« L’année 2020 est sans contredit une année prolifique pour les organisations cybercriminelles qui ont su bénéficier des lacunes dans la sécurité des entreprises qui elles, se sont retrouvées soudainement et massivement en télétravail pour la première fois. »

C'est ce qu'a affirmé le pirate éthique, Dominic Villeneuve, aussi directeur de la cybersécurité et infrastructure d’UV Assurance, lors d’une conférence tenue en marge du Canada Sales Congress, le 20 octobre.

Peu d’entreprises étaient préparées pour sécuriser adéquatement un tel taux de télétravailleur au sein de leur organisation, dit M. Villeneuve. C’est par ailleurs la désorganisation des entreprises qui a attiré les cyberbandit à attaquer, croit-il.

Le changement des méthodes et des outils de travail, l’utilisation de logiciels qui permettent de se connecter à distance à l’ordinateur de bureau ou au serveur de l’entreprise via un réseau personnel ont grandement mis les organisations à risque, estime M. Villeneuve.

Le secteur financier est prisé par les fraudeurs vu la qualité et le volume des données personnelles qui y sont traitées, ajoute-t-il.

Les PME représentent aussi une proie idéale pour les cyberbandits. Surtout celles qui récoltent les informations de leurs clients, sans toutefois avoir comme mission première de les protéger.

La mafia du Web

« La cupidité est présente plus que jamais », dit M. Villeneuve. Les pirates informatiques du début des années 2000 ont été remplacés par des organisations cybercriminelles qui ont tout à voir avec une mafia ; une mafia de l’internet, dit M. Villeneuve.

D’un point de vue criminel, le vol et la vente d’informations personnelles est un jeu qui en vaut la chandelle pour les bandits, croit M. Villeneuve. L’appât du gain est important et nécessite peu de moyens, peu de temps, peu d’investissement et les sanctions sont moins sévères que celles pour la vente de drogue, par exemple.

Les informations personnelles volées peuvent être vendues plus d’une fois à plus d’un malfrat. En moins de 3 h de travail, un cyberbandit peut faire 10 000 dollars en piratant une moyenne entreprise, poursuit M. Villeneuve.

« Vendre de la drogue est plus couteux que de pirater un ordinateur ou de voler une base de données. D’autant plus qu’une identité volée se vend beaucoup plus cher sur le Dark Web que de la drogue dans la rue », ajoute-t-il.

La cyberextorsion est considérée comme un petit risque, mais les pirates en retirent beaucoup.

Une campagne révélatrice

Avec l’aide de son partenaire Groupe Cloutier, UV Assurance a mené une campagne d’hameçonnage organisée pour voir comment les conseillés réagissaient lorsqu’une telle situation se présentait à eux. « Cette fois-ci, tout était sécuritaire, mais vous seriez surpris de voir combien de conseillers ont mordu à l’hameçon et ont entré leurs informations personnelles après avoir cliqué sur le lien malveillant envoyé par courriel », dit Guillaume Fauteux, vice-président, développement des affaires et markéting en assurance individuelle et investissement-retraite pour UV Assurance, qui participait aussi à la conférence.

Certains conseillers ont avisé les autorités fédérales, d’autres la Chambre de la sécurité financière qui a notamment publié sur ses réseaux sociaux une alerte pour avertir les conseillers que des activités suspectes les visaient. La Chambre s’est rétractée quelques jours plus tard en informant que les tactiques de fraude étaient, en fait, une fausse tentative d’hameçonnage pour tester la réaction des conseillers dans le cadre d’une étude. « Ceux qui ont averti la Chambre ont eu le bon réflexe ! », a-t-elle indiqué sur son compte LinkedIn, il y a un mois.

La campagne d’hameçonnage a aussi permis à UV Assurance de recueillir des données pour mieux adapter ses outils de prévention qui l’ont suivie.

Prévention avant tout

M. Villeneuve n’a pas donné de formule miracle pour éviter la fraude ou le vol de données personnelles, lors de sa conférence dans le cadre du Canada Sales Congress. Des mots de passe longs, compliqués et renouvelés souvent, reste un des meilleurs moyens de se prémunir contre un vol. « Il ne faