« La fuite de données met en danger plus de 150 millions d'utilisateurs. » « Un pirate divulgue 33 millions de noms d'utilisateur et de mots de passe. » Ça ne vous rappelle rien ? Alors que les technologies de sécurité se développent et se perfectionnent, les entreprises ont du mal à suivre les exigences les plus récentes. Aujourd'hui, pas un jour ne passe sans que nous n'entendions parler d'une fuite ou d'une violation de données. Lisez la suite pour savoir en quoi elles diffèrent et ce que vous pouvez faire pour éviter que les données de votre entreprise ne fuient.
Une fuite de données est un incident de sécurité au cours duquel des informations privées deviennent accessibles à des personnes non autorisées. Ces personnes peuvent les voler, les transférer accidentellement ou les donner volontairement. Les données qui ont fait l'objet d'une fuite peuvent se présenter sous forme numérique (fichiers électroniques) ou physique (documents, lettres, images, appareils). Cependant, une fuite de données n'est pas la même chose qu'une violation de données.
Habituellement, les fuites de données se produisent en raison de mauvaises mesures de sécurité ou par l'action accidentelle d'une personne. Par exemple, les chercheurs en sécurité de vpnMentor sont depuis des années à la recherche de bases de données ouvertes. Lorsqu'ils parviennent à en trouver une, on appelle cela une fuite de données. Le mois dernier, ils ont découvert que l'application Key Ring utilisait un seau Amazon S3 mal configuré pour stocker 44 millions de données, notamment des pièces d'identité, des informations sur les assurances, des permis de conduire et des cartes de crédit. Même si aucun acteur malveillant ne l'a remarqué avant eux et que l'entreprise a pris soin de sécuriser la base de données, cela reste une fuite de données.
Les violations de données, quant à elles, se produisent lorsqu'un cybercriminel attaque une entreprise ou une base de données et parvient à obtenir des informations secrètes. Il utilise des attaques DDoS, des logiciels malveillants et l'ingénierie sociale pour percer les défenses de l'entreprise. Les conséquences des violations de données et des fuites sont similaires, mais les méthodes diffèrent.
Types de fuites de données
Fuite intentionnelle de données
Il peut s'agir d'un employé qui vend les secrets de l'entreprise ou les dossiers des utilisateurs pour un gain financier personnel. Il peut également s'agir d'un lanceur d'alerte qui éprouve des réserves morales à ce qu'il voit dans l'entreprise pour laquelle il travaille. Dans tous les cas, il sait ce qu'il fait et essaie généralement de rester anonyme.
Fuite accidentelle de données
Une fuite non intentionnelle peut se produire lors d'un acte aussi banal que l'envoi d'un e-mail confidentiel à une mauvaise adresse. On considère également comme une fuite de données accidentelle le fait de laisser une base de données contenant les données de vos clients accessible au public. Mais les conséquences dépendent en fin de compte de la personne qui a reçu l'e-mail ou trouvé la faille lui permettant d'accéder à la base de données.
Un outsider travaillant pour nuire à l'entreprise
Sometimes people will look for gaps in your security to prove that they exist. They will not attack you openly. Instead, they will look for loopholes and bugs in the system that will allow them to access information that's not supposed to be accessible from the outside.
Quel type de données est en danger ?
Les cybercriminels recherchent des informations sensibles qui peuvent leur rapporter quelque chose lors d'une fuite de données. En général, les pirates recherchent des informations permettant d'identifier les personnes, comme les noms, les adresses, les numéros de sécurité sociale et les numéros de carte de crédit.
Lorsque de mauvaises personnes cherchent à nuire à une entreprise spécifique, les informations qu'elles recherchent peuvent aller au-delà des données d'identification personnelle. Par exemple, les pirates pourraient voler des informations sensibles de l'entreprise telles que les communications internes et les plans stratégiques. Les secrets commerciaux et la propriété intellectuelle tels que les codes et les logiciels propriétaires peuvent aussi faire partie des choses que recherchent les pirates informatiques.
Aujourd'hui, les données sont primordiales. Et avec la fréquence croissante des cyberattaques, les entreprises doivent prendre des mesures sérieuses pour assurer la sécurité de leurs données afin de prospérer à l'ère numérique.
