Search
Close this search box.
Victime d’un incident de sécurité ?

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

28/04/2023

Cybersecurity Insights

Les groupes APT, une menace pour les organisations européennes

Des organisations publiques et privées situées en Europe font face à une recrudescence d’attaques de cyber espionnage émanant de plusieurs acteurs étatiques.

Selon l’Agence de l’Union Européenne pour la cybersécurité, dès 2019 :

« the number of nation-state-sponsored cyberattacks targeting the economy increased and it is likely to continue this way[1] »

Les attaques menées par des APT contre les institutions, organes et agences de l’UE ont augmenté de 30 % en 2021[2].

Le cyber espionnage est une menace qui pèse sur de nombreuses entités européennes appartenant au secteur public et au secteur privé. Dernièrement, en janvier 2023, l’une des campagnes menées par un groupe connu sous le nom de Ghostwriter (AKA UNC1151) et ciblant des organisations polonaises (domaine public, fournisseurs d’énergie, armement) a été mise au jour. En 2021, l’Union européenne dénonçait déjà les attaques perpétrées par ce même groupe rattaché à la Biélorussie. Ce comportement caractérisé de certains acteurs malveillants sophistiqués et pilotés par des États est désigné par l’expression menace persistante avancée.

Le 15 février 2023, le CERT-EU a publié une note concernant une campagne menée par plusieurs groupes APT chinois ciblant des organisations européennes. Précisément, ce sont six groupes qui sont impliqués : GALLIUM, APT27, APT30, APT31, Ke3chang et Mustang Panda[3]. Il ne s’agit pas de la première campagne menée par des acteurs chinois rendue publique. En mai 2022, une campagne de phishing menée par Mustang Panda transmettant du contenu en lien avec le conflit qui oppose l’Ukraine et la Russie a été mise en lumière par Cisco Talos. En juillet 2022, le gouvernement belge a attribué des attaques APT ciblant ses institutions à 3 acteurs différents : APT27, APT30 et APT31.

En France, en 2021, sur 17 opérations menées par l’ANSSI, « 14 concernaient des affaires d’espionnage, dont 9 semblaient correspondre à des modes opératoires d’origine chinoise[4] ».

L’Europe est donc particulièrement ciblée par ce type d’acteurs et prend les mesures nécessaires pour enrayer les menaces émanant du cyberespace.

Qu’est-ce qu’une APT ?

Le terme APT, Advanced Persistant Threat, désigne un type d’attaque perpétré par des groupes professionnels, opérant dans des structures banalisées, pilotées et financées par des États. À cet égard, les groupes qui conduisent ces APT sont une famille de cybercriminels qui dispose de moyens financiers et techniques très importants. Ces groupes sont capables de conduire des attaques présentant un haut niveau de sophistication, préparées pendant plusieurs mois. Ces groupes APT poursuivent des objectifs précis sur le long terme en pénétrant un réseau pendant plusieurs mois voire plusieurs années, notamment en matière d’espionnage politique et/ou industriel. Selon Mandiant, on peut aussi compter la désinformation parmi les objectifs des APT. La destruction de données ou d’infrastructures constitue également un objectif crédible. Enfin, parmi ces groupes, plusieurs tentent de déstabiliser des processus démocratiques. C’est notamment le cas du groupe russe APT28 (AKA IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127) qui a ciblé la campagne d’Hillary Clinton, le Comité national démocrate et le Comité de campagne démocrate du Congrès en 2016, dans le but d’interférer avec l’élection présidentielle américaine.

En fonction de leur orientation, les groupes APT peuvent être focalisés sur une région en particulier ou cibler des victimes dans le monde entier. Certains groupes se restructurent et changent de cibles.

« Traditionnellement, les groupes de hackers alignés sur la Chine comme Goblin Panda et Mustang Panda avaient tendance à se concentrer davantage sur l'Asie du Sud-Est. Mais […] les chercheurs d'ESET ont découvert une nouvelle porte dérobée appelée TurboSlate dans une organisation gouvernementale de l'Union européenne. »

Jan-Ian Boutin, Directeur d'ESET Threat Research

Ces groupes ont la capacité de porter atteinte à la compétitivité du système économique [d’un] pays entier[5] .

Ils peuvent cibler des secteurs stratégiques tels que la recherche, la défense, l’énergie, les télécommunications, la finance ou encore la santé. Ces secteurs peuvent être visés afin de dérober des données stratégiques qui vont être utilisées au profit d’un autre État. Ces vols sont commis dans le but d’obtenir les secrets d’entreprises ou d’organisations concurrentes. Ces informations permettent à l’État ayant volé les données de prendre une longueur d’avance sur ses concurrents en utilisant ces données pour servir ses propres intérêts. Ces données stratégiques peuvent prendre différentes formes en fonction de l’entreprise : « propriété intellectuelle, d’un portefeuille client, d’une liste de fournisseurs exclusifs, d’une grille tarifaire, d’une recette, d’un code source de logiciel, d’un tableau de configuration d’outils de pointe, d’une stratégie de croissance, d’un projet d’acquisition, etc. Ces informations sont des actifs immatériels et constituent le patrimoine informationnel de l’entreprise ou de l’institution ».

