Pourquoi les périodes de vacances menacent votre cybersécurité & comment protéger votre société ?

Les vacances, synonymes de repos et d’évasion, peuvent malheureusement se transformer en véritable menaces pour la cybersécurité de votre société. Tandis que vous profitez de congés bien mérités (période estivale, fêtes de fin d’année, ponts printaniers…) et que vous relâchez la pression, les hackers préparent leur prochains mauvais coups. Alors ne vous laissez pas endormir par les cybercriminels ! Découvrez plutôt quelles sont les menaces les plus courantes qui pèsent sur votre cybersécurité, et surtout, comment protéger efficacement votre société.

Quels sont les principaux risques pour la cybersécurité de votre société pendant les périodes de vacances ?

Le phishing & l’Ingénierie sociale

Pendant les vacances, votre esprit est ailleurs et votre vigilance a tendance à diminuer. Et ça les pirates le savent bien ! C’est pourquoi cette période est propice à l’augmentation des attaques par Phishing et Ingénierie sociale. Car via ces deux procédés, ils cherchent la faille humaine pour réussir à obtenir vos données confidentielles ou vous pousser à réaliser des actions dangereuses (téléchargement de malwares, virement bancaires…).

Les cybercriminels usurpent donc l’identité de structures existantes pour vous envoyer des emails ou SMS (Smishing) frauduleux s’appuyant sur des scénarios crédibles en période de congés :

• un mail semblant provenir de Microsoft 365 qui vous demande de « vérifier vos informations d’identification » suite à une maintenance estivale et qui vous renvoie vers un formulaire destiné à voler vos identifiants / mot de passe
  
• un message urgent, sois disant envoyé par l’un de vos fournisseurs (matériel, logiciel en ligne, etc…), qui vous avertit d’une « suspension de service imminente » et vous demande de « mettre à jour vos informations de paiement » rapidement, via un lien qui a pour but de récupérer vos informations bancaires

Ces méthodes sont fréquemment utilisées et redoutablement efficaces. Notamment parce qu’elles génèrent un sentiment d’urgence lié à la continuité des opérations de votre société. Ainsi, grâce à leurs techniques de manipulation psychologique, issues de l’ingénierie sociale, les hackers peuvent jouer avec vos émotions et vous pousser à :

• donner la main en toute confiance au supposé technicien IT qui demande un accès urgent à votre PC pour résoudre un souci technique (Arnaque au faux support technique) et au final lui donner les clés du système informatique de votre entreprise
  
• ne pas vous méfier lorsqu’un escroc se fait passer pour l’un de vos fournisseurs habituels et réclame un paiement immédiat car « la personne qui s’en occupe d’habitude est en congés » (Arnaque au Président)

Utilisation de réseaux & matériel informatique peu sécurisés

Même si les périodes de vacances riment avec déconnexion, vos équipes peuvent tout de même être tentées de « juste jeter un œil à cet email ». Ce comportement (qui part pourtant d’une bonne intention) fait malheureusement courir de sérieux risques à votre société, en matière de cybersécurité.

Par exemple, votre collaborateur qui se connecte sans activer son VPN, au Wi-Fi public d’un aéroport ou d’un hôtel pour répondre à un email peut voir ses données interceptées (identifiants de connexion, informations sensibles) ou son activité espionnée par des individus malveillants. Car ces réseaux accessibles à tous, ne sont pas protégés (données non chiffrées). Ils constituent donc un terrain de chasse idéal pour les cybercriminels.

Autre scénario, qui fait également courir un risque non négligeable à votre structure : votre collaborateur qui utilise son matériel informatique personnel pour réaliser des tâches professionnelles. Car il est fort probable que ses propres appareils soient beaucoup moins sécurisés que ses équipements professionnels (antivirus à jour, VPN bien configuré, mises à jour régulièrement appliquées…). Ainsi, si par malheur l’une de ses machines est compromise, elle devient une porte d’entrée pour les hackers vers le réseau et les données de votre société.

