Alors que nous entamons le dernier mois de l’année, David Higgins, directeur technique chez CyberArk, pose son regard sur l’année écoulée, afin d’en tirer les principaux enseignements en matière de cybersécurité. Pour lui, trois tendances ont particulièrement émergé et pourraient conditionner l’année 2023 :
Les attaques de phishing continuent de prospérer
« Les attaques de phishing restent omniprésentes, dans les multinationales comme dans les commerces indépendants. Les employés ont fait beaucoup de progrès pour les identifier, en particulier celles par emails, mais plusieurs attaques récentes et très médiatisées à l’encontre de grandes entreprises technologiques suggèrent un recours à des techniques, à plusieurs volets, de plus en plus sophistiquées. »
Lassitude croissante envers l’authentification multifacteur (MFA)
« Au cours de cette année, nous avons constaté plusieurs nouvelles pratiques visant à la compromettre la MFA, notamment les campagnes d’ingénierie sociale qui ciblent la ʺfatigueʺ des utilisateurs envers cette méthode d’authentification. En général, il s’agit d’acteurs malveillants qui exécutent un script, lequel tente à plusieurs reprises de se connecter avec des informations d’identification volées, provoquant ce qui ressemble à un flux sans fin de demandes de push MFA à envoyer à l’appareil du propriétaire du compte. L’idée est de submerger les cibles afin de les pousser soit à approuver accidentellement ou bien à simplement accepter la demande d’authentification, pour mettre fin au déluge de notifications qu’elles reçoivent sur leur terminal. Dès qu’elles le font, le cybercriminel s’insère insidieusement et entre en action. »
L’identité est presque toujours le point d’accès dans la chaine d’attaques
« L’identité reste un vecteur populaire pour les cybercriminels qui cherchent des points d’entrée efficaces et rapides dans les entreprises. Beaucoup ont pris conscience de l’intérêt à cibler les identités “machine” souvent plus productives que les identités “humaines”. Sachant qu’il existe en effet 45 identités “machine” pour une identité “humaine”, il y en a donc beaucoup plus à défendre. Par conséquent, les surfaces d’attaque s’étendent rapidement et la pression sur les assurances de cybersécurité et les exigences de conformité augmentent.
Ce problème prend de l’ampleur et devient plus complexe, à mesure que les environnements informatiques numériques évoluent. Pourtant, selon notre étude, moins de la moitié (48 %) des entreprises ont mis en place des contrôles de sécurité des identités pour leurs applications critiques.
Cette explosion des identités, alors que les investissements en cybersécurité sont en retard, entraîne une accumulation de la “dette” de cybersécurité, qui expose les organisations à un risque encore plus important. Il s’agit d’un problème que nous devons résoudre de toute urgence. »
Tribune par David Higgins, directeur technique chez CyberArk