Selon une étude du think-tank The European Centre for International Political Economy, à l’échelle de l’Union Européenne, le vol commis grâce à des moyens cyber s’élevait en 2018 à 60 milliards d’euros pour une année accompagnée d’une perte de 289 000 emplois potentiels[6].

La question de la propriété intellectuelle nous montre les limites auxquelles les entreprises font face en matière de sécurisation des données. Plusieurs analyses soulignent le manque de mesures prises par les entreprises afin de se prémunir des activités d’espionnage. En effet, les entreprises sont réticentes à procéder à certains audits qui pourraient dévoiler des failles et risquerait de nuire à leur réputation auprès de leurs clients. Ainsi, de nombreuses entreprises manquent d’une certaine culture de sécurité.

Enfin, les groupes APT peuvent également dissimuler leurs activités en adoptant des techniques employées par des cybercriminels, notamment le déploiement de rançongiciels. C’est le cas du groupe Iranien APT35 qui a déployé le ransomware Memento en 2021. Le ransomware peut être déployé afin d’exfiltrer des données ou bien pour remplir un objectif financier. (https://therecord.media/iranian-state-sponsored-group-apt35-linked-to-memento-ransomware)

Les attaques sous fausse bannière (« false flag ») sont perpétrées par des groupes APT afin de dissimuler leur identité et diriger les soupçons vers des acteurs d’une autre entité ou d’un autre pays. Ce type de manœuvre a été observée lors de l’attaque à l’encontre de TV5 Monde en 2015. D’abord revendiquée par l’Etat islamique, l’attaque aurait en fait été conduite par des acteurs de la menace russes.

Une menace pérenne subordonnée à un contexte politique

Depuis la parution du rapport sur APT1 publié par Mandiant en 2013, ces groupes sont devenus beaucoup plus visibles. Toutefois, il est nécessaire d’indiquer que lorsque ces groupes sont identifiés et mis en lumière par un éditeur ou un gouvernement exposant leurs méthodes, ils vont s’adapter en modifiant leurs TTPs (ensemble des techniques, tactiques et procédures utilisées par les acteurs de la menace pour conduire des activités malveillantes) afin de tenter de poursuivre leurs activités. Ces méthodes permettant de les identifier et de distinguer le mode opératoire d’autres groupes de même envergure.

Les APT peuvent s’adapter aux évènements survenus sur le plan géopolitique et ajuster leurs opérations, ainsi que leurs cibles, ce qui témoigne d’une certaine plasticité de leur organisation. A titre d’exemple, APT42, un groupe iranien, a adapté ses activités de façon à servir les intérêts de Téhéran en fonction des changements de priorités du gouvernement. Ainsi, en 2020, lors de l’épidémie de Covid-19, APT42 a ciblé majoritairement le secteur pharmaceutique. Le groupe s’est également concentré sur la poursuite des groupes d’opposition nationaux et étrangers avant l’élection présidentielle de 2021.

Ces opérations d’espionnage s’inscrivent le plus souvent dans le contexte de l’implémentation d’un certain nombre de politiques. La stratégie de la Chine qui met l’accent sur l’espionnage industriel s’inscrit dans un contexte de rattrapage technologique ayant pour objectif de dominer plusieurs secteurs des hautes technologies dans un contexte de rivalité avec les États-Unis, ces derniers souhaitant conserver leur leadership. À titre d’exemple, de nombreuses opérations menées par des acteurs chinois sont notamment destinées à remplir les objectifs du programme Made in China 2025. Cette initiative a pour ambition de faire de la Chine une grande puissance industrielle en investissant notamment dans des entreprises domestiques de haute technologie. Le programme vise également à mettre l’accent sur la qualité des produits fabriqués plutôt que sur la quantité de ces derniers. La date de la fin de ce programme prévue dans deux ans pourrait expliquer la virulence actuelle des groupes cités par le CERT-EU. Rappelons également que la Chine avait, en 2015, signé un accord avec les États-Unis visant à mettre fin au vol de secrets commerciaux, ce qui a pu l’inciter à rediriger une partie de ses activités d’espionnage vers l’Europe et vers d’autres régions. De plus, nous pouvons citer le projet chinois des nouvelles routes de la soie ou The Belt and Road Initiative (programme de construction d’infrastructures destiné à accroître la coopération entre États qui s’étend de la Chine centrale jusqu’à l’Europe). Selon FireEye, ce projet apparaît comme « [a] driver of regional cyber threat activity ». Dans le cas de Taïwan, dont la souveraineté est revendiquée par la Chine, des leviers d’actions sont également mis en œuvre afin d’atteindre un objectif politique. Ainsi, des sources comme le journal japonais Nikkei rendent compte de campagnes de désinformation visant à influencer l’opinion autour de trois axes principaux : “public opinion warfare” to influence perceptions, “psychological warfare” that relies on intimidation, and “legal warfare” that takes the battle to the courts[7]“. Cela est également valable dans d’autres États. Selon Venafi, les attaques perpétrées par la Corée du Nord permettrait d’alimenter les programmes d’armements échafaudés par Pyongyang.