Enfin, même si votre collaborateur reste vigilant et utilise son matériel professionnel, il n’est pas à l’abri d’une perte ou d’un vol durant son séjour. La perte d’un tel équipement peut alors donner aux pirates un accès direct à votre infrastructure informatique.

Ransomwares & attaques DDoS

Voici deux exemples typiques de menaces pour la cybersécurité de votre société en période de vacances. Elles sont déjà particulièrement dommageables en temps normal, mais deviennent encore plus insidieuses pendant les congés. Car elles misent sur le fait que votre entreprise fonctionne en effectif réduits et que vous serez donc moins réactif en cas d’attaque. Ce qui va bien évidemment maximiser leur effet.

Dans le cas d’une infection par ransomware (ce logiciel malveillant qui chiffre vos données en échange d’une rançon) les dégâts peuvent être considérables. Car qui dit moins de personnel, dit moins d’yeux pour repérer les premiers signes d’alertes et limiter la casse. Par conséquent ce malware a largement le temps de se propager sur votre réseau. Tandis que, les pirates vous mettent la pression en menaçant de publier les données qu’ils vous ont dérobé.

Idem pour ce qui est des attaques DDoS, qui visent à paralyser vos serveurs en leur envoyant un trafic démesuré. Les attaquants profitent du fait que vous êtes en effectif réduit pour créer un maximum de chaos et de désorganisation. Par exemple, votre site e-commerce peut alors se retrouver inaccessible pendant des heures, voire des jours. Ou alors ce sont carrément vos serveurs de fichiers qui peuvent être ciblés. Dans les deux cas, ces situations vous exposent à de sérieuses pertes financières.

Mises à jour non appliquées & Failles de sécurité

Il est tentant de repousser vos mises à jour (logiciel, systèmes d’exploitation, navigateurs…) pour terminer des tâches « plus importantes » avant votre départ en vacances. Ou simplement parce qu’elles ne tombent pas « au bon moment » durant vos congés. Mais cette période ne doit pas devenir une excuse pour reporter cette tâche essentielle.

Car les mises à jour déployées par les différents éditeurs de solutions, ont majoritairement pour objectif de corriger des failles de sécurité. Ces vulnérabilités sont d’ailleurs exposées publiquement par les éditeurs lors d’une nouvelle mise à jour, afin d’expliquer ce que cette dernière corrige. Le problème, c’est que les hackers savent lire ! Ils utilisent donc ces notes d’informations pour cibler ces failles, en espérant que vous n’ayez pas appliqué le correctif.

Ainsi, une vulnérabilité sur votre PC ou votre logiciel métier constitue un point d’entrée pour une intrusion dans votre réseau. Et les conséquences peuvent vous couter très cher (vol de données, infection par un malware, espionnage…). Bien plus cher que de vous interrompre quelques minutes dans vos tâches pour installer une mise à jour corrective.

Assurez la sécurité de votre société pendant les vacances : bonnes pratiques

Renforcez la sensibilisation de vos équipes

L’humain est souvent le maillon faible de la cybersécurité de votre société, que vous soyez en période de vacances ou non. Mais vos équipes peuvent aussi devenir votre meilleur pare-feu si elles sont bien informées et vigilantes.

Avant les départs, organisez donc des sessions courtes pour rappeler les risques spécifiques des périodes de congés. Vous pouvez par exemple vous appuyer sur des exemples concrets tirés des actualités. Utiliser différents supports rappelant les signaux d’alertes et bons réflexes à adopter. Voire simuler des tentatives de phishing ou d’Arnaque au Président, pour tester les réflexes de vos collaborateurs.

L’essentiel, c’est que vos équipes retiennent le message : ne baissez pas votre garde.

Sécurisez les accès à distance & les équipements

Pour éviter les cas que nous avons détaillé précédemment, rappelez à vos équipes de toujours activer leur VPN lorsqu’elles accèdent aux ressources de l’entreprise depuis l’extérieur (même en télétravail). Car ce formidable outil permet de rendre les données qu’elles manipulent « illisibles » pour toute personne qui chercherait à les intercepter.

