COURS DE PHISHING: VOULEZ-VOUS HAMEÇONNER VOTRE SYSTEME DE FICHIERS?

Comme je l’ai souligné dans de nombreux articles, les pirates utilisent généralement des techniques assez peu sophistiquées pour pénétrer dans les serveurs des entreprises. Les mots de passe faibles vulnérables aux essais de force brute ou les portes dérobées qui n’ont jamais été supprimées de logiciels acquis constituent des vecteurs d’attaque simples. Pourrait-il y avoir quelque chose de plus simple ? En fait, c’est le cas : il suffit de demander leurs mots de passe aux employés !

Je parle bien entendu des attaques par hameçonnage, dans lesquelles l’appât prend la forme d’un e-mail contenant des informations personnelles que les pirates informatiques ont recueillies au cours d’une reconnaissance préalable. Cet e-mail est conçu pour paraître officiel. Il semble souvent provenir d’une banque ou d’un réseau de paiement gérant vos comptes (et votre argent), ou récemment, de services en ligne stockant courriers électroniques, fichiers ou autres informations sociales.

L’objectif est de prendre les victimes par surprise alors qu’elles naviguent dans leur boîte de réception, puis de les pousser à cliquer sur un lien qui menant à un site Web criminel. Plus les pirates disposent de données sur la « cible », plus le subterfuge a de chances de réussir.

Les pirates se concentrent souvent sur des cibles à forte valeur. Ce genre d’escroquerie a déjà permis de duper des cadres dirigeants au sommet de la hiérarchie, dans le but fréquent d’extraire des informations confidentielles ou de propriété intellectuelle, et éventuellement des renseignements embarrassants.

La sensibilisation est un moyen d’atténuer les attaques ciblant les dirigeants et les employés. Quelques entreprises ont porté cette idée à un niveau intéressant et provocateur : le directeur général d’une grande société de médias, lui-même victime d’un faux courrier électronique, a décidé d’hameçonner ses propres employés pour voir qui se laisserait tromper.

Ce directeur général a constaté que 58 % de ceux qui ont ouvert son phish-mail ont mordu et ont cliqué. Déçu, il a décidé de transformer l’événement en opportunité pédagogique. Il a finalement envoyé un courrier électronique à tous les employés de l’entreprise pour les informer des résultats de l’expérience et les inviter poliment à une plus grande vigilance.

Est-il possible de réaliser une expérience similaire dans le cadre des scénarios de sécurité de fichiers à propos desquels nous écrivons dans ce blog ? En d’autres termes, des contenus critiques avec des autorisations « tout le monde » ?

Je suppose qu’un responsable de la sécurité peut amorcer un dossier fréquenté du serveur de l’entreprise, par exemple avec un fichier au nom tentant du genre « Hautement confidentiel : résultats des tests du projet secret Dharma » [ou tout autre appât au choix], lui donner des permissions d’accès très larges, et voir ce qui se produit.

Soit dit en passant, Varonis DatAdvantage apporterait beaucoup de bons points dans le cadre d’une telle étude : nombre de collaborateurs ayant accédé à une certaine quantité de fichiers, fréquence, identification des employés, etc. Et Varonis DatAlert pourrait même vous alerter en temps réel, au moment où cela se produit. Pensez-y comme un pot de miel pour système de fichiers.

Les entreprises qui effectuent cette expérience d’hameçonnage sur un fichier et communiquent les résultats à leur personnel font en fait bien plus que sensibiliser les employés à la détection des données confidentielles. Une telle procédure pourrait faire partie d’un programme global de protection de la propriété intellectuelle. Si un incident de violation de secret commercial devait être porté devant les tribunaux, le type d’exercice que je viens d’esquisser démontrerait clairement que l’entreprise prend sa propriété intellectuelle au sérieux. Cette pratique et d’autres ne sont que quelques-unes des mesures raisonnables qui aident à prouver légalement qu’une entreprise possède un secret commercial.

Au fait, une enquête que nous avons réalisée récemment contient encore plus d’informations à ce sujet, ainsi que des résultats surprenants sur les fuites de propriété intellectuelle.

The post COURS DE PHISHING: VOULEZ-VOUS HAMEÇONNER VOTRE SYSTEME DE FICHIERS? appeared first on Varonis Français.