De surcroît, il existe des spécificités aux activités conduites par la Chine. En effet, selon Frédérick Douzet, « les Chinois refusent d’opérer une distinction entre espionnage stratégique et espionnage économique (vol de données et propriété intellectuelle[8]) ». Afin d’y remédier, certains auteurs proposent des mesures d’incitation visant à changer le rapport des États à l’espionnage industriel[9]. Ainsi, selon Aaron Friedberg, certaines mesures comme le partage d’informations, l’évaluation des investissements étrangers et le contrôle des exportations pourraient conduire à limiter la survenance de ce type d’opération.

Une diversité d’acteurs impliqués

Les APT chinois ne sont pas les seuls à viser les organisations de pays européens. En effet, des groupes iraniens, russes ou encore nord-coréens ciblent également les organisations européennes. À titre d’exemple nous pouvons citer, APT39 (Iran), Ember Bear (Russie), Fox Kitten (Iran), MuddyWater (Iran) et Kimsuky (Corée de Nord). De plus, d’autres groupes actifs ciblant l’Europe opèrent pour des acteurs qui n’ont pas été identifiés tels que Cobalt Group, Orangeworm et WIRTE.

Toutefois, il est tout aussi concevable que des pays alliés soient impliqués dans ce type d’opérations. En effet, bien que certains pays soient souvent cités, les pays occidentaux disposent également de capacités d’espionnage avancées. C’est notamment le cas des États-Unis qui ont espionné Airbus en 2014 avec l’aide de l’Allemagne. Par ailleurs, nous pouvons également citer le groupe APT Equation group attribué en 2015 aux Etats-Unis par Kaspersky et rattaché à la National Security Agency (NSA). Ce groupe serait actif depuis au moins 2001. Il a notamment la capacité de reprogrammer des disques durs et de les autodétruire. En Europe, Equation group a notamment ciblé la France, la Belgique, la Suisse et l’Allemagne.

Les groupes APT, acteurs de la « cyberguerre » ?

Les attaques de type APT sont mises en œuvre depuis plusieurs décennies et alimentent notamment ce que l’on désigne par « cyberguerre ». Selon Michel Baud, la cyberguerre désigne l’ensemble des « opération(s) coordonnée(s), menée(s) au travers du cyberespace par un groupe ayant des objectifs définis, au moyen de systèmes d’information et de communication. La cyberguerre se distingue ainsi de l’action d’un individu ou d’un groupe d’individus dont l’objectif peut être l’enrichissement personnel (cybercriminalité), la revendication idéologique ou le « cyber hacktivisme[10] ». Dans les faits, ce terme recouvre plusieurs réalités ce qui contribue à rendre sa définition floue. En effet, pour certains observateurs, cette notion regroupe les activités d’espionnage, autant que les actes offensifs, et nombreux sont les acteurs s’accordant sur « l’absence d’un consensus sur ce qui constitue exactement la cyberguerre[11] ».

Néanmoins, ce terme mérite d’être nuancé. Il convient de rappeler que la majorité des actions conduites sur le plan cyber prennent davantage la forme d’interférences et ne constituent qu’une seule des multiples dimensions d’un conflit. C’est notamment ce que nous avons constaté à l’occasion de l’affrontement qui oppose l’Ukraine à la Russie et qui constitue un exemple de guerre hybride (combinaison de l’utilisation de moyens conventionnels et de moyens non-conventionnels). Le rôle principal des groupes APT mobilisés est de perturber les processus économiques, militaires, et politiques grâce à des attaques élaborées et préparées longtemps à l’avance. Toutefois, certains acteurs de ce conflit comme Mykhailo Fedorov, premier ministre de l’Ukraine, montrent les limites de l’impact de ce type d’attaque. En effet, selon lui, les cyberattaques menées par la Russie pendant ce conflit n’ont pas altéré la continuité des activités économiques du pays ni endommagé ses infrastructures critiques[12]. Ce constat est partagé par le vice-président du service d’État des communications spéciales et de la protection de l’information de l’Ukraine, Victor Zhora, qui dans ce rôle « expected highly destructive and intense activity from Russian offensive units[13] ». Parmi les groupes APT qui ont participé à cette guerre, nous pouvons citer Fancy Bear, AgentTesla ou encore hVNC.

Soulignons également que l’essor des pratiques d’espionnage industriel s’est accompagné d’une amélioration globale des compétences des services de renseignement soutenus par des investissements ainsi que par des politiques visant à faire des États des puissances cyber. Pour reprendre l’exemple de la Chine, selon Dan Verton, « in today’s information age, the People’s Republic of China has replaced and even improved upon KGB methods of industrial espionage » bien que de nombreuses analyses constatent un retard persistant par rapport au niveau technologique acquis par les puissances occidentales[14]. En 2020, un rapport de la CIA observait également le haut niveau de compétence acquis par le renseignement chinois[15] et confirme ainsi la réussite de sa stratégie d’influence économique.

Guerre économique et sécurité nationale

Pour de nombreux observateurs, la question du cyberespionnage apparaît comme une menace à la sécurité nationale des États. Selon Forest Hare, « different national agendas and different technology levels amongst the worldʼs nations will lead to different prioritization of the cyber security threat[16] ». La stratégie européenne de cybersécurité a notamment été élaborée en ce sens, dans le but de renforcer la lutte contre les menaces d’origine cyber et la résilience de l’Europe. Nous pouvons également nous intéresser aux incidences qui peuvent survenir en dehors des frontières, en matière de sécurité internationale, puisque « en cas de conflit armé, la connaissance du fonctionnement des systèmes d’armes pourrait être exploitée sur le théâtre d’opérations pour préparer au mieux la défense aussi bien que pour organiser la réponse ou même contre-attaquer ».

Par ailleurs, le cyberespionnage peut revêtir une composante économique. En effet, les opérations offensives conduites par les APT s’intègrent également dans ce que l’on désigne par la guerre économique. Comme le présente Christian Harbulot dans son manuel d’intelligence économique, celle-ci s’articule autour de trois axes que sont la recherche de puissance, l’analyse des affrontements économiques et la transversalité de l’information.  Ainsi, selon Danilo d’Elia, « dans le cyberespionnage, il est difficile de faire la distinction entre intérêts de sécurité et intérêts économiques, en particulier dans un contexte de crise économique et financière ». De plus, cette guerre économique se conduit à plusieurs échelles car « la conquête de nouveaux marchés et la perte de compétitivité de la base industrielle de l’adversaire sont aussi des objectifs non négligeables[17] ».

Techniques employées par les APT

En fonction du contexte, plusieurs techniques sont susceptibles d’être employées, notamment des techniques communes qui sont également utilisées par des ransomwares (exécution de code à distance, déploiement de campagnes de phishing, ingénierie sociale, exploitation de vulnérabilités…).

Parallèlement, certaines techniques employées par les APT se distinguent des méthodes plus traditionnelles :

Nous pourrions également tenter de faire une distinction entre les techniques utilisées en fonction du contexte, notamment en temps de guerre. Toutefois, plusieurs observateurs mettent en avant la difficulté grandissante d’effectuer une distinction entre les actions conduites en période de paix et celles menées en période de conflit[18].

Dans ce contexte, le chef d’État-major des armées britanniques Nick Carter déclarait en 2020 que ”authoritarian rivals see the strategic context as a continuous struggle in which non-military and military instruments are used unconstrained by any distinction between peace and war[19] “. Cela est également visible dans les actions offensives menées par Moscou dans le cyberespace. En effet, ces dernières contribuent à rendre flou cette dichotomie dans un contexte où ”information confrontation is constant and is unrestrained by the distinction between peacetime and wartime“[20].

Conclusion

Les APT demeurent une menace importante aux côtés des groupes cybercriminels et des hacktivistes dont il convient de prendre la mesure régulièrement. Cette menace flexible et dotée de moyens substantiels, plus élevés que les autres familles de cybercriminels, doit être surveillée par les organisations, particulièrement dans les secteurs sensibles que nous avons évoqués, notamment les organismes publics européens qui sont autant ciblés que les entreprises. Certains groupes peuvent être davantage spécialisés et cibler certains types d’institutions ou d’individus tandis que d’autres s’adaptent au contexte politique intérieur et extérieur de l’État pour lequel ils opèrent. Par ailleurs, il convient de rappeler que le temps profite toujours à l’attaquant. En effet, une fois qu’une faille est identifiée, les acteurs de la menace soutenus par des États ont tout le temps qu’il faut pour concevoir une attaque. A l’inverse, pour les victimes de ces attaques, le temps est une contrainte qui les fait agir dans la hâte pour remédier aux dégâts causés par les attaquants.

Références

L'équipe SOC CERT CTI

Voir les derniers Cybersecurity Insights

2 October 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
10 June 2024
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits […]
Read more
27 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
27 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
22 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
14 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
13 May 2024
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits […]
Read more
29 April 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
17 April 2024
Nouvelles menaces cyber, nouvelles solutions : téléchargez le Threat Landscape 2022-2023 Almond !
Read more
2 April 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
Read more
The crew
Cyber Security
Secure Cloud &
Digital Technology
Almond Institute
News
Join us
We are HIRING
Contactez-nous
Linkedin Youtube Instagram
Paris_
STRASBOURG_
NANTES_
RENNES_
LYON_
GENÈVE_
MOVE
FORWARD
WE'LL
WATCH
YOUR
BACK
Politique de confidentialité
Gestion des cookies
© 2024 Almond. Tous droits réservés.
Search
Close this search box.
Twitter Linkedin Facebook Youtube Instagram
Search
Close this search box.
Twitter Linkedin Facebook Youtube Instagram

Nous vous souhaitons de joyeuses fêtes de fin d’année hautes en couleur et à l’année prochaine pour une année 2024 exaltante ! 🎉

🎁 Merci à tous pour votre participation au quiz de l’avent, nous contacterons le gagnant très prochainement.

