Leçons de sécurité IoT tirées des récentes violations : protéger votre entreprise

Dans un revirement inattendu, un casino anonyme de Las Vegas a été victime d'une cyberattaque originaire de son aquarium connecté. Un thermomètre à commande distance, utilisé pour surveiller l'alimentation et la température de l'eau, est devenu la porte d'entrée pour les pirates qui ont exfiltré des données clients sensibles.

L'Internet des objets transforme les opérations d'entreprise en connectant les appareils à travers la chaîne d'approvisionnement, boostant l'efficacité, réduisant les coûts et débloquant de nouvelles possibilités produit. Selon Avinash Prasad, responsable des services de sécurité gérés chez Tata Communications, le potentiel transformateur de l'IoT ne peut être pleinement réalisé que lorsque la sécurité est intégrée au modèle économique dès le premier jour.

Si le volume de données généré par les appareils IoT offre des insights sans précédent, il crée aussi des points d'entrée attractifs pour les cybercriminels. Gartner rapporte que près de 20 % des organisations ont subi au moins une attaque basée sur l'IoT au cours des trois dernières années. Avec environ 75 milliards d'appareils connectés dans le monde d'ici 2025, l'exposition aux cyber-vulnérabilités devrait être multipliée par cinq.

Alors que nous entrons dans une ère dominée par l'IoT, il est essentiel d'examiner les menaces qui accompagnent le déploiement massif d'appareils et de tisser des mesures de sécurité robustes dans la stratégie d'entreprise. Voici trois vulnérabilités IoT clés que chaque entreprise doit adresser.

1. Même les appareils connectés les plus simples peuvent être vulnérables

L'incident de l'aquarium de Vegas illustre qu'aucun appareil n'est à l'abri. Le firmware du thermostat a permis aux attaquants d'exfiltrer 10 Go de données personnelles, transmises vers un serveur distant en Finlande. Avec 80 % des données mondiales stockées sur des serveurs privés, protéger même les appareils IoT les plus basiques est critique pour maintenir l'intégrité globale du réseau.

2. La sécurité physique et la mise au rebut des appareils posent des défis uniques

En 2018, le groupe de recherche en sécurité Limited Results a disséqué une ampoule connectée LIFX Mini White et découvert que l'appareil stockait le mot de passe Wi-Fi du propriétaire, la clé privée RSA et les mots de passe root en clair. Bien que LIFX ait publié un correctif firmware, l'incident souligne l'importance de protéger les appareils pendant leur fonctionnement et d'assurer une mise au rebut sécurisée du matériel obsolète.

3. Les malwares industriels menacent la sécurité physique

L'attaque du malware Triton sur une raffinerie saoudienne en 2018 a marqué la première fois qu'une cybermenace était conçue pour saboter des systèmes de sécurité industriels. En désactivant les capteurs de sécurité, les attaquants auraient pu déclencher des événements catastrophiques. Bien que cette attaque ait été stoppée avant exécution, elle rappelle brutalement que à mesure que les systèmes de contrôle industriels se connectent, leur sécurité doit être priorisée.

Le casse-tête de la conformité

Des violations médiatisées récentes chez British Airways, Marriott Hotels et diverses autorités locales ont mis en lumière comment une protection inadéquate des données peut mener à des amendes significatives sous le Règlement Général sur la Protection des Données (RGPD) de l'UE. La violation de Marriott seule a exposé 7 millions de dossiers de résidents britanniques.

Les régulateurs, dont la Commission Européenne, durcissent l'application de la confidentialité des données. De futures réglementations UK sur l'IoT tiendront les fabricants responsables des vulnérabilités inhérentes aux appareils, tandis que les entreprises devront aussi assumer la responsabilité de sécuriser leurs propres écosystèmes IT.

Quelle est la solution ?

L'ubiquité croissante de l'IoT le maintiendra comme cible lucrative pour les attaquants. Pour se prémunir contre les menaces évolutives, les entreprises devraient adopter une stratégie de défense en profondeur intégrant analytique avancée, machine learning et intelligence artificielle pour détecter les comportements anormaux sur tous les appareils connectés.

La technologie blockchain peut décentraliser le contrôle, permettant aux appareils d'un réseau de valider mutuellement leurs actions et d'alerter les administrateurs sur les requêtes suspectes. S'associer à un fournisseur de services de sécurité gérés offrant une veille sur les menaces en temps réel, une réponse automatisée et un support conformité peut fournir un tableau de bord sécurité complet, donnant aux dirigeants une visibilité totale sur le paysage IoT.

En adoptant une approche holistique, cloud-native — intégrant contrôles pervasifs, visibilité étendue et technologies émergentes — les organisations peuvent sécuriser des environnements IoT de bout en bout tout en restant conformes aux standards évolutifs de protection des données.

En conclusion, l'IoT n'a pas à être craint. Avec les bonnes sauvegardes en place, il peut tenir ses promesses et élever les opérations d'entreprise.

L'auteur est Avinash Prasad, responsable des services de sécurité gérés chez Tata Communications.