Concernant leur matériel, soyez intraitables. Interdisez formellement à vos collaborateurs d’utiliser leurs appareils personnels pour tout tâche professionnelle. En parallèle, veillez bien sûr à ce que leurs équipements professionnels soient correctement protégés.

Sensibilisez les également sur l’aspect « sécurité physique » de leurs machines. Rappelez-leur de ne jamais laisser leur PC ou smartphone professionnel sans surveillance dans un lieu public. Vous pouvez également investir dans des filtres de confidentialité. Ces films s’appliquent directement sur l’écran et le protège ainsi des regards indiscrets.

Enfin, activez également la double authentification partout où vous le pouvez. Si jamais un pirate arrive à accéder à l’un de vos comptes, cette couche de sécurité supplémentaire lui bloquera l’accès.

Effectuez vos mises à jour & sauvegardes AVANT les départs

Préparer votre système informatique avant vos congés, c’est comme faire réviser votre voiture avant un long voyage. Alors si vos collaborateurs souhaitent emporter leur matériel pro en vacances, voici un petit check-up à réaliser :

• appliquez les mises à jour des systèmes d’exploitations, logiciels, navigateurs et applications de tous les appareils qui sortent de votre structure
• dans l’idéal, planifiez ces mises quelques jours avant le départ, pour ne pas bloquer vos collaborateurs en cas d’imprévu technique
• réalisez également une sauvegarde complète des données de la machine, pour pouvoir les récupérer en cas de problème

Mettez en place un Plan de Reprise ou de Continuité d’Activité (PRA/PCA)

Parce que le risque zéro n’existe pas en matière de cybersécurité, il vaut mieux être paré pour le pire. Comme nous l’avons vu précédemment, les périodes de vacances réduisent mécaniquement vos effectifs. Ce qui signifie qu’en cas d’incident durant cette période (incendie, panne, cyberattaque…) vous risquez d’être pris au dépourvu.

Alors pour éviter de voir votre activité complètement paralysée vous avez tout intérêt à constituer un Plan de Continuité d’Activité (PCA) ou de Reprise d’Activité (PRA). Le premier s’active généralement dès le début de la situation de crise pour éviter un arrêt de la production. Tandis que le second intervient après un arrêt de l’activité pour que votre société reparte rapidement sur des bonnes bases.

Concrètement ce sont des documents qui apportent des réponses spécifiques à une situation donnée. Et surtout qui permettent de limiter les conséquences d’un incident. C’est pourquoi ils doivent être exhaustifs et lister :

• toutes les applications et données nécessaires à votre activité
• le matériel informatique disponible / déjà présent en stock, pour pallier une telle situation
• les équipes à solliciter en interne (et leur suppléants), les prestataires à prévenir
• les endroits où sont sauvegardées vos données ainsi que leurs accès respectifs

BONUS : Faîtes appel à un prestataire comme Axis Solutions

En résumé, pour que vos vacances riment réellement avec sérénité, la cybersécurité de votre société doit être votre principale préoccupation avant votre départ. Tout comme vous verrouillez les portes et fenêtres de votre domicile avant de partir, anticipez et sécurisez méticuleusement toutes les portes d’accès numériques vers votre entreprise. Heureusement nous sommes là pour vous épauler ! Contactez nos équipes techniques pour auditer votre infrastructure et mettre en place les barrières nécessaires, afin que votre société reste protégée en toute saison. Vous permettant ainsi de déconnecter l’esprit libre, sans anxiété !

Pour compléter votre lecture, découvrez aussi :

Les bonnes pratiques cyber : pendant vos vacances

Si les vacances approchent à grands pas pour bon nombre d'entre nous sachez que les pirates ne prennent pas de Lire la suite

Pourquoi et comment séparer ses usages informatiques pros et persos ?

Dans cet article, nous vous détaillons les raisons pour lesquelles il est préférable de dissocier vos usages informatiques professionnels et Lire la suite

Comment reconnaître les signes d’une cyberattaque ?

Découvrez dans cet article, comment reconnaître les signes indiquant que vous êtes la cible d'une cyberattaque, quels sont les vecteurs Lire la suite