🎅 Chez Almond, l’esprit festif des fêtes de fin d’année est arrivé en avance !

Nos collaborateurs ont profité d’une soirée chaleureuse et joyeuse dans l’un des restaurants les plus spectaculaires de Paris, Le Cirque avec un cocktail dinatoire, des surprises et un Secret Santa.

Et un peu plus de magie de Noël ? Almond a également ouvert ses portes aux familles de nos collaborateurs pour une après-midi conviviale autour de l’arbre de Noël. Les enfants ont été captivés par des contes enchantés, de 1001 contes Constance Felix et ont savouré un goûter délicieux avec des chocolats chauds préparés par les Empotés. Le Père Noël a distribué des coloriages géants et des cadeaux pour le plus grand bonheur des enfants 🎁

Joyeuses fêtes de fin d'année 2023 !

Jour 23 : Quel est l’un des avantages de la communication et de la concertation des parties intéressées dans le processus de gestion des risques liés à la sécurité de l’information ?

  • Réponse 1 : La comparaison des résultats réels du processus de gestion des risques avec les résultats prévus lors de l’évaluation des risques.

  • Réponse 2 : Elle permet de prendre en compte différentes perspectives lors de l’établissement des critères de risque et l’évaluation des risques.

  • Réponse 3 : L’assurance que tous les risques soient communiqués à toutes les parties intéressées, quelles que soient la nature et la sensibilité de ces risques.

Laïus explicatif : La mise en place d’un processus de communication et de consultation en matière de gestion des risques liés à la sécurité de l’information a pour avantage l’amélioration des connaissances des employés concernant les risques et le processus de gestion des risques, la prise en compte de différentes perspectives lors de l’établissement des critères de risque et de l’évaluation des risques, l’amélioration de la gestion du changement au cours du processus de gestion des risques, et la garantie que chacun comprend son rôle et ses responsabilités.


Précision : une partie intéressée (le terme « partie prenante » est admis) est une personne ou un organisme susceptible d’affecter, d’être affecté ou de se sentir lui-même affecté par une décision ou une activité (extrait de la norme ISO 27001).
Les parties intéressées externes peuvent inclure les régulateurs et législateurs, les actionnaires, y compris les propriétaires et investisseurs, les fournisseurs, y compris les sous-traitants, consultants et partenaires d’externalisation, les associations industrielles ou autres, les concurrents, les clients et consommateurs, et les groupes d’activistes.
Les parties intéressées internes peuvent inclure les décideurs, y compris la direction générale, les propriétaires de processus, de systèmes et d’informations, les fonctions de soutien telles que l’informatique ou les ressources humaines, les employés et les utilisateurs, et les professionnels de la sécurité de l’information.

Jour 22 : CTF #4 de l'avent

Voici la solution du CTF #4 de l’avent

  • Flag : CWATCH{A_MAGICIAN_AMONG_THE_SPIRITS-HOUDINI}

Jour 21 : En communication de crise, qu’appelle-t-on l’effet « streisand » ?

  • Réponse 1 :  Une technique de réponse face aux journalistes

  • Réponse 2 :  Un phénomène médiatique involontaire

  • Réponse 3 :  Une posture de communication non-verbale

  • Réponse 4 :  Une stratégie de communication en temps de crise

Laïus explicatif : En communication de crise, l’effet « streisand » est un phénomène médiatique qui se produit lorsqu’une organisation souhaite cacher, supprimer ou censurer des informations la concernant et que cela la conduit à une augmentation involontaire de la visibilité de ces informations.

Ce phénomène fait échos à la chanteuse et actrice américaine Barbra Streisand. En effet, en 2003, Barbra Streisand avait essayé de supprimer une photographie de sa résidence en Californie et cela a conduit à une plus grande attention portée à cette photographie. Cet effet prend souvent de l’ampleur grâce à la couverture médiatique, le bouche-à-oreille ainsi que les réseaux sociaux (qui vont propager l’information encore plus rapidement).

 

Exemple d’entreprise :

En novembre 2022, la FNAC s’est retrouvée au cœur d’un débat politique lorsqu’elle a mis en vente un jeu intitulé « Antifa ». Il propose aux joueurs d’incarner des militants chargés de déjouer les « exactions d’extrême droite » en leur opposant « une résistance de force égale ou supérieure ». À la suite de cette polémique, la FNAC a décidé de retirer le produit de ses ventes le dimanche 27 novembre 2022 puis, après « analyse », de le remettre en vente le 29 novembre.

La polémique générée par les critiques d’extrême droite a permis de mettre en lumière le jeu alors qu’il aurait pu passer sous les radars.

En voulant arrêter la polémique naissante sur les réseaux sociaux, l’entreprise a pris l’option risquée de réagir très vite par le retrait temporaire du jeu afin d’analyser son contenu. Elle s’est ainsi retrouvée au cœur d’un débat politique.

