Par Gérard Haas et Céline Rodier
Au cours de l’année 2021, le nombre de cyberattaques a augmenté, comme en témoigne l’attaque de grande ampleur dont a été victime la société Kaseya le mois dernier et qui a touché des milliers d’entreprises dans le monde entier.Afin de limiter le cyber risque, il appartient à tous de se mettre en conformité avec les dispositions réglementaires en matière de protection des données à caractère personnel, notamment celles du RGPD, et il est fortement conseillé aux entreprises de souscrire à une assurance cyber risque spécifique.
Dans ce contexte, la CNIL (Commission nationale de l’informatique et des libertés) a publié le 10 août dernier une fiche à propos des attaques sur les messageries, qui intervient dans le cadre du rendez-vous d’information périodique la « violation du semestre ».
L’utilisation d’une technique bien connue : l’hameçonnage
La CNIL précise qu’un courriel d’hameçonnage général (phishing en anglais) ou d’hameçonnage ciblé (spear phishing) est souvent à l’origine de ces cyberattaques.
L’autorité expose la principale technique utilisée : il s’agit de la compromission d’une messagerie en ligne via un courriel d’hameçonnage qui invite l’utilisateur à cliquer sur un lien et à se réauthentifier à la messagerie. L’attaquant récupère alors son identifiant et son mot de passe.
Quels sont les risques de ces cyberattaques ?
La CNIL alerte sur les nombreux risques liés à l’hameçonnage, tels que :
- L’exfiltration des données de messageriequi peut permettre à l’attaquant :
- D’exercer un chantage ;
- D’en apprendre plus sur les liens qui existent entre les salariés et/ou leurs clients pour les attaquer au travers d’une campagne de courriels d’hameçonnage ciblés…
- L’usurpation d’identité qui peut aboutir à :
- L’exploitation du carnet d’adresse ;
- Une fraude au président ou un faux ordre de virement…
L’autorité ajoute que le cybercriminel peut également exploiter une des fonctionnalités de la messagerie permettant de créer des règles automatiques pour créer des règles frauduleuses et dissimuler les traces de l’attaque par exemple.
Comment réagir face à de telles attaques ?
La CNIL recommande aux responsables de traitement de suivre une démarche précise pour limiter les conséquences de ces attaques :
- Comprendre l’origine de l’attaque ;
- Si le risque est élevé, le responsable de traitement doit informer les personnes concernées par la violation dans les meilleurs délais (article 34 du RGPD) ;
- Si l’attaque est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit documenter la violation et la notifier à la CNIL dans un délai de 72h (article 33 du RGPD).
La CNIL conseille aux victimes d’une escroquerie en ligne de :
- Signaler cette escroquerie sur le portail officiel de signalement des contenus illicites de l’Internet ;
- Se rendre sur la plateforme nationale d’assistance aux victimes d’actes de cybermalveillance qui propose :
- Des conseils et des vidéos pour sensibiliser à ce phénomène ;
- Des services de proximité en cas de dommages causés par une attaque informatique.
Les recommandations de la CNIL et de l’ANSSI sur la sécurité des messageries
Dans sa fiche à propos des attaques sur les messageries, la CNIL précise qu’il est nécessaire de :
- Sensibiliser régulièrement les utilisateurs, mais aussi les équipes de sécurité et d’administration des environnements bureautiques, aux risques et aux bonnes pratiques concernant les services de messagerie ;
- Mettre en place des mesures techniques adaptées.
Voici un tableau des principaux conseils de la CNIL :
Sensibiliser les utilisateurs à l’usage de la messagerie |
Mettre en place des mesures techniques adaptées |
|
|
Sur son site internet, l’ANSSI (Agence nationale de la sécurité des systèmes informatiques) a également publié les 5 réflexes à avoir lors de la réception d’un courriel :
• 1 Ne pas avoir une confiance aveugle dans le nom de l’expéditeur.
• 2 Se méfier des pièces jointes.
• 3 Ne jamais répondre à une demande d’informations confidentielles.
• 4 Passer la souris au-dessus des liens et faire attention aux caractères accentués dans le texte ainsi qu’à la qualité du français dans le texte ou de la langue pratiquée par votre interlocuteur.
• 5 Paramétrer correctement le logiciel de messagerie.
Afin de limiter la réception des courriels indésirables, l’ANSSI recommande également de mettre en œuvre les deux mécanismes suivants[2] :
- Des mécanismes antispam, par exemple : l’utilisation de listes d’autorisations, d’interdictions ou d’interdictions provisoires d’adresses IP ou de noms de domaine ;
- Des mécanismes de détection de contenu
Dans sa fiche, la CNIL affirme que « la compromission initiale d’une messagerie en ligne provient majoritairement de l’utilisation d’un mot de passe faible ou déjà utilisé sur un autre service en ligne et qui a déjà été compromis ». Ainsi, l’utilisation d’un mot de passe robuste permet d’augmenter la sécurité des messageries.
Parmi les recommandations de l’ANSSI, on retrouve notamment :
- Utiliser un mot de passe unique pour chaque service ;
- Modifier systématiquement et au plus tôt les mots de passe par défaut lorsque les systèmes en contiennent ;
- Renouvelez vos mots de passe avec une fréquence raisonnable ;
- Choisir des mots de passe d’au moins 12 caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux), en utilisant la méthode phonétique par exemple (« J’ai acheté huit cd pour cent euros cet après-midi » deviendra ght8CD%E7am) ;
- Ne pas stocker les mots de passe dans un fichier sur un poste informatique particulièrement exposé au risque.
En conclusion, on constate que des bonnes pratiques peuvent être mises en œuvre pour se prémunir des attaques sur les messageries et lutter contre cette forme de cybercriminalité.
***
Le département cyber sécurité du Cabinet Haas Avocats, Cabinet spécialisé depuis 25 ans en droits des nouvelles technologies et de la communication et en droit de la propriété intellectuelle, se tient à votre disposition pour répondre à vos questions et vous assister dans le pilotage juridique de la gestion des cyber risques. Pour en savoir plus, rendez-vous ici.
[1] Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques.
[2] Guide ANSSI, Recommandations relatives à l’interconnexion d’un système d’information à Internet, 19 juin 2020, p. 42, recommandations n°38 et 39.