Quatre types de cyberattaques — stratégies de prévention éprouvées

Si 2020 nous a appris quelque chose, c'est que le changement peut vraiment arriver du jour au lendemain. En quelques jours après les premiers confinements coronavirus, ordres de rester chez soi, et fermetures de commerces physiques, les Américains ont été forcés de changer comment ils achetaient des biens comme papier toilette et courses.

Ces nouvelles habitudes sont restées. Selon les données du US Census Bureau, les ventes e-commerce en 2020 ont totalisé 791,7 milliards $, une hausse de 32,4 % sur 2019. Alors que les vaccinations COVID-19 se déploient à travers le pays, beaucoup restent hésitants à revenir à la normale pré-pandémie. Environ 40 % des consommateurs disent qu'ils prévoient d'acheter en magasin soit la même quantité soit moins après vaccination, selon une étude de First Insight.

Avec plus de gens achetant en ligne, les pirates profitent de la mer d'informations personnelles partagées dans ces transactions. Au début de la pandémie, le FBI a rapporté recevoir entre 3 000 et 4 000 plaintes cybersécurité par jour, une augmentation de 400 % sur les chiffres pré-pandémie. Les 1 572 marchands e-commerce interrogés par Webscale pour notre Rapport Global Sécurité E-commerce 2021 ont rapporté que les menaces cybersécurité étaient leur défi business numéro un pendant les pics de ventes — incluant mauvais bots, injections SQL, attaques cross-site scripting (XSS), attaques déni de service distribué (DDoS), et attaques Magecart. Pour une grande majorité d'entreprises, l'impact financier de ces incidents de sécurité est significatif, allant de 100 000 $ à 250 000 $ en moyenne.

L'an dernier a enseigné que la cybersécurité devrait être top of mind pour toutes les entreprises e-commerce. Elles s'engagent à une augmentation de 15 % à 20 % des dépenses sécurité sur les trois prochaines années. Pour être prêt pour la route à venir, il est important de comprendre les tendances qui ont émergé cette année charnière e-commerce, et quelles technologies peuvent aider les entreprises à tackle ces menaces maintenant et dans les années à venir.

Quatre types de cyberattaques se sont démarqués l'an dernier par leur fréquence et impact économique dramatique : attaques Magecart, attaques carding, fraude carte de crédit, et ransomware.

Attaques Magecart

Les attaques de type Magecart étaient la plus grande menace pour l'e-commerce en 2020 et au-delà. C'est le terme parapluie pour 13 groupes cybercriminels différents qui pratiquent le skimming digital ou form jacking pour pirater leur chemin vers les informations personnellement identifiables des clients, surtout détails de carte de crédit, et les vendre sur le dark web. L'une des plus grandes attaques Magecart a visé British Airways en septembre 2018, affectant jusqu'à 380 000 clients et coûtant à la compagnie aérienne 230 millions $ en amendes. Les sites retail utilisent des vendeurs tiers et bibliothèques open source de code pour livrer une expérience client riche. Malheureusement, ces scripts introduisent des risques pour la marque et le business.

Il y a une poignée de façons dont les entreprises peuvent détecter ou prévenir de telles attaques. Les politiques de sécurité de contenu (CSP) temps réel renforcent la confiance entre navigateur et serveur d'application, validant les domaines de confiance et empêchant les domaines bloqués d'exécuter des scripts. L'authentification multi-facteurs (MFA) est aussi utile en verrouillant l'admin aux seuls utilisateurs autorisés. C'est une première étape critique en sécurité, et empêche les mauvais acteurs d'accéder au back-end.

Attaques Carding

Ce sont les tueurs silencieux. Une fois l'information de carte de crédit volée, les cybercriminels doivent valider les cartes pour soit les vendre sur le dark web, soit les utiliser pour commettre de la fraude carte de crédit. Les sites e-commerce sont utilisés pour valider les cartes en tentant des transactions de faible valeur. De nombreux appels d'interface de programmation d'applications (API) sont faits dans le processus. Si le site a une sécurité serrée en place, ce type de trafic néfaste peut être identifié vite, et la limitation de taux peut être activée sur le processus de checkout pour défendre contre l'attaque.

Fraude Carte de Crédit

Beaucoup de marchands e-commerce n'ont pas souscrit à un système de détection de fraude carte de crédit. Sans, un site e-commerce devient une cible de choix. Une solution intelligente de détection et atténuation de fraude peut détecter les anomalies dans les adresses de contact et livraison, pays d'origine et IP, pour signaler les transactions suspectes.

Ransomware

En 2020, le ransomware est devenu l'une des cyberattaques les plus communes parmi les organisations. Le ransomware est un type de logiciel malveillant qui infecte un système informatique et demande une somme d'argent pour mitiger le problème. L'attaque médiatique la plus récente contre le fabricant PC Acer en mars 2021 est la plus haute demande de rançon jamais vue — 50 millions $ payés en cryptomonnaie Monero. Malgré le haut risque, il y a des actions que les entreprises peuvent prendre pour minimiser les dommages des attaques ransomware, incluant :

• Maintenir des sauvegardes hors ligne. La disponibilité de fichiers de sauvegarde peut aider une entreprise à récupérer vite d'une attaque ransomware.
• Implémenter une stratégie de prévention du vol de données. C'est critique, car les entreprises aujourd'hui téléversent de grandes quantités de données sur des plateformes cloud que les mauvais acteurs peuvent abuser.
• Surveiller le comportement des comptes utilisateur. Surveiller et analyser le comportement utilisateur pour identifier les risques sécurité potentiels. Si vous suspectez un abus, agissez vite.
• Déployer l'authentification multi-facteurs sur tous les points d'accès distant dans un réseau d'entreprise. Focus sur la sécurisation ou la désactivation de l'accès protocole bureau à distance (RDP), un point d'entrée vulnérable dans un réseau pour les attaquants.
• Effectuer des tests de pénétration pour identifier les points faibles dans les réseaux d'entreprise et vulnérabilités comme CVE-2019-19781 qui devraient être priorisées pour le patching.

L'année 2020 a été difficile pour le monde. Ce fut aussi une année de croissance et opportunité tremende pour le segment e-commerce — et tristement, l'une des meilleures pour la cybercriminalité. Les réseaux cybercriminels d'aujourd'hui sont bien financés, organisés, et hautement capables. Alors que ces groupes font évoluer leurs opérations, l'industrie cybersécurité s'est améliorée à prédire les attaques et développer des solutions qui peuvent surveiller, identifier, et défendre contre une myriade de menaces cyber. Les entreprises e-commerce de toutes tailles devraient suivre ce plan en quatre étapes pour devancer les menaces cybercriminelles qui ont surgi en 2020, et continueront en 2021 et au-delà :

• Évaluer les vulnérabilités sécurité de votre business, et l'impact économique possible d'une brèche de données, comme amendes conformité ou litiges clients coûteux.
• Créer une stratégie menace cyber qui couvre votre écosystème complet, incluant clients, partenaires, vendeurs, et employés.
• Investir dans des services cybersécurité automatisés et complets qui offrent visibilité totale sur infrastructure, trafic, et actifs, avec une équipe experte (interne ou externe) qui comprend le cloud et l'e-commerce.
• Imposer une stratégie zero-trust. Éduquer les employés sur les meilleures pratiques cybersécurité, la politique données de l'entreprise, et le coût de la non-conformité.

Avec un plan clair en place, et les leçons de l'an dernier en tête, les entreprises e-commerce seront préparées pour une autre année réussie en 2021.

Sonal Puri est CEO de Webscale.