 

Notre opinion :

Afin d’éviter l’effet « Streisand », il faut mettre en place des veilles médiatiques régulières pour surveiller et analyser le contexte médiatique. De plus, il faut évaluer avec soin l’information en question, en se demandant si cette information est vraiment susceptible de causer un préjudice important et si la tentative de censure est justifiée.

Néanmoins, il faut avoir en tête qu’avec l’évolution des médias et la rapidité de diffusion de l’information, chercher à supprimer une information met davantage les organisations sous le feu des projecteurs. Ainsi, il faut parfois relativiser et accepter que cette information ait été diffusée. C’est grâce à l’analyse du contexte médiatique que les entreprises pourront évaluer l’impact que peut avoir cette information dans les médias et ainsi décider de communiquer ou non.

Jour 20 : Quel type d’attaque consiste à intercepter et à lire les informations sensibles, telles que les identifiants de connexion, en transit entre un utilisateur et un site web ?

  • Réponse 1 : Attaque par déni de service (DDoS)

  • Réponse 2 : Attaque par force brute

  • Réponse 3 : Attaque par interception (Sniffing)

  • Réponse 4 : Attaque de phishing

Laïus explicatif : Une attaque par interception, également connue sous le nom de “sniffing”, est une méthode utilisée par les cybercriminels pour capturer et inspecter les données qui sont transmises sur un réseau.

L’attaquant utilise un logiciel d’interception de paquets (sniffer) pour capturer les données à mesure qu’elles passent sur le réseau. Ces données peuvent inclure des informations sensibles telles que des noms d’utilisateur, des mots de passe, des numéros de carte de crédit, etc.

Jour 19 : Quelles sont les différentes briques fonctionnelles composant habituellement les plateformes SASE (Secure Access Service Edge) ?

  • Réponse 1 : XDR (Extended Detection & Response), IDS (Intrusion detection System), CRL (Certificate Revocation List), ZTNA (Zero-Trust Network Access), anti-SPAM

  • Réponse 2 : SD-WAN (Software-Defined WAN), ZTNA (Zero-Trust Network Access), Bastion, EDR

  • Réponse 3 : SD-WAN (Software-Defined WAN), CASB (Cloud Access Security Broker), SWG (Secure Web Gateway), FWaaS (Firewall-as-a-Service), ZTNA (Zero-Trust Network Access)

  • Réponse 4 : SDS (Santa Detection System), CaaS (Chocolate as a Service), STAR (haut du sapin), CD-TTWU (Children-Defined Time to Wake Up), XMS (Extended Meals & Stomach)

Laïus explicatif : Gartner définit le SASE comme la convergence entre le réseau et la sécurité, incluant SD-WAN, SWG, CASB, NGFW et zero trust network access (ZTNA). Certains fournisseurs de plateforme SASE prévoient d’étendre leurs offres en y intégrant EDR et XDR.

Jour 18 : Quels types de données une solution DLP vise-t-elle généralement à protéger ?

  • Réponse 1 : Uniquement les données personnelles des employés.

  • Réponse 2 : Toutes les données, indépendamment de leur sensibilité.

  • Réponse 3 : Uniquement les données stockées sur des serveurs internes.

  • Réponse 4 : Les données sensibles et confidentielles, telles que les informations financières ou médicales.

Laïus explicatif : Les stratégies et solutions DLP visent généralement à protéger les données sensibles et confidentielles, telles que les informations financières, médicales, ou tout autre type de données qui, si perdues ou compromises, pourraient causer des dommages importants à une organisation.

Jour 17 : D'après Hyperproof, quel est le pourcentage moyen de non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l'entreprise et des clients, observé dans les entreprises du secteur technologique ?

  • Réponse 1 : 10%

  • Réponse 2 : 25%

  • Réponse 3 : 40%

  • Réponse 4 : 55%

Laïus explicatif : Une étude récente menée par Hyperproof (logiciel de gestion de la conformité) parmi les 1029 personnes interrogées a montré que 25% des entreprises technologiques font face à des problèmes de non-conformité chaque année. Elles ont connu au moins une violation de la conformité ou un manquement, comme un non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l’entreprise et des clients. Cela montre l’importance d’une gestion efficace des risques et de la conformité pour éviter les sanctions et maintenir une bonne réputation. Les entreprises doivent investir dans des formations, des audits réguliers et des technologies de surveillance pour s’assurer qu’elles restent dans les limites des réglementations en vigueur.

Jour 16 : Quelle fonctionnalité d’un serveur proxy permet à un administrateur réseau d’exposer des sites web hébergés sur son réseau à des utilisateurs externes ?

  • Réponse 1 : Proxy de transfert

  • Réponse 2 : Protocole HTTP

  • Réponse 3 : Protocole proxy

  • Réponse 4 : Proxy inverse

Laïus explicatif : Un proxy inverse peut être un serveur ou une application qui se place devant un serveur Web pour intercepter et inspecter les demandes entrantes des clients avant de les transmettre au serveur Web. Ce serveur permet aussi de renvoyer la réponse du serveur au client (par exemple, les navigateurs web).