Comment les données divulguées sont-elles utilisées ?
Les pirates peuvent exploiter les données divulguées ou volées de diverses manières. En fin de compte, tout dépend de l'objectif final de ces personnes mal intentionnées. Voici quelques-unes des façons dont les données exposées peuvent être utilisées.
Social engineering
Les informations exposées dans les violations de données comprennent souvent des informations personnellement identifiables telles que des adresses e-mail et des noms. Les pirates peuvent utiliser toutes ces informations dans le cadre d'attaques d'ingénierie sociale telles que le phishing : un type d'attaque au cours duquel les pirates envoient de faux e-mails qui se font passer pour une source fiable afin d'amener la victime potentielle à télécharger une pièce jointe malveillante ou à cliquer sur un lien dangereux. Sans l'adresse e-mail, les noms et autres données sensibles, les pirates informatiques auraient moins de succès pour cibler et mener à bien leurs attaques.
Doxing
Le Doxing est un acte consistant à exposer des informations permettant d'identifier une personne, telles que son nom, son adresse personnelle, son numéro de téléphone et d'autres informations sensibles similaires, dans un but malveillant. Après avoir mené à bien une violation de données, les pirates disposent généralement de plus d'informations qu'ils n'en ont besoin pour faire vivre un cauchemar à la personne ciblée.
Ralentissement ou perturbation des activités commerciales
Une violation de données peut avoir un impact extrêmement négatif sur l'organisation touchée. Selon la National Cyber Security Alliance, 60 % des entreprises font faillite dans les six mois qui suivent une violation de données.
Exemples réels de fuites de données
Les violations de données sont plus fréquentes que jamais, et les experts pensent que la fréquence de ces cyberincidents ne fera qu'augmenter à l'avenir. Voici certaines violations de données graves qui ont frappé les entreprises du monde entier :
Twitch
En octobre 2021, Twitch , la plateforme de streaming de jeux, a révélé qu'elle avait subi une violation de données considérable. Le pirate prétendument à l'origine de cette violation a exposé plus de 100 Go de données sensibles, qui comprenaient les noms, adresses, adresses e-mail et même les revenus des streamers.
Experian
En février 2021, des rapports ont été publiés sur la plus importante violation de données de l'histoire du Brésil, qui a exposé les informations sensibles de plus de 200 millions de personnes et de 40 millions d'entreprises. Le coupable probable de cette fuite est Serasa Experian (une entreprise fournissant des services d'information et de données). Les données exposées comprenaient des informations personnellement identifiables telles que des dates de naissance, des noms complets, des adresses, des portraits, des évaluations des risques-clients, des revenus et d'autres informations financières.
Facebook
Le 3 avril 2021, un expert en sécurité a découvert une fuite majeure de données qui a touché 533 millions d'utilisateurs de Facebook. Au total, la fuite a produit 2 837 793 637 points de données. En moyenne, les pirates ont exposé au moins cinq types de données par utilisateur, qui comprenaient des informations telles que des numéros de téléphone, des noms complets, des dates de naissance, des identifiants Facebook, des adresses e-mail et des descriptions d'utilisateurs.
Comment prévenir les fuites et les violations de données
Pour minimiser le risque d'une fuite de données, vous devez établir des pratiques et des procédures de sécurité particulières dans votre entreprise. Rappelez-vous que vous ne pourrez pas contrôler chaque petit détail en matière de sécurité, vous ne savez jamais quand vous pourriez devenir la cible d'un cybercriminel. Cependant, prendre quelques mesures préventives vous donnera un peu de tranquillité d'esprit :
Contrôlez vos données
Vous devez avoir des sauvegardes de vos données en cas de problème, mais ne stockez pas de copies inutiles de données sensibles. En les conservant dans une base de données sécurisée au lieu de plusieurs terminaux, vous réduisez les risques de fuite. Il est également essentiel de savoir et de contrôler qui a accès à quelles informations. Les employés ne doivent être autorisés à accéder qu'aux données dont ils ont besoin pour leur travail. De cette façon, vous éviterez les accidents et les fuites intentionnelles.
