Les 7 raisons qui expliquent pourquoi les cyber-menaces ciblent les petites entreprises

Les hackers et les cybercriminels se tournent de plus en plus vers les petites entreprises pour de nombreuses raisons, lisez ce qui suit pour savoir ce que vous devez connaître pour bien protéger votre entreprise des menaces sur la cybersécurité.

Menaces sur la cybersécurité des petites entreprises

Il est parfois difficile de comprendre pourquoi certains criminels agissent ainsi. Dans la plupart des cas, c’est lié à de bonnes raisons. La première motivation de ces personnes concerne l’argent, la seconde est sans doute liée à la volonté de créer le désordre. Pour d’autres, il s’agit juste de faire quelque chose parce que c’est possible. En fait, les choses ne sont pas différentes sur Internet. Internet permet d’accéder de façon presque illimitée à la vie des gens, à leur argent et à quasi tout ce qu’ils possèdent, ce qui est tellement attirant pour de nombreux criminels qu’ils ne peuvent pas à y résister. Pour lutter contre le nombre croissant de cyber-menaces, de grandes entreprises recrutent des experts en informatique et utilisent les dernières technologies, ce qui explique pourquoi les cybercriminels ciblent de plus en plus des PMEs.

D’après Symantec, les petites entreprises subissent près de 50% des cyberattaques et représentent donc la part du lion. Le rapport de Symantec sur les menaces sur la cybersécurité en 2016 indique qu’environ 1 petite entreprise sur 40 est menacée par la cybercriminalité, soit beaucoup moins que le nombre de grandes entreprises. La statistique la plus révélatrice concerne la hausse constante de la proportion des attaques qui ciblent les petites entreprises au cours des 6 dernières années, qui est passée de 18% de toutes les attaques en 2011 à 43% en 2015. Un rapport de Keeper Security dépeint une image encore plus sombre. Selon leurs données, au moins 50% des petites entreprises ont connu une cyberattaque au cours des 12 derniers mois.

Pourquoi les cybercriminels ciblent-ils les petites entreprises?

Même s’il existe un grand nombre de raisons pour lesquelles un cybercriminel peut cibler une petite entreprise, il existe des raisons fondamentales que doivent connaître les chefs d’entreprise. Voici la liste des 7 principales raisons pour lesquelles les cyber-menaces ciblent les petites entreprises.

N°1: Pas de service informatique.

Les petites entreprises sont beaucoup plus susceptibles d’avoir une équipe informatique réduite ou inexistante. Cela signifie que les dispositifs, les réseaux, les sites Web et les serveurs ne sont probablement pas à jour par rapport aux meilleures pratiques, n’ont pas installé les dernières mises à jour pour leurs logiciels et dispositifs, et il n’y a personne pour prendre le contrôle d’une situation si une attaque a lieu.

N°2 : Moins enclines à suivre les meilleures pratiques sur internet.

Le monde de la petite entreprise est dur. Le plus souvent, les salariés doivent jouer plusieurs rôles, passer d’un travail à l’autre, souvent entremêler vie professionnelle et vie personnelle et tout faire avec un budget restreint. Si les propriétaires d’entreprise et les employés sont plutôt au fait des dernières techniques, il est probable qu’ils ne suivent pas les meilleures pratiques en utilisant Internet et leurs réseaux, ce qui les rend fragiles en cas d’attaque.

N°3 : Réseaux et systèmes simples.

Les petites entreprises ont des réseaux beaucoup plus simples que les grandes entreprises. Une grande entreprise peut avoir une salle pleine de serveurs, ou plus d’une salle de serveurs, reliant des centaines ou des milliers d’ordinateurs et d’appareils dédiés à différentes tâches. Une petite entreprise ne peut avoir qu’un seul serveur, le cas échéant, et une poignée d’ordinateurs et d’appareils avec une configuration beaucoup moins sophistiquée qui est donc plus facile à appréhender.

N°4 : Utilisation du cloud.

Les petites entreprises peuvent davantage compter sur le cloud qu’une grande entreprise avec l’infrastructure informatique qui répond à ses propres besoins. Chaque fois que vous accédez au cloud, stockez ou partagez quelque chose, vous mettez les données, mais aussi le réseau et l’entreprise en danger. Et puis il y a une chance que le serveur d’hébergement du cloud que vous utilisez soit ciblé et hacké, même si ce n’est pas votre faute, ce qui met, une fois de plus votre entreprise en danger.

