Cybersécurité

En effet, la plupart du temps, les hackers lancent des attaques “à l’aveugle”, qui se dispersent au gré de l’inattention ou de la méconnaissance des premiers utilisateurs impactés. Puis, de fil en aiguille, l’attaque en question atterit dans votre boite e-mail, envoyée par un de vos contact, dernier infecté en date.

Cette façon de faire ne constitue pas le seul risque encouru en termes de sécurité informatique ; nous vous proposons d’en énumérer les principaux ci-après.

Le malware/ransomware (maliciel/rançongiciel)

Devenu très médiatisé depuis quelques temps, le ransomware est une attaque plutôt ciblée qui vise à enrichir le pirate.

Il s’agit d’un cheval de Troie qui crypte vos données de sorte qu’elles deviennent inutilisables tant que vous n’avez pas la clé de cryptage. Cette action est généralement suivie d’une demande de rançon en échange de la clé de cryptage permettant de récupérer l’accès aux données.

Plus d’informations sur le site du NCSC.

Le phishing (hameçonnage)

Le principe du phishing consiste à se faire passer pour un interlocuteur de confiance (fournisseur de services informatiques, banque, assurance, service étatique, etc.) afin d’extorquer des données confidentielles d’utilisateurs, telles que données d’accès au compte de messagerie, informations de carte de crédit, identifiants d’accès à toutes sortes de service, etc.

Cela commence généralement par la réception d’un e-mail semblant provenir d’une source fiable et vous demandant de vous connecter sur un site afin de confirmer une quelconque information. Ledit site est bien entendu un site falsifié, qui permet aux pirates de récupérer tout ce que vous y tapperez (nom d’utilisateur, mot de passe, etc.).

Cependant, l’illusion est rarement parfaite et on trouve généralement de petits indices révélant la supercherie :

• Fautes d’orthographe, langage ou ton inhabituel;

• Lien hypertexte pointant sur une adresses étrange et ne correspondant pas à l’expéditeur supposé de l’e-mail;

• Image de mauvaise qualité ou logo obsolète;

• Demande directe de mots de passe ou de données personnelles - Aucun fournisseur de service sérieux ne vous demanderait ce type d’information;

• Promesse de gain mirobolant - occasion trop belle pour être vraie.

Plus d’informations sur le site du NCSC.

Mais encore…

D’autres types de cyberattaques existent et chacune a ses propres caractéristiques :

• DDoS (Distributed Denial of Service, déni de service distribué)

  Cette attaque a pour but de rendre inaccessible un site ou un service en ligne, qu’il s’agisse d’un site de vente en ligne ou un service étatique.

• L’arnaque au président

  Il s’agit d’une attaque dirigée de manière précise et les pirates se sont préalablement informés sur leur cible. Un ordre de paiement urgent soi-disant émis par un membre de la direction de l’entreprise est adressé à un collaborateur, qui est sollicité pour effectuer ce virement immédiatement.

• Données d’accès à un service compromises

  Il arrive que ce soient les fournisseurs de services en ligne qui se fassent pirater. Dès lors, les pirates volent les données d’accès des clients de ce fournisseur et les revendent sur le Dark Web.

  Normalement, les fournisseurs qui subissent un tel vol en informent leurs clients dans les meilleurs délais, afin que ces derniers puissent modifier leurs données d’accès.

Comment réduire ces risques?

Le risque zéro n’existant pas, il y a tout de même quelques comportements qui vous permettront de drastiquement le réduire:

• Sensibilisez et formez périodiquement vos collaborateurs aux bonnes pratiques en termes de sécurité informatique.

• Lorsque vous détectez une incohérence dans un e-mail reçu (orthographe, lien ne menant pas à l’adresse habituelle du fournisseur usurpé, etc.), supprimez le sans effectuer aucune autre action. En cas de doute et si l’e-mail vous est adressé par un de vos contacts habituels, n’hésitez pas à appeler l’expéditeur pour qu’il vous confirme ou non la véracité du message.

• Modifiez régulièrement vos données d’accès aux sites et services sensibles (banque, e-mail, services étatiques, etc.) et utilisez l’authentification à facteurs multiples.

• Maintenez votre informatique à jour ; installez les mises à jour logicielles fournies par les éditeurs et remplacez votre matériel lorsque cela est nécessaire.

• Selon votre investissement dans l’outil informatique, faites-vous conseiller et/ou accompagner par des professionnels.

Et quelles sont mes responsabilités vis-à-vis des données que je collecte?

Lorsque vous collecter les données de vos clients, prospects ou autre (nous les appellerons tiers), vous êtes également soumis à la Loi fédérale sur la protection des données (LPD), qui a d’ailleurs été mise à jour au 1er septembre 2023 pour être adaptée au RGPD européenne.

Il est de votre responsabilité :

• D’informer préalablement le tiers du but de la collecte et du traitement des données;

• D’obtenir le consentement explicite du tiers (signature ou case à cocher par exemple) lors de la collecte de données sensibles;

• De garantir la mise en place des mesures techniques et opérationnelles pour protéger les données personnelles contre un traitement non autorisé.

A nouveau, vous pouvez vous faire aider par des professionnels pour ce faire ou, dans un premier temps, demander des informations au Préposé cantonal à la Protection des données et à la Transparence (PPDT).

Où trouver des informations concrètes?

La confédération a mis sur pieds un centre de compétences en matière de cybersécurité, le Centre national pour la cybersécurité (National Cyber Security Centre - NCSC).

Le NCSC est le premier interlocuteur pour les milieux économiques, l’administration, les établissements d’enseignement et la population pour toute question relative à la cybersécurité.

Vous trouverez sur ce site les informations relatives aux moyens de protection à mettre en oeuvre contre les risques liés à la cybersécurité ainsi que le actions à mener si vous avez subi une cyberattaque.