8 types courants de violations de données – Exemples réels et impact

Une violation de données est un incident de sécurité dans lequel des informations privées/confidentielles sont consultées, copiées, transmises ou utilisées par un individu non autorisé. Cela peut impliquer des informations d'identification personnelle, des informations de santé personnelles, des informations financières, la propriété intellectuelle, ou les secrets commerciaux d'entreprises.

Les violations de données sont bien plus qu'une terreur temporaire : elles peuvent nuire aux entreprises et aux consommateurs de diverses manières, et les dépenses qu'elles causent peuvent endommager les réputations et prendre du temps à réparer.

Les violations affectant des centaines de millions, voire des milliards d'utilisateurs sont devenues assez courantes. En 2016, la société de services Internet Yahoo! a confirmé que ses 3 milliards d'utilisateurs étaient tous impactés dans ce qui est considéré comme la plus grande violation de données de l'histoire. Les détails spécifiques des utilisateurs, incluant noms, numéros de mobile, adresses email, dates de naissance, et mots de passe hachés, ont été divulgués.

En 2018, le service de messagerie vidéo new-yorkais Dubsmash et une application fitness nommée MyFitnessPal figuraient parmi le dump massif de 16 plateformes compromises qui a vu plus de 600 millions de comptes clients divulgués et mis en vente sur le marché noir en ligne.

Des centaines d'événements similaires se sont produits au cours de la dernière décennie. Selon l'étude menée par l'Institut Ponemon, une violation de données coûte en moyenne 3,86 millions de dollars à une entreprise.

Compte tenu des enjeux croissants et des coûts croissants des violations de données, les entreprises et les gouvernements ont commencé à consacrer beaucoup de ressources pour sécuriser les données de leurs clients.

La plupart des violations de données impliquent des documents, fichiers et informations sensibles vulnérables et non structurés. Dans cet article de synthèse, nous avons expliqué les huit types les plus courants de violations de données et comment elles se produisent.

8. Déni de service distribué (DDoS)

Une attaque DDoS de 1,3 Tbit/s a mis GitHub hors ligne pendant 20 minutes en 2018

Une tentative malveillante de perturber les services hôtes

Les attaques DDoS visent à submerger le site web et les services en ligne avec plus de trafic que le serveur ou le réseau ne peut en gérer. Elles sont parfois utilisées pour distraire les opérations de cybersécurité pendant qu'une autre activité frauduleuse, comme l'infiltration de réseau ou le vol de données, est en cours.

Ces attaques sont menées avec un groupe d'appareils connectés à Internet qui sont infectés par des logiciels malveillants. Les attaquants contrôlent ces appareils individuels (aussi appelés bots) à distance.

Un groupe de bots est connu sous le nom de botnet, et une fois qu'il a été établi, l'attaquant peut l'utiliser pour cibler un serveur ou un réseau particulier. Chaque bot envoie des requêtes à certaines adresses IP, rendant le site web ou le service inopérant.

La première attaque DDoS a eu lieu en 1996 quand l'un des plus anciens FAI nommés Panix a été mis hors ligne pendant plusieurs jours en utilisant l'inondation SYN, une méthode qui est devenue une attaque classique de Déni de Service Distribué. Au cours de la décennie suivante, ce type d'attaques est devenu courant.

Une attaque de 1 Gbit/s suffit à mettre la plupart des organisations hors ligne. Selon Cisco, le nombre total d'attaques DDoS atteindra 15 millions d'ici 2023, contre 7,9 millions observés en 2018.

Exemple : En février 2020, Amazon Web Services a été frappé par une attaque DDoS extrême, qui ciblait des clients inconnus via une méthode appelée Réflexion CLDAP (Connectionless Lightweight Directory Access Protocol). L'attaque a culminé à 2,3 Tbit/s et a duré 3 jours.

7. Attaque par force brute

Attaque par force brute sur clé 5 bits

Deviner le mot de passe par méthode d'essai-erreur

Une attaque par force brute consiste à soumettre des identifiants dans l'espoir de deviner le bon éventuellement. Les attaquants essaient toutes les combinaisons possibles de mots de passe jusqu'à ce que la bonne soit détectée.

Ce type d'attaque représente près de 5 % de toutes les violations de données. Les attaquants n'ont pas besoin d'entrer les mots de passe manuellement. Au lieu de cela, ils créent un algorithme ou utilisent un logiciel facilement disponible pour exécuter automatiquement différentes combinaisons de noms d'utilisateur et de mots de passe jusqu'à ce que la bonne combinaison soit trouvée.

Les outils de piratage par force brute sont conçus pour générer des tonnes de mots de passe par seconde. Combinés avec un CPU et GPU puissants, ces outils automatisés pourraient forcer une clé de chiffrement forte en quelques jours.

Puisque les mots de passe plus longs peuvent avoir plus de variables, ils sont exponentiellement plus difficiles à craquer que les plus courts. Aujourd'hui, la plupart des algorithmes symétriques utilisent des clés de 128 ou 256 bits, qui ne peuvent pas être cassées par force brute.