N°5 : Utilisation de logiciels, de sites Web, SaaS ou PaaS tiers

Les petites entreprises sont plus enclines à s’appuyer sur une suite logicielle, un site Web, SaaS ou PaaS tiers qu’une grande entreprise. Une grande entreprise est plus susceptible d’avoir une solution propriétaire ou en interne. L’utilisation d’une solution externe pour répondre à une action sur Internet met votre entreprise en péril de bien des façons. Cela concerne tout d’abord la connexion elle-même, qui peut être ou non sécurisée, puis il y a l’opportunité que les pirates ciblent ce service et ensuite l’utilisent comme une passerelle vers votre réseau informatique.

N°6 : Big Data.

La quantité de données existante est juste impressionnante. Chaque fois qu’un site Web est utilisé, que des données sont accessibles, que les publicités sont consultées, que des pages sont likées et des comptes sur les réseaux sociaux ouverts, cela crée des données. Une petite entreprise peut avoir en moyenne un nombre aussi important que 250 000 événements de ce type par jour et aucun moyen de suivre les données qui sont légitimes et celles qui sont anormales. Et même si elles le faisaient, les petites entreprises n’auraient pas le temps d’exploiter ces données. Les grandes entreprises ont le pouvoir d’analyser de grandes quantités de données en détail, ce qui signifie qu’elles peuvent repérer et traiter les cyber-menaces potentielles en temps réel, au fur et à mesure qu’elles se produisent, au lieu d’essayer de comprendre ce qui s’est passé après coup.

N° 7: Cible facile.

Peu importe la manière dont vous regardez les choses ou la raison pour laquelle vous vous y intéressez, il est tout simplement plus facile pour les cybercriminels de cibler les petites entreprises qu’une grosse entreprise. Les grandes entreprises ont à la fois le temps, l’argent et les ressources pour utiliser les dernières technologies de pointe afin de se protéger elles-mêmes ainsi que leurs réseaux et leurs données. Les petites entreprises ne le font pas et c’est ce qui fait la différence. Cela ne veut pas dire qu’une petite entreprise ne peut être protégée en termes de cybersécurité car c’est dans ses capacités et ce n’est vraiment pas aussi difficile qu’il y paraît. Par ailleurs, il existe beaucoup plus de petites entreprises que de grandes entreprises, ce qui rend leur ciblage beaucoup plus facile. Les analystes ont en fait qualifié les petites entreprises d’être un «point d’accès facile» pour un hacker, offrant plus de potentiel qu’un particulier, mais beaucoup moins de sécurité qu’une grande société.

Comment protéger votre petite entreprise contre les menaces du web

Il est possible de protéger votre entreprise contre les potentielles menaces que représente Internet. La clé est de rester au courant des tendances et de s’assurer d’avoir les meilleures pratiques. En ce qui concerne Internet et les menaces du web, cette bataille a lieu sur deux fronts. Le premier concerne les menaces générales, et le second les menaces spécifiques.

Les menaces générales sont celles que peuvent rencontrer un secteur ou des entreprises en général. Par exemple, une entreprise de logiciels a développé une nouvelle méthode de gestion des paiements et celle-ci est adoptée par les détaillants. Si les cybercriminels trouvent une faille ou une autre porte d’entrée dans le système, chaque détaillant est en danger, et donc pas seulement une seule entreprise. Des failles de sécurité ayant permis un hacking massif de données, c’est ce qui s’est produit pour le hacking concernant notamment Target et Home Depot en 2015/2016 : cela était dû au même virus de hacking de données. Ce type de menace ne se limite pas aux détaillants, mais à toute entreprise en mode vertical où il peut y avoir une utilisation généralisée du même logiciel et ou le partage de données est menacé.

Les menaces spécifiques sont des attaques ciblées dirigées contre un réseau ou une entreprise spécifique et qui peuvent entraîner des temps d’arrêt, des pertes de données voire même les deux. Pour un cybercriminel expérimenté, les données sont comme le Saint Graal. Il est important de savoir comment le réseau local est configuré, comment les données sont accessibles et qui a accès à celui-ci. La sécurité est plus facile lorsque les informations de l’entreprise et les sites Web sont gérés sur les serveurs internes. Par contre, c’est beaucoup plus difficile quand cela est géré à partir du cloud. Le nombre et les types d’attaques spécifiques n’ont pas de limite et deviennent de plus en plus sophistiquées chaque jour. L’accès à un réseau d’entreprise peut être réalisé à l’interne ou à l’externe. Un pirate peut tenter de se faufiler à travers la sécurité du réseau, ou il peut simplement laisser un appareil placé là où quelqu’un qu’il cible pourrait le récupérer. Si l’appareil est placé au sein d’une entreprise puis allumé et connecté au réseau local, alors le pirate aura alors immédiatement accès à celui-ci.

