Essor des darknets, vulnérabilité des outils open source, fragilité des systèmes de paiement électronique, menaces sur le mobile et l’Internet des objets : il faut s’attendre à une année 2015 chargée en matière de sécurité informatique.

Ce constat, Trend Micro l’a établi dans un rapport – document PDF, 23 pages – diffusé voici quelques semaines. BitDefender, qui s’est également livré à l’exercice des prédictions, en arrive plus ou moins aux mêmes conclusions. Les deux éditeurs s’accordent notamment sur le fait que les cyber-attaques visent de plus en plus systématiquement des données à forte valeur (par exemple la propriété intellectuelle), avec des motivations d’ordre essentiellement financier.

Face au renforcement des mécanismes de cyberdéfense, les pirates informatiques ont tendance à exploiter, au-delà des faiblesses de la machine, les erreurs humaines. Si Trend Micro insiste sur ce point, BitDefender met plutôt en avant le défi que représente le développement des systèmes de paiement électronique dans le sillage d’Apple Pay, qui a réalisé un démarrage remarqué fin octobre aux Etats-Unis.

Au coeur du débat, la technologie sans contact NFC, qui, à l’instar des flashcodes, pourrait faciliter la transmission de code malveillant destiné à voler des données en toute discrétion, par exemple en corrompant des applications légitimes. Evoquant ce même problème l’année passée, Kaspersky recommandait aux utilisateurs de n’activer la fonction NFC que lorsqu’ils s’apprêtent à l’utiliser.

Autre élément en commun dans le discours de BitDefender et de Trend Micro : les attaques atteignent un niveau de sophistication sans précédent. Souvent parce qu’elles s’appuie sur une alchimie complexe de failles. Les cybercriminels vont généralement chercher les données là où elles sont centralisées, c’est-à-dire dans les organisations des secteurs public et privé. Ce qui leur permet par la suite de mener des campagnes plus ciblées… avec des méthodes de plus en plus élaborées exploitant de multiples vecteurs (l’année dernière, Fortinet faisait tout particulièrement référence aux technologies de communication sans fil).

Dans l’ombre du Net

BitDefender s’inquiète aussi de l’explosion des ventes de kits « prêts à l’emploi » sur des forums spécialisés, sur le marché noir… et sur les darknets. Cette « face cachée d’Internet », utilisée entre autres par des agents de sécurité nationale qui ont besoin de communiquer sans être suivis, constitue un lieu de partage pour les pirates, qui y échangent outils et techniques d’attaque, tout en commercialisant des données volées.

Ce canal va compliquer la détection des pirates, tout comme le réseau d’anonymisation Tor, qui permettra de dissimuler des activités susceptibles d’être repérées et coupées par les autorités. La technique est déjà utilisée pour diffuser le malware TORLocker, classé dans une catégorie en pleine émergence : les « rançongiciels ». Ces derniers bloquent l’accès à des données ou tout simplement à des appareils et ne le restaurent qu’en échange d’une rançon.

Attention également aux brèches dans les produits open source. Le contrôle des composants défectueux n’est pas toujours rigoureux. Illustration avec les failles Heartbleed et Shellshock, découvertes respectivement au sien du protocole SSL et de l’interpréteur de commandes Bash (sur Unix/Linux). BitDefender s’inquiète aussi des portes dérobées intentionnellement laissées dans certains logiciels commerciaux… et qui facilitent le travail d’espionnage.

Plus globalement, les points critiques dans les réseaux informatiques se multiplient. La mobilité des employés n’y est pas étrangère. Elle est souvent mal maîtrisée, plus encore lorsque les entreprises tolèrent la pratique du BYOD (« Bring Your Own Device »), par laquelle les collaborateurs se servent de leurs appareils personnels à des fin professionnelles. Qu’il s’agisse d’ordinateurs portables, de tablettes ou de smartphones, la mise en oeuvre de politiques de sécurité reste faible. A tel point qu’elle entraînera, selon BitDefender, au moins une attaque à grande échelle en 2015.

Lire la suite sur itespresso.fr…