« Une fuite de données met en péril plus de 150 millions d’utilisateurs. » « Un pirate informatique divulgue 33 millions de noms d’utilisateur et de mots de passe. » Cela vous rappelle quelque chose ? Alors que les technologies de sécurité progressent et deviennent de plus en plus sophistiquées, les entreprises peinent à se conformer aux exigences les plus récentes. Il ne se passe pas un jour sans que l’on entende parler d’une nouvelle fuite de données ou d’une intrusion. Voyons quelles sont leurs différences et comment empêcher une fuite des données dans votre entreprise.
Tout d’abord, qu’est-ce qu’une fuite de données ? En quelques mots, il s’agit d’un incident de sécurité au cours duquel des données privées sont mises à la disposition de parties non autorisées. Elles peuvent être volées, transférées accidentellement ou données volontairement. Les données divulguées peuvent être numériques (fichiers électroniques) ou physiques (documents, lettres, images, appareils). Cependant, une fuite de données n’est pas la même chose qu’une intrusion.
Intrusion ou fuite de données : Quelle est la différence ?
Bien que ces termes soient parfois utilisés de manière interchangeable, il ne faut pas les confondre. Les deux ont la même conséquence : la divulgation de données non autorisées. La différence réside dans la cause.
Les fuites de données sont généralement dues à de mauvaises mesures de sécurité ou à des actions accidentelles. Dans la plupart des cas, les fuites informatiques ne sont pas malveillantes et l’erreur humaine est en cause. Les chercheurs en sécurité de vpnMentor explorent les bases de données ouvertes depuis des années. L’une des découvertes les plus importantes a été faite en 2020 : ils ont découvert que l’application Key Ring avait utilisé un stockage Amazon S3 mal configuré pour stocker 44 millions d’enregistrements, notamment des pièces d’identité, des informations sur les assurances, des permis de conduire et des cartes bancaires. Même si aucun acteur malveillant ne l’a remarqué avant l’entreprise, et que celle-ci a pris soin de fermer la base de données, il s’agit toujours d’une fuite de données.
Les intrusions, quant à elles, sont délibérées. Une intrusion se produit lorsqu’un cybercriminel attaque une entreprise ou une base de données et parvient à obtenir des informations secrètes et sensibles. Les tactiques couramment utilisées lors des intrusions consistent en des attaques DDoS, des logiciels malveillants et des techniques d’ingénierie sociale qui permettent de déjouer les défenses de l’entreprise. Les conséquences des intrusions et des fuites de données sont les mêmes, mais les fuites n’ont pas l’intention malveillante des intrusions.
Types de fuites de données
Si vous voulez repérer rapidement les fuites de données, vous devez identifier les différents incidents et stratégies qui peuvent en être à l’origine.
L’erreur humaine
Une fuite involontaire peut être causée par un événement aussi anodin que l’envoi d’un e-mail confidentiel à la mauvaise adresse. Le fait de laisser une base de données contenant les données de vos clients accessible au public ou de perdre un appareil permettant d’accéder à ces informations est également considéré comme une fuite de données accidentelle. Toutefois, les conséquences dépendent de la personne qui a reçu l’e-mail ou qui a trouvé la faille lui permettant d’accéder à la base de données. Certains la suppriment, tandis que d’autres ont des idées sournoises.
Escroqueries et intrusions dans le système
Parfois, des personnes cherchent des failles dans votre sécurité, telles que des logiciels sans données ou des bugs dans le système, pour prouver qu’elles existent. Elles ne vous attaquent pas ouvertement. Elles cherchent plutôt des failles pour accéder à des informations qui ne sont pas censées être accessibles de l’extérieur. D’autres sont susceptibles d’utiliser des tactiques d’ingénierie sociale afin de créer l’environnement idéal pour une fuite de données.