Il existe deux formes courantes d’attaque que sont le rançongiciel et le hameçonnage. Le rançongiciel – ou ransomware en anglais – est un logiciel qui empêche l’utilisation d’un réseau, ou menace de publier des données publiquement, jusqu’à ce que les propriétaires paient une «rançon» pour le débloquer. Cette attaque a vu le jour vers la fin des années 80 et s’est beaucoup développée ces dernières années. Dans certains cas, le logiciel malveillant ira jusqu’à chiffrer le disque dur entier de l’ordinateur ou du serveur, rendant les données impossibles à récupérer sans la bonne clé. Le hameçonnage (en anglais spear-phishing) est une forme avancée par rapport aux anciennes attaques de phishing où les pirates volaient des données personnelles pour pouvoir réaliser leurs méfaits. Le hameçonnage s’étend désormais aux petites et grandes entreprises. Les criminels peuvent tenter de se faire passer pour un PDG ou un autre dirigeant et demander des informations sensibles ou même demander un transfert financier. Selon Symantec, le nombre de campagnes d’hameçonnage a augmenté de plus de 50% de 2014 à 2015 et on s’attend à de nouvelles augmentations en 2016.

Meilleures pratiques d’Internet pour les petites entreprises

• Utilisez, si possible, toujours des serveurs internes pour vos données et vos sites web

Le cloud, SaaS et PaaS sont de plus en plus utilisés, mais les attaques les visant ne cessent non plus de se développer. Chaque fois que vous mettez vos données et informations sur les serveurs de quelqu’un d’autre, vous les mettez en danger. Le fait de les garder plus en sécurité sur vos propres serveurs ne supprime pas totalement les risques, mais permet de réduire l’exposition de vos données. Sachez qu’un serveur ayant un tarif accessible autour de 350 € peut être mis en place par votre spécialiste informatique, que ce soit par un salarié ou un sous-traitant.

• Utilisez toujours des pare-feu.

Les pare-feu représentent la première ligne de défense d’une attaque extérieure. Ils sont conçus pour détecter les requêtes des connexions et des logiciels demandant l’accès à votre réseau et empêcher les menaces ou logiciels douteux de s’y immiscer. Le seul inconvénient, c’est que les pare-feu peuvent aussi parfois bloquer un bon logiciel mais ce problème reste facilement corrigeable via une simple modification des autorisations.

• Utilisez toujours un antivirus et un anti-malware.

Ces suites de logiciels protègent vos périphériques, votre réseau et vos données contre les infections qui passent par le pare-feu. Il existe deux sortes d’anti-virus sur le marché aujourd’hui, ceux dits de liste noire et ceux de liste blanche. En fait, chacun d’entre eux présente ses propres avantages et inconvénients. L’antivirus liste noire protège contre les menaces connues, alors que l’antivirus liste blanche permet uniquement l’accès aux logiciels sains à votre réseau. Dans un cas comme dans l’autre, ils peuvent empêcher les fuites de données, le rançongiciel et d’autres menaces sous forme de logiciel de nuire à votre réseau.

• Faites attention aux pièces jointes des e-mails.

C’est ce qui est le plus ciblé dans les attaques chez les petites entreprises. Les cyberpirates, les escrocs informatiques, les spécialistes de l’hameçonnage et bien d’autres peuvent essayer d’utiliser le courrier électronique pour déployer des logiciels malveillants, accéder à votre réseau ou voler des données. Les collaborateurs doivent uniquement utiliser leur messagerie professionnelle au travail, de préférence sur un serveur interne, afin que vous puissiez contrôler l’accès et vous assurer que les antivirus et outils appropriés contre les logiciels malveillants sont utilisés. Les employés doivent uniquement accepter des e-mails d’expéditeurs qu’ils connaissent et ne jamais ouvrir les pièces jointes qui émanent de sources non fiables.

• Aucun appareil personnel.

Les appareils personnels sont l’une des plus grandes faiblesses d’un réseau de petite entreprise. Cela n’a aucun sens de prendre les mesures nécessaires pour assurer des niveaux élevés de sécurité du réseau si vous permettrez à un appareil tiers d’y entrer, de s’y connecter et de faire ce qu’il veut. Les appareils personnels peuvent être sûrs, mais ils peuvent également être infectés par un nombre incalculable de logiciels malveillants qui causeront des ravages sur un réseau ou laisseront passer un accès non autorisé.

• Aucun périphérique externe sur votre Wi-Fi.

Des périphériques extérieurs peuvent se connecter de temps en temps à votre réseau, si c’est contrôlé. Tout d’abord, aucun périphérique « trouvé » ne devrait être autorisé à se connecter à votre réseau car c’est une méthode très utilisée pour déployer des logiciels malveillants. Ensuite, si vous souhaitez ou avez besoin de maintenir un accès Wi-Fi public ou de permettre aux clients d’utiliser le Wi-Fi dans votre bureau ou dans vos bâtiments, cela doit se faire au minimum depuis un routeur distinct et au mieux via une connexion Internet différente.

