Pourquoi la pensée à court terme fait perdre la guerre cybernétique

Lorsque nous repenserons à 2018, il est tout à fait possible que cette année reste surtout dans les mémoires pour le scandale Facebook/Cambridge Analytica, première prise de conscience publique massive du problème de la confidentialité des données.

En revanche, les violations de données majeures subies par Marriott International, Amazon et bien d'autres grandes multinationales ont eu l'air d'un simple à-côté. Elles ont peut-être généré une avalanche de gros titres au moment où l'affaire a éclaté, mais contrairement à la tourmente Facebook, elles n'étaient jamais destinées à s'inscrire durablement dans la conscience collective.

En réalité, bien peu de violations de données restent suffisamment longtemps dans l'air du temps pour susciter l'examen public qu'elles méritent pourtant. Les entreprises concernées peuvent perdre une poignée de clients mécontents en s'acquittant de leurs obligations minimales de notification et d'information des personnes dont les données ont été compromises, mais les dommages à long terme sont rarement significatifs.

C'est ironique, sachant que les cybercriminels les plus rusés seront précisément ceux qui résisteront à la tentation d'exploiter immédiatement les données clients qu'ils ont dérobées. Réfléchissez-y : dans les moments qui suivent immédiatement la révélation publique d'une violation, les entreprises, les clients, les sociétés de cartes de crédit et les agences de lutte contre la cybercriminalité sont tous en alerte maximale. Les données sont « brûlantes » – c'est l'équivalent virtuel de la surveillance des aéroports et des gares juste après un attentat terroriste.

Cependant, une fois que les répercussions immédiates – financières, juridiques, réputationnelles – sont passées, et que chacune des parties concernées commence à baisser sa garde, on verra les hackers les plus avisés passer à l'attaque, non pas en provoquant un nouveau tumulte médiatique, mais en exploitant discrètement la valeur des données personnelles ou financières récoltées lors de la violation initiale.

En conséquence, nous prévoyons que 2019 sera l'année du Zombie Phishing – l'année où d'anciennes menaces reviendront d'entre les morts. Les cybercriminels exploiteront les vulnérabilités des personnes qui n'ont pas répondu aux appels à changer leurs mots de passe ou à mettre en place l'authentification à deux facteurs, du moins sur certains de leurs comptes les plus importants ou les plus vulnérables. La valeur des données collectées ne disparaît pas une fois la violation découverte ; il faut que les clients mettent proactivement à jour leurs informations et leurs protections de sécurité pour réduire le risque d'exploitation ultérieure.

Ainsi, au cours des douze prochains mois, nous verrons des fantômes du phishing réapparaître pour cibler les clients d'une myriade d'entreprises mondiales. Quel hacker ne se réjouirait pas de revenir sur les lieux du crime pour exploiter les millions de profils clients existants qu'il avait volés l'année précédente – venant ainsi s'ajouter à son butin de violations de données actuelles ?

Vous ne nous croyez pas ? Eh bien, vous pouvez le vérifier par vous-même : rendez-vous sur HaveIBeenPwnEd et vérifiez si vos informations – adresses e-mail ou mots de passe (parce que bien sûr, vous avez des dizaines de mots de passe uniques – un pour chaque site que vous visitez, n'est-ce pas ?!) – circulent déjà dans la nature. La triste vérité est que pratiquement tout le monde a vu ses données compromises à un moment ou un autre au cours de la dernière décennie.

Il ne s'agit pas ici de semer la panique. En effet, les phishers zombies n'ont rien d'effrayant, à condition de faire preuve de la diligence requise pour s'assurer que toutes les données actuellement entre les mains des hackers appartiennent définitivement au passé. Cela peut sembler intimidant, mais commencez par nos meilleurs conseils et vous serez sur la bonne voie pour protéger vos données :

1. Vérifiez si vos informations personnelles figurent quelque part en utilisant un outil tel que HaveIBeenPwnEd. Si vos mots de passe apparaissent comme compromis, cessez de les utiliser et modifiez les services qui utilisent actuellement ce mot de passe. Vous ne pourrez pas savoir si votre mot de passe et votre identité ont été compromis ensemble, mais le risque n'en vaut clairement pas la peine.
2. Gardez des mots de passe distincts, robustes et régulièrement mis à jour.
3. Mettez en place l'authentification à deux facteurs lorsque cela est possible, et vérifiez toujours à deux fois la source de toute correspondance que vous n'attendiez pas. Évitez l'authentification à deux facteurs par SMS, privilégiez une solution basée sur une application.
4. Utilisez les protections intégrées déjà à votre disposition ; des fonctionnalités anti-phishing au filtre anti-spam proposé par des services tels que Gmail.

C'est à vous qu'il incombe de garder une longueur d'avance sur les hackers, car malheureusement, tout indique que de nombreuses organisations à qui nous confions nos données sont incapables d'en faire autant.