – before, during and after a hack”) recense les dernières menaces et les bonnes pratiques d’atténuation des risques avant, pendant et après une attaque.

Selon ce rapport, la fréquence des sinistres cyber s’est stabilisée en 2022. Cette tendance reflète une amélioration des mesures de sécurité informatique et de gestion du risque mises en place dans les entreprises assurées. Elle pourrait également s’expliquer par l’action des autorités publiques à l’encontre des groupes de hackers et par le conflit en Ukraine.

Toutefois, les attaques par ransomware ont, quant à elles, augmenté de 50 % en un an au premier semestre 2023. Les kits de ransomware, dont les prix commencent à partir de 40 dollars, sont un facteur clé dans la fréquence des attaques.

Les gangs exécutent aussi leurs attaques plus rapidement : le nombre moyen de jours nécessaires pour ce faire est passé d’environ 60 jours en 2019 à quatre jours actuellement.

Une exfiltration de données peut accroître considérablement le coût d’un sinistre cyber. En effet, la résolution de ce type d’incident peut prendre plus de temps.

Par ailleurs, les opérations d’expertise judiciaire et informatique peuvent être extrêmement onéreuses. Si des données ont été volées, les entreprises doivent savoir exactement quelles données ont été exfiltrées et devront probablement en informer leurs clients. Ces derniers peuvent réclamer des dommages et intérêts ou intenter une action en justice.

Cette année, il s’est également produit plusieurs attaques par ransomware massives, les pirates exploitant les failles logicielles et les vulnérabilités des chaînes d’approvisionnement numériques pour cibler un grand nombre d’entreprises.

Ainsi, la cyberattaque contre MOVEit, un logiciel de transfert de données, a impacté des millions de personnes et des milliers d’entreprises. Touchant de multiples assurés simultanément, elle a contribué à la hausse de la fréquence annuelle des sinistres observée à ce jour.

Auparavant, le nombre d’incidents cyber portés à la connaissance du public était faible. Aujourd’hui, il en est différemment. Avec l’exfiltration de données, les hackers menacent de publier en ligne les données volées.

L’analyse des grands sinistres cyber (d’un montant supérieur à 1 million d’euros), effectuée par Allianz Commercial, montre que la part de cas rendus publics est passée d’environ 6 % en 2019 à 85 % en 2022. Ce chiffre pourrait être encore plus élevé en 2023.

Les conséquences sur leurs finances et leur réputation risquant d’être importantes, les entreprises pourraient céder davantage aux pressions exercées par les rançonneurs, lorsque des données ont été volées.

Le nombre d’entreprises qui payent une rançon augmente d’année en année. Il est passé de 10 % en 2019 à 54 % en 2022. Les entreprises sont deux fois et demie plus susceptibles de payer lorsque les données ont été exfiltrées, en plus d’avoir été chiffrées.

Cependant, le paiement d’une rançon contre des données exfiltrées ne résout pas nécessairement le problème. L’entreprise peut faire l’objet, notamment aux États-Unis, d’une action intentée par un tiers pour violation de données.

Le paiement de la rançon est donc rarement la meilleure solution pour récupérer ses systèmes et ses données. Lorsqu’une entreprise est touchée, elle doit toujours informer les autorités et coopérer avec elles.

La protection d’une entreprise contre les intrusions reste un jeu du chat et de la souris, dans lequel les délinquants ont l’avantage. L’analyse de plus de 3 000 sinistres cyber survenus dans les cinq dernières années effectuée par Allianz montre que la manipulation externe des systèmes est à l’origine de plus de 80 % des incidents.

Les malfaiteurs étudient aujourd’hui l’utilisation de l’intelligence artificielle (IA) pour automatiser et accélérer leurs attaques, au moyen de logiciels malveillants, de tentatives de phishing et d’outils de clonage vocal plus efficaces.

Avec la multiplication des appareils mobiles connectés, le nombre d’attaques ne semble voué qu’à augmenter. Il a ainsi été constaté une croissance des incidents, favorisés par la vulnérabilité des systèmes de cybersécurité dans ce domaine.

La prévention des cyberattaques est donc de plus en plus difficile et les enjeux, de plus en plus élevés. Les capacités et les outils de détection et de réponse précoces s’avèrent de plus en plus importants.

Environ 90 % des incidents sont contenus rapidement. Mais si une attaque n’est pas contrée dès les premiers instants, il sera très vite difficile d’éviter un sinistre grave et coûteux.

Les entreprises doivent augmenter leurs budgets de sécurité informatique destinés aux mesures de détection et de réponse, et non pas se contenter d’ajouter une énième barrière de protection.

Seul un tiers des entreprises décèlent une violation de données grâce à leurs propres équipes de sécurité. Or, les technologies de détection précoce sont facilement disponibles et efficaces.

Les violations de données peuvent devenir 1 000 fois plus coûteuses si elles ne sont pas détectées et contenues rapidement, souligne le rapport d’Allianz Commercial. Cette analyse montre qu’une détection et une réponse précoces permettent d’éviter qu’un sinistre de 20 000 euros coûte finalement 20 millions d’euros.