Plus spécifiquement, le supercalculateur le plus rapide (avec une vitesse de 100 petaFLOPS) nécessiterait 3,67×10⁵⁵ ans pour épuiser la clé AES 256 bits.

Exemple : En 2018, le système de mot de passe maître de Firefox pouvait être facilement contourné par force brute. Les mots de passe de millions d'utilisateurs étaient laissés vulnérables aux logiciels malveillants et pirates. Un an plus tard, Firefox a publié une mise à jour pour corriger cette faille de sécurité.

6. Ransomware (logiciel de rançon)

CryptLocker demandant une rançon

Un logiciel malveillant qui infecte les appareils et menace les utilisateurs de payer une rançon

Le logiciel de rançon empêche les utilisateurs d'accéder à leurs fichiers personnels et exige des frais pour retrouver l'accès. Il peut infecter votre ordinateur de plusieurs façons. La plus courante est le spam malveillant livré par email, qui contient des liens trompeurs ou des pièces jointes.

Les ransomwares conventionnels verrouillent l'appareil d'une manière qui n'est pas difficile à inverser pour une personne qualifiée. Cependant, les logiciels malveillants avancés chiffrent les fichiers de l'utilisateur, les rendant inutilisables, et exigent des frais pour les déchiffrer. Les attaquants demandent généralement des rançons en devises numériques difficiles à tracer comme le Bitcoin.

Le premier ransomware nommé PC Cyborg a été créé en 1989. Il chiffrait tous les fichiers du répertoire C et exigeait ensuite des victimes 189 $ (par courrier) pour renouveler leur licence. Au cours de la décennie suivante, différentes variantes de ransomware sont apparues.

Cependant, les ransomwares avancés n'arriveraient qu'en 2004, quand GpCode a chiffré des données personnelles en utilisant un chiffrement RSA faible. Depuis, les arnaques se sont propagées dans le monde entier, avec de nouveaux types ciblant encore les utilisateurs avec succès.

Dans les six premiers mois de 2018, il y a eu plus de 181 millions d'attaques de ransomware. En 2019, de nouvelles variantes de ransomware ont augmenté de 46 %, avec 68 000 nouveaux chevaux de Troie ransomware détectés pour mobile.

Exemple : L'exemple le plus célèbre de ransomware est peut-être CryptoLocker, qui s'est produit entre septembre 2013 et mai 2014. C'était un cheval de Troie chiffrant qui ciblait les appareils sous Microsoft Windows. Ses opérateurs ont extorqué près de 3 millions de dollars avec succès.

5. Hameçonnage (Phishing)

Une tentative illégale d'obtenir des informations sensibles

L'hameçonnage est une technique consistant à essayer de collecter des informations personnelles, telles que mots de passe et détails de carte de crédit, en utilisant des sites web et emails trompeurs. Elle est également menée via la messagerie instantanée et les SMS, où un attaquant, se faisant passer pour une entité de confiance, dupe une victime pour qu'elle fournisse des détails personnels.

L'hameçonnage peut aussi être utilisé pour livrer des logiciels malveillants, en incitant les utilisateurs à visiter un lien ou télécharger un document qui installera secrètement un script malveillant sur l'appareil. À plus grande échelle, il est utilisé pour obtenir un point d'appui dans des organisations privées ou des réseaux gouvernementaux.

Par exemple, dans une menace persistante avancée, les données des employés sont compromises pour contourner les paramètres de sécurité, propager des programmes malveillants dans un environnement fermé, ou accéder à des données privées. Ce type d'attaque pourrait rester non détecté pendant une période prolongée.

Selon le rapport d'enquête sur les violations de données de Verizon, 22 % des violations en 2019 impliquaient de l'hameçonnage. Environ 88 % des organisations dans le monde ont subi des tentatives de spear-phishing. 65 % des organisations américaines ont subi une attaque de phishing réussie en 2019, soit près de 10 % de plus que la moyenne mondiale.

Exemple : L'une des attaques de phishing les plus conséquentes s'est produite en 2016 quand des attaquants ont réussi à pirater le compte Gmail de John Podesta, président de la campagne d'Hillary Clinton. Quelques heures après les résultats des élections américaines, des pirates russes ont envoyé des emails de phishing (depuis des adresses email usurpées de l'Université Harvard) pour publier de fausses nouvelles.

4. Ver (Worm)

Ver Blaster affichant un message

Un logiciel malveillant autonome, auto-réplicateur

Un ver informatique propage des copies de lui-même d'appareil à appareil. Il se réplique sans aucune interaction utilisateur et s'attache à un programme logiciel pour causer des dommages.

Alors que la plupart des vers pénètrent dans les appareils via des pièces jointes dans les emails spam ou messages instantanés, ils peuvent aussi être transmis via des vulnérabilités logicielles. Une fois ces pièces jointes ouvertes ou installées, ils travaillent silencieusement en arrière-plan, infectant les fichiers système.

Les vers peuvent injecter des scripts malveillants et modifier/supprimer des fichiers existants. Certains vers sont conçus pour épuiser les ressources système, comme l'espace mémoire ou la bande passante. Ils le font en faisant des copies d'eux-mêmes et en surchargeant un réseau partagé.