• Changez les mots de passe régulièrement.

Les mots de passe protègent tous les réseaux, les périphériques et les données. Il est nécessaire de changer ces mots de passe régulièrement. Si vous voulez utiliser des mots de passe vraiment sécurisés, utilisez un processus d’authentification à deux étapes.

• Sauvegardez vos données.

Toute personne qui a déjà utilisé un ordinateur ou tout autre appareil connecté doit savoir sauvegarder ses données. Ce qui est triste, c’est que trop peu de gens suivent les conseils donnés pour la sauvegarde des données de leur appareil. Sauvegardez vos données régulièrement, quotidiennement pour les entreprises, peut vous éviter beaucoup de tracas et pas seulement des cybermenaces. Dans ce dernier cas, si vous avez été ciblé par un rançongiciel et que vous avez une sauvegarde sur un système isolé, vous pourrez l’utiliser au lieu de payer la rançon exigée.

• Utilisez le cryptage.

Le cryptage ou chiffrement des données était auparavant un moyen utilisé seulement par les meilleures agences gouvernementales et structures d’espionnage, mais c’est maintenant un outil qui peut être utilisé par n’importe qui. Le cryptage de vos données est le seul moyen de s’assurer que, si celles-ci sont interceptées ou volées, elles ne pourront toutefois pas être utilisées par les criminels. Cela peut être réalisé de diverses façons, le plus facile étant d’utiliser un logiciel de cryptage d’une société fiable comme Symantec.

• Souscrivez à une cyber-assurance.

Non, votre assurance responsabilité civile professionnelle, si elle est simple, ne couvre pas les pertes dues au vol de données, mais vous pouvez toutefois souscrire à une cyber-assurance. Il s’agit d’une responsabilité civile professionnelle spéciale qui assure contre la perte liée au cybercrime. Pour l’optimiser, assurez-vous d’être couvert tant pour vous que pour des tiers, afin de protéger votre entreprise et la responsabilité que vous pourriez avoir envers vos clients ou vos partenaires commerciaux.

• Utilisez un VPN.

Un VPN ou réseau privé virtuel, est la technologie créée par les grandes entreprises et le gouvernement américain pour assurer des connexions privées, sécurisées et cryptées via des réseaux publics, ce qui correspond à ce que nous appelons Internet. Ce logiciel et service crée une connexion cachée via des serveurs dédiés que les cyber-pirates ne peuvent pas voir, ne peuvent pas suivre et ne peuvent pas utiliser pour vous nuire. Un VPN masque également les adresses IP, ce qui fait que si un criminel surveille un site ou un réseau que votre entreprise utilise, il ne saura pas qui vous êtes ou où vous vous trouvez. Le VPN peut être installé sur des périphériques individuels pour protéger les utilisateurs distants qui accèdent à votre réseau ou qui sont installés sur votre routeur pour que n’importe quel périphérique qui accède à Internet via votre réseau soit automatiquement protégé des menaces sur la cybersécurité.

Services VPN en ligne pour les petites entreprises

La technologie VPN était auparavant très difficile à déployer, elle demandait une très bonne connaissance du protocole Internet et n’était pas accessible au public. Maintenant un VPN est disponible dans le commerce et se présente sous plusieurs formes. Le mieux est d’utiliser un service payant, cas s’il existe de nombreux services gratuits, ils ne font souvent pas au final ce qu’ils disent faire. Certains utilisent l’appât de la «sécurité» pour attirer les victimes. Vous pensez peut-être que vous protégez votre réseau et vos données, et que vos emplacements sont sécurisés, mais si le service VPN collecte vos données, ce n’est pas le résultat escompté. Ce type de fournisseur peut même vendre les données de votre entreprise à un tiers, ou les diffuser.

Le VPN est l’un des principaux fournisseurs de services VPN avec des serveurs dans plus de 100 pays. Il propose 5 protocoles ainsi qu’une solution HybridVPN/ SmartDNS pour le streaming de contenus depuis n’importe quel endroit dans le monde. L’Open Source OpenVPN assure le plus haut niveau de sécurité et de cryptage. Tous ces protocoles masquent l’adresse IP et fournissent des connexions privées sécurisées pour un abonnement limité à 4,95 € par mois. Cette technologie peut être utilisée sur PC, Mac, tablettes et smartphones ainsi que sur un routeur pour protéger l’ensemble du réseau. Effectivement, le fait que cela fonctionne pour grande entreprise est encore plus valable pour une petite entreprise.

*Article mis à jour le 1er mars 2019.*