Placez des restrictions sur les e-mails de vos collaborateurs
Vous pouvez configurer Google Drive pour qu'il avertisse vos collaborateurs chaque fois qu'ils essaient de partager les fichiers de l'entreprise avec une personne extérieure. Essayez également d'utiliser des filtres anti-spam et anti-hameçonnage pour réduire le risque que les attaques d'ingénierie sociale aboutissent.
Formez votre personnel
Une compréhension de base des risques potentiels de cybersécurité est essentielle pour chaque personne travaillant dans votre entreprise, surtout si vous gérez des données sensibles. De la réceptionniste à l'analyste en chef, chacun doit connaître les attaques d'ingénierie sociale, les types de logiciels malveillants et les exigences de sécurité interne. S'ils savent et comprennent les dommages qu'une fuite de données causerait à l'entreprise, ils sont tenus d'être plus prudents.
Mettez en place de solides mesures de sécurité dans votre entreprise
Utilisez des pare-feu pour protéger votre réseau et limiter le trafic spécifique. Assurez-vous que vous êtes à l'abri des logiciels malveillants, comme les rançongiciels, les logiciels espions ou les enregistreurs de frappe. Utilisez un VPN avec chiffrement robuste avec un chiffrement robuste pour garantir des connexions sécurisées, surtout si vos employés voyagent souvent ou travaillent à domicile. Assurez-vous qu'ils utilisent des mots de passe forts et une authentification à deux facteurs pour leurs comptes les plus sensibles. Encouragez l'utilisation d'un générateur de mot de passe pour créer un mot de passe complexe d'au moins 12 caractères et d'un gestionnaire de mots de passe pour les stocker en toute sécurité.
Préparez-vous au pire
Il est bon d'avoir un plan de réponse et de contrôle des dommages à disposition en cas de fuite de données. Si vous êtes victime d'une cyberattaque, chaque minute est précieuse, et être capable d'agir rapidement pourrait vous faire économiser beaucoup d'argent à long terme.
Mettez en place une sécurité appropriée pour le stockage dans le cloud.
Le stockage dans le cloud étant omniprésent, il est impératif de garantir la sécurité des données stockées dans le cloud. Sans mesures de sécurité appropriées, les informations sensibles peuvent être exposées et volées. Prenez votre temps pour configurer votre stockage dans le cloud en fonction des meilleures pratiques de sécurité et, si nécessaire, adoptez des outils de sécurité supplémentaires pour protéger votre stockage dans le cloud.
Évaluez et surveillez les risques de tiers.
Même si vous pouvez assurer une sécurité totale au sein de votre entreprise, n'oubliez pas que vos données peuvent être exposées via des tiers tels que votre partenaire et vos vendeurs. Comme attaques de la chaîne d'approvisionnement d'approvisionnement sont en hausse, les entreprises doivent évaluer leurs partenariats avec des tiers avisés en matière de sécurité afin de minimiser le risque d'être victime d'une violation de données.
Que faire si vos données ont fait l'objet d'une fuite de données ?
Tout d'abord, découvrez quel type de données a été divulgué. Les noms de comptes, les adresses e-mail et les mots de passe se retrouvent souvent dans les fuites de données. Si votre compte a été affecté, modifiez le mot de passe dès que possible. Si vous avez utilisé le même mot de passe ailleurs, vous devez le modifier sur ces autres comptes. Si vous ne le faites pas, vous serez exposé à une attaque de bourrage d'identifiants, et tous vos comptes en ligne seront en danger.
Si les informations relatives aux cartes de crédit et aux opérations bancaires ont été affectées, vous devez contacter votre banque immédiatement, et bloquer vos cartes et les paiements sur votre compte.
Si votre entreprise connaît une fuite de données, il est essentiel d'agir rapidement. Veillez à contenir la fuite dès que vous la découvrez. Commencez immédiatement une enquête détaillée pour savoir ce qui s'est passé exactement et pourquoi. Faites part de la violation à votre clientèle. Divulguez toutes les informations pertinentes : date de la fuite, systèmes affectés, utilisateurs affectés et type de fuite. Enfin, veillez à renforcer l'infrastructure de sécurité au sein de votre entreprise afin de réduire le risque de futurs cyberincidents.