Fuite intentionnelle de données
Bien que les fuites de données ne soient souvent pas malveillantes, elles peuvent être provoquées délibérément. Un employé qui accède aux secrets de l’entreprise ou aux dossiers des utilisateurs pour les revendre à des fins lucratives peut être à l’origine d’une telle situation. Il peut également s’agir d’un lanceur d’alerte qui s’oppose moralement à ce dont il est témoin dans son entreprise et qui utilise les informations divulguées pour dénoncer les faits. Quoi qu’il en soit, ces personnes savent ce qu’elles font et s’efforcent généralement de rester anonymes, car elles travaillent de l’intérieur.
Quel type de données est en danger ?
Les fuites de données sont terribles pour les victimes et sont une occasion en or pour les cyber-escrocs, qui cherchent généralement à récupérer des informations sensibles pour réaliser des profits considérables. Ils recherchent des données identifiables telles que les noms, les adresses, les numéros de sécurité sociale et les numéros de cartes de paiement. Ces données peuvent ensuite être utilisées pour des usurpations d’identité et le blanchiment d’argent. Les identifiants de connexion volés sont souvent regroupés dans des bases de données de fuites de mots de passe et vendus sur le dark web.
Lorsque des acteurs malveillants cherchent à nuire à une entreprise spécifique, les informations qu’ils recherchent peuvent aller au-delà des données personnelles identifiables. Par exemple, ils peuvent cibler des informations sensibles de l’entreprise, telles que des communications internes ou des plans stratégiques. Les secrets industriels et la propriété intellectuelle, tels que les codes et les logiciels propriétaires, peuvent également être ciblés.
Aujourd’hui, les données sont primordiales. Face à des cyberattaques de plus en plus fréquentes, les entreprises doivent prendre des mesures radicales pour garantir la sécurité absolue de leurs données.
Comment les données divulguées sont-elles utilisées ?
Une fois que les pirates informatiques ont mis la main sur des données issues d’une fuite ou d’un vol, ils peuvent les exploiter pour atteindre leurs objectifs. Voici quelques exemples d’utilisation de données divulguées à des fins malveillantes.
Ingénierie sociale
Les données divulguées comprennent souvent des informations identifiables telles que des noms, des mots de passe et des adresses électroniques. Les pirates informatiques peuvent utiliser ces informations dans le cadre d’attaques d’ingénierie sociale. Le phishing est une attaque au cours de laquelle les pirates envoient de faux e-mails qui se font passer pour une source fiable afin d’inciter la victime potentielle à télécharger une pièce jointe malveillante ou à cliquer sur un lien dangereux. Sans les fuites de mots de passe, les pirates informatiques auraient plus de difficultés à cibler et à mener à bien leurs attaques.
Doxing
Le doxing, ou doxxing, est le fait de divulguer des informations identifiables, telles que le nom, l’adresse et le numéro de téléphone d’une personne, avec une intention malveillante. Après avoir acquis des données issues d’une fuite, les pirates disposent généralement de plus d’informations qu’il n’en faut pour diffamer une personne. Le « doxing » vise souvent une personne ou un groupe de personnes en particulier et a toujours été utilisé dans le cadre de campagnes de harcèlement.
Ralentissement ou perturbation des activités commerciales
Une fuite de données peut avoir un impact extrêmement négatif sur l’organisation touchée. Selon la National Cyber Security Alliance (Alliance nationale pour la cybersécurité), 60 % des entreprises cessent leurs activités dans les six mois suivant une fuite de données.
Exemples concrets de fuites de données et d’intrusions
Les fuites de données et les intrusions sont plus fréquentes que jamais, et les experts estiment que la multiplication de ces cyberincidents ne fera qu’augmenter à l’avenir. Voici quelques incidents majeurs qui ont mis les entreprises du monde entier sur le qui-vive, certains ayant des conséquences plus graves que d’autres :
ChatGPT
En mars 2023, un bug a été découvert dans le chatbot ChatGPT d’OpenAI, entraînant la fuite de données sur les clients, notamment leurs noms, les titres des chats et quelques données de cartes bancaires. L’équipe a souligné que les numéros de cartes bancaires n’ont pas été divulgués dans leur intégralité et que les données obtenues lors de l’intrusion se limitaient aux quatre derniers chiffres des numéros de cartes bancaires, ainsi qu’aux dates d’expiration. La plateforme a été temporairement mise hors ligne pour corriger le problème.