Les vers peuvent aussi exploiter les failles du système d'exploitation, de la sécurité des applications, ou des erreurs de configuration réseau pour se copier sur un disque entièrement accessible et propager ces copies sur les réseaux publics.

Exemple : Le premier ver informatique avec un impact réel a été développé par Robert Morris en 1988. Nommé d'après son développeur, le Ver Morris a causé un déni de service pour environ 10 % des 60 000 machines connectées à ARPANET. En 2003, un autre ver nommé Blaster a lancé des attaques DDoS contre les propres serveurs de Microsoft, infectant jusqu'à 2 milliards d'appareils.

3. Enregistreur de frappe (Keylogger)

Enregistre les touches frappées sur un clavier sans la connaissance des utilisateurs

Les outils d'enregistrement de frappe sont l'une des plus anciennes formes de logiciels malveillants, remontant aux machines à écrire. Ils sont encore utilisés dans le cadre de cyberattaques plus larges. À sa définition la plus basique, un keylogger trace les frappes sur un ordinateur.

Bien que ce soit un logiciel simple, les attaquants peuvent l'utiliser comme un outil puissant pour voler les données des utilisateurs et les informations sensibles tapées au clavier. Cela donne aux attaquants l'avantage d'accéder aux IDs email, mots de passe, numéros de compte, codes PIN, et autres informations confidentielles.

Les keyloggers matériels peuvent être branchés en ligne entre un clavier et un ordinateur, ou installés via le firmware au niveau BIOS. Le keylogger logiciel peut être installé via des scripts de page web ou des pièces jointes d'un email de phishing. Il s'installe automatiquement quand un utilisateur visite un site nuisible ou ouvre un fichier suspect attaché à un email.

Exemple : En 2000, le FBI a utilisé un keylogger pour attraper deux cybercriminels russes. Le keylogger a été installé secrètement sur une machine, et le FBI l'a utilisé pour accéder aux ordinateurs des suspects en Russie. Le FBI a pu obtenir suffisamment de preuves pour les poursuivre. En 2018, Google a retiré 145 applications du Play Store contenant des logiciels malveillants keylogger.

2. Erreur humaine

Les employés font parfois des erreurs qui mènent à de grandes violations de données

Les humains sont souvent le maillon le plus faible dans les défenses contre les violations de données. Par exemple, les équipes IT peuvent accidentellement exposer les informations personnelles des clients en mal configurant les serveurs, ou les employés peuvent transmettre le rapport de l'entreprise à un tiers via des emails envoyés en masse.

Selon l'étude menée par le Bureau du Commissaire à l'Information du Royaume-Uni (ICO), les erreurs humaines ont causé 90 % des violations de données cybernétiques en 2019.

CybSafe, une plateforme cloud de sensibilisation à la cybersécurité, a rapporté que 9 sur 10 des 2 376 violations signalées à l'ICO en 2019 étaient causées par des fautes commises par les utilisateurs finaux. Cela représente 61 % et 87 % de plus que les deux années précédentes.

Exemple : En 2017, le certificat SSL utilisé par LinkedIn pour ses sous-domaines pays a expiré. Bien que cet événement n'ait pas affecté www.linkedin.com, il a invalidé us.linkedin.com ainsi que quelques autres sous-domaines. En conséquence, des millions d'utilisateurs n'ont pas pu accéder à LinkedIn pendant plusieurs heures.

À lire : Qu'est-ce qu'un Pare-feu ? Définition | Types | Principe de fonctionnement

1. Élimination inappropriée ou revente irresponsable

De nombreuses organisations ne détruisent pas correctement le matériel obsolète

Les organisations, spécifiquement les petites, ne prennent souvent pas la sécurité des données en compte lors de la mise à niveau du matériel et de l'infrastructure. La fin du cycle de vie du matériel est un aspect crucial de la gestion responsable du stockage.

Toutes les violations de données ne sont pas causées par le piratage. Certaines sont le résultat d'une élimination inappropriée et d'une revente irresponsable. Afin de sécuriser les données confidentielles, les entreprises doivent désactiver les données ou détruire physiquement le matériel.

L'Institut National des Standards et de la Technologie a publié des directives pour l'assainissement approprié des supports et la disposition des données. Ils suggèrent que les méthodes basées sur logiciel, comme l'assainissement au niveau purge, ne peuvent pas complètement éliminer les données de toutes les régions de stockage sur la surface du support.

Exemple : En 2017, des ordinateurs de bureau d'un bureau gouvernemental de la ville de Houston ont été vendus dans une vente aux enchères en ligne. Après enquête, il a été découvert que 23 sur 38 ordinateurs avaient des disques durs pleins d'informations privées.

À lire : 13 types différents de virus informatiques

La même année, la pharmacie ShopRite dans le New Jersey a découvert un appareil électronique qui avait été éliminé sans avoir d'abord effacé son stockage. Il contenait des informations personnelles de 10 000 patients, incluant leurs noms, dates de naissance, signatures, numéros de téléphone, et prescriptions médicales.