Les solutions de proxy inverse sont généralement déployées pour améliorer la sécurité, les performances et la fiabilité.

Le protocole HTTP décrit la méthode de communication client/serveur afin d’échanger différentes ressources qui composeront un site Web.

Le protocole proxy décrit la méthode d’encapsulation qui permet de conserver les informations d’origine du client au sein de l’échange TCP « proxifié » entre le client et le serveur Web.

Avec un proxy de transfert, contrairement au Proxy inverse, l’utilité va être de protéger les utilisateurs et non les serveurs Web. Le proxy de transfert va intercepter les requêtes des utilisateurs à destination des serveurs Web afin de bénéficier d’une meilleure confidentialité et de contrôler l’accès à certaines catégories de contenus.

Jour 15 : CTF #3 de l'avent

Voici la solution du CTF #3 de l’avent

  • Flag : CWATCH{02/12/2021_18:50:00}

Jour 14 : Quel principe directeur d’ITIL prend en compte l’importance de la fidélisation des clients ?

  • Réponse 1 : Progresser de manière itérative grâce aux feedbacks
  • Réponse 2 : Commencer là où vous êtes
  • Réponse 3 : Optimiser et automatiser
  • Réponse 4 : Se concentrer sur la valeur

Laïus explicatif : Le principe « privilégier la valeur » implique que toute initiative de l’organisation doit être liée, directement ou indirectement, à la valeur qu’elle dégage pour les parties prenantes. Il englobe plusieurs perspectives, notamment l’expérience des clients et des utilisateurs.

Jour 13 : Qu'est-ce que l'ingénierie sociale dans le contexte de la cybersécurité ?

  • Réponse 1 : Une méthode de construction de logiciels de réseaux sociaux sécurisés
  • Réponse 2 : L’utilisation de technologies dans la sécurité des réseaux sociaux
  • Réponse 3 : Un protocole de sécurité pour les ingénieurs
  • Réponse 4 : Une méthode frauduleuse d’obtention d’informations

Laïus explicatif : L’ingénierie sociale est un processus frauduleux visant à tromper les individus pour obtenir certaines informations personnelles ou confidentielles, voire un accès direct à un système informatique. Il consiste souvent à se faire passer pour quelqu’un d’autre, tout en jouant sur des ressorts psychologiques.

Les attaques d’ingénierie sociale sont courantes et peuvent prendre différentes formes, telles que le phishing, le vol par diversion, le SMiShing (phishing par SMS), le pretexting, l’arnaque sentimentale (honeytrap), le tailgating/piggybacking etc.

Jour 11 : Parmi ces données, lesquelles seraient selon vous les plus attractives pour un cyberattaquant ?

  • Réponse 1 : Des informations de quelques clients (nom, prénom, adresse physique, email, téléphone)

  • Réponse 2 : Une liste d’une vingtaine d’emails professionnels

  • Réponse 3 : Une carte “black” avec adresse du propriétaire et CVV

  • Réponse 4 : Un numéro de carte bancaire

Laïus explicatif : La carte “black” et ses détails sera plus attractive pour un cyberattaquant car ce type de carte appartient généralement à des personnes avec un certain niveau de revenu ou des personnalités publiques. Le cyberattaquant pourra directement frauder ou vendre ces informations à un prix plus élevé qu’un numéro d’une carte bancaire lambda sur le marché noir. Les données à caractère personnel commencent à devenir rentables lorsqu’elles sont nombreuses, récentes, réutilisables et couplées à d’autres types de données (données de santé et données bancaires notamment). La donnée peut servir divers objectifs bien souvent motivés in fine par l’appât du gain :

  1. La fraude financière
  2. Le détournement pour d’autres cyberattaques (campagne de phishing, usurpation d’identité)
  3. La revente à des plateformes de marketing : filon davantage exploitée par les GAFAM

Jour 12 : CTF #2 de l'avent

Voici la solution du CTF #2 de l’avent

  • Flag : CWATCH{JAN_FABRE}

Jour 10 : Parmi ces 4 choix, lequel définit le mieux une Due Diligence IT/Cyber ?

  • Réponse 1 : un audit organisationnel et technique IT/Cyber d’une entreprise en prévision de l’entrée au capital d’un nouvel actionnaire
  • Réponse 2 : un audit organisationnel et technique IT/Cyber d’une entreprise à la suite de l’entrée au capital d’un nouvel actionnaire
  • Réponse 3 : un questionnaire IT/Cyber envoyé à une entreprise dans le cadre d’une opération d’investissement
  • Réponse 4 : un audit de conformité permettant de s’assurer que l’entreprise ciblée répond à ses obligations réglementaires

Laïus explicatif : Une Due Diligence est un audit réalisé dans le cadre d’un projet d’investissement (ex. LBO) concernent généralement des enjeux financiers, juridiques, opérationnels, RSE et IT/Cyber.