Credit Suisse
En février 2022, un lanceur d’alertes a été à l’origine d’une fuite de données visant à démasquer un certain nombre de criminels de premier plan qui utilisaient les services de la banque Credit Suisse. La fuite a touché plus de 18 000 comptes. Les données divulguées ont été communiquées au journal allemand Süddeutsche Zeitung, qui a publié une enquête sur le système bancaire suisse.
Twitch
En octobre 2021, la plateforme de streaming Twitch a révélé qu’elle avait subi une intrusion touchant un nombre important de données. L’intrusion a divulgué plus de 100 Go de données sensibles, comprenant les noms, adresses, e-mails et revenus des streamers.
Facebook
Le 3 avril 2021, un expert en sécurité a découvert une fuite massive de données concernant 533 millions d’utilisateurs de Facebook. Au total, la fuite a produit 2 837 793 637 points de données. Au global, les pirates ont divulgué au moins cinq types de données par utilisateur, notamment des numéros de téléphone, des noms complets, des dates de naissance, des identifiants Facebook, des adresses électroniques et des biographies d’utilisateurs.
Experian
En février 2021, des rapports ont fait état de la plus importante intrusion de l’histoire du Brésil, qui a divulgué les informations sensibles de plus de 200 millions de personnes et de 40 millions d’entreprises. Le coupable est soupçonné d’être Serasa Experian, une société fournissant des services d’information et de données. Les données divulguées comprenaient des informations personnelles identifiables telles que les dates de naissance, les noms complets, les adresses, les photos, les scores de crédit, les revenus et d’autres données financières.
Comment prévenir les fuites et les violations de données
Pour minimiser le risque de fuite de données, il est indispensable de mettre en place des pratiques et des procédures de sécurité dans votre entreprise. N’oubliez pas que vous ne pouvez pas toujours contrôler tous les aspects de la sécurité. Il est impossible de savoir si l’on est susceptible de devenir une cible, ni quand. Cependant, quelques mesures préventives vous permettront de rester serein.
Contrôlez vos données
Vous devez toujours conserver des sauvegardes de vos données. Ne stockez pas pour autant de copies inutiles. En conservant vos données sensibles dans une base de données sécurisée plutôt que sur plusieurs terminaux, vous réduisez les risques de fuite. Il est également essentiel de savoir et de contrôler qui a accès à quelles informations. Les employés ne devraient être autorisés à accéder qu’aux données dont ils ont besoin pour leur travail. Vous éviterez ainsi les accidents et les fuites intentionnelles.
Placez des restrictions sur les e-mails de vos collaborateurs
Vous pouvez configurer Google Drive pour qu’il avertisse vos employés lorsqu’ils tentent de partager les fichiers de l’entreprise avec un tiers. Configurez également des filtres anti-spam et anti-hameçonnage pour réduire le risque d’attaques d’ingénierie sociale réussies.
Formez votre personnel
Il est indispensable que tous les membres de votre entreprise, en particulier ceux qui manipulent des données sensibles, aient une connaissance de base des risques potentiels en matière de cybersécurité. Les réceptionnistes et les analystes en chef doivent être sensibilisés aux attaques d’ingénierie sociale, aux types de logiciels malveillants et aux exigences de sécurité interne. S’ils sont conscients de l’ampleur des dégâts qu’une fuite de données pourrait causer à l’entreprise, ils agiront plus prudemment.
Mettez en place de solides mesures de sécurité dans votre entreprise
Utilisez des pare-feu pour protéger votre réseau et restreindre le trafic spécifique. Protégez-vous des logiciels malveillants, tels que les rançongiciels, les logiciels espions ou les enregistreurs de frappe. Utilisez un VPN avec un chiffrement puissant pour garantir des connexions sécurisées, en particulier si vos employés voyagent souvent ou télétravaillent. Assurez-vous qu’ils utilisent des mots de passe forts et activez l’authentification à deux facteurs pour leurs comptes les plus sensibles. Encouragez l’utilisation d’un générateur de mots de passe pour créer des mots de passe complexes, les stocker en toute sécurité dans un coffre-fort chiffré et les mettre à jour fréquemment pour éviter les fuites de mots de passe.
Préparez-vous au pire
Personne n’a envie de subir le pire des scénarios, mais les accidents peuvent survenir. C’est pourquoi il est judicieux de mettre en place un plan d’action et de gestion des dommages en cas de fuite de données. Si vous êtes victime d’une cyberattaque, chaque minute est précieuse et le fait de pouvoir agir rapidement peut vous permettre de faire des économies importantes et de préserver la confiance de vos clients sur le long terme.
Mettez en place une sécurité appropriée pour le stockage dans le cloud.
Ensuring the security of data stored in the cloud is imperative. Without appropriate security measures, sensitive information can be exposed and stolen. Take your time configuring your cloud storage following the best security practices, and if necessary, adopt additional tools to protect your cloud storage.
Évaluez et surveillez les risques de tiers.
Même si vous pouvez assurer une sécurité totale au sein de votre organisation, n’oubliez pas que vos données peuvent être divulguées par l’intermédiaire de tiers tels que vos partenaires et fournisseurs. Les attaques contre la chaîne d’approvisionnement se multiplient et les entreprises doivent évaluer la sécurité de leurs partenariats avec des tiers afin de minimiser le risque d’être victimes de fuites de données.
Pratiques de prévention des fuites de données
Il faut d’abord déterminer le type de données qui ont fait l’objet d’une fuite. Les noms de comptes, les adresses électroniques et les mots de passe se retrouvent souvent dans des fuites de données. Si votre compte a été touché, changez le mot de passe dès que possible. Si vous utilisez le même mot de passe ailleurs, vous devez également le modifier. Si vous ne le faites pas, vous risquez d’être victime d’une attaque par bourrage d’identifiants, et tous vos comptes en ligne seront menacés. Si votre carte bancaire ou vos coordonnées bancaires sont concernées, contactez immédiatement votre banque et bloquez vos cartes.
Si votre entreprise est victime d’une fuite de données, il est indispensable d’agir rapidement. Veillez à contenir la fuite dès que vous la découvrez. Lancez immédiatement une enquête détaillée pour savoir ce qui s’est passé exactement et pourquoi. Informez votre clientèle de la fuite. Communiquez toutes les informations pertinentes : la date et le type de fuite, ainsi que les systèmes et les utilisateurs concernés. Enfin, mettez à niveau l’infrastructure de sécurité de votre organisation pour réduire le risque d’incidents cybernétiques futurs.
Conclusion
Les fuites de données constituent une menace croissante de l’environnement numérique, et il est plus important que jamais de garder une longueur d’avance. Si vous vous inquiétez de la sécurité de vos données professionnelles et personnelles, vous pouvez prendre dès à présent des mesures pour les protéger. La première chose à faire est de mettre en place votre gestionnaire de mots de passe professionnel.
NordPass est un gestionnaire de mots de passe qui offre un stockage chiffré de toutes vos données sensibles, qu’il s’agisse de vos identifiants de connexion, de votre adresse, des numéros de votre carte bancaire ou de vos documents d’identité. Outre votre coffre-fort sécurisé, vous aurez également accès à des fonctionnalités qui contribuent à renforcer la sécurité de vos données, telles que l’outil Qualité des mots de passe, qui vérifie si vos mots de passe sont faibles ou réutilisés, et l’outil de surveillance des fuites de données, qui vous alerte si vous êtes concerné par une fuite de données relatives à un mot de passe. Gardez une longueur d’avance sur les fuites de données et colmatez les brèches du navire avant que vos données ne tombent entre de mauvaises mains.