Une Due Diligence IT/Cyber est un audit permettant d’éclairer la décision d’investissement, en analysant la posture cyber de l’entreprise, ses pratiques et ses éventuelles vulnérabilités. Elle permet à l’investisseur, un fonds d’investissement par exemple, d’obtenir une appréciation argumentée de la maturité de l’entreprise, et ainsi déterminer les efforts et moyens nécessaires par la suite pour renforcer le niveau de sécurité de l’entreprise.

Almond réalise régulièrement des Due Diligence IT/Cyber pour le secteur du Private Equity, en y associant une évaluation externe automatisée avec la solution Security Rating de Board of Cyber mais également des investigations ciblées type OSINT.

Jour 9 : Quelle est la part de la consommation d'électricité globale imputable aux Datacenters ?

  • Réponse 1 : 0,01%

  • Réponse 2 : 0,1%

  • Réponse 3 : 1,5%

  • Réponse 4 : 10%

Laïus explicatif : La quantité de Datacenters à travers le monde connaît une hausse significative et cette tendance perdure. Malgré les efforts des constructeurs pour réduire et rationaliser leur consommation d’énergie, ces infrastructures sont responsables de 1,5 % de la consommation électrique globale, d’après les données de l’Agence Internationale de l’Énergie (IEA.org).

Jour 8 : Qu'est-ce qu'une "Zero Day" ?

  • Réponse 1 : Une faille informatique déjà corrigée par le fournisseur avant que vous ne le sachiez

  • Réponse 2 : Une vulnérabilité ne disposant pas de solution de mitigation

  • Réponse 3 : Une faille de sécurité qui n’affecte pas les systèmes d’information

  • Réponse 4 : Une vulnérabilité exploitée uniquement le jour de sa découverte

Laïus explicatif : Une “Zero Day” est une vulnérabilité qui n’a pas encore été corrigée ou pour laquelle il n’existe pas de mitigation possible. Potentiellement, des attaquants peuvent déjà avoir connaissance de cette faille et l’exploiter activement : certaines vulnérabilités Zero-Day sont ainsi découvertes par la communauté informatique à la suite d’une attaque qui l’exploite. Les cyber-criminels investissent beaucoup pour découvrir des vulnérabilités avant les chercheurs en sécurité, afin de maximiser les chances de réussite de leurs attaques.

Jour 7 : Selon les nouvelles recommandations de la CNIL, quelle est la meilleure pratique sur la robustesse d'un mot de passe ?

  • Réponse 1 : La longueur

  • Réponse 2 : Une dérivation des mots du dictionnaire (exemple la dérivation du mot Kangourou est k4ng0urOu)

  • Réponse 3 : L’utilisation d’une phrase de passe (7 mots minimum)

  • Réponse 4 : L’utilisation d’une combinaison de 12 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire

Laïus explicatif : Conformément aux récentes directives de la CNIL, l’approche privilégiée pour renforcer la sécurité des mots de passe repose sur une complexité évaluée par l’entropie, plutôt que sur une exigence stricte de longueur minimale. Cette approche vise à accorder une plus grande souplesse dans l’élaboration de politiques de mots de passe, adaptées à divers scénarios d’utilisation. Les trois exemples ci-dessous sont considérés comme équivalents en termes d’entropie, et ils sont tous conformes aux recommandations récentes :

  • Exemple 1 : Les mots de passe doivent comprendre au moins 12 caractères, incluant des majuscules, des minuscules, des chiffres, et des caractères spéciaux choisis parmi une liste d’au moins 37 caractères spéciaux possibles.
  • Exemple 2 : Les mots de passe doivent avoir au moins 14 caractères, incluant des majuscules, des minuscules, et des chiffres, sans obligation d’utiliser des caractères spéciaux.
  • Exemple 3 : Une phrase de passe doit être utilisée, composée d’au moins 7 mots. Cette approche permet aux utilisateurs de choisir des mots de passe répondant à des critères variés, tout en garantissant une sécurité appropriée.

Vous pouvez consulter les recommandations en suivant le lien fourni : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité | CNIL

Jour 6 : Quel sera le principe innovant principal du Wifi7 ?

  • Réponse 1 : L’introduction de la bande de fréquence 6Ghz

  • Réponse 2 : L’utilisation de largeur de bandes allant jusqu’à 640 Mhz

  • Réponse 3 : La possibilité d’utiliser deux bandes de fréquences simultanément

  • Réponse 4 : Aucune mise à jour requise sur les terminaux

Laïus explicatif : Avec le Wifi 7, il sera possible d’utiliser deux bandes de fréquences simultanément, contrairement au Wi-Fi intelligent actuel qui positionne automatiquement les appareils sur la meilleure bande de fréquences. Conséquences de cette agrégation de fréquences : des débits plus rapides et latences encore réduites. Le 6Ghz est déjà introduit depuis le wifi 6E, les largeurs de bandes ne seront “que” de 320 Mhz sur le 6Ghz avec le Wifi7.

Jour 5 : CTF #1 de l'avent

Voici la solution du CTF #1 de l’avent

  •  Flag : CWATCH{C51H79NO13} 

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou “Distributed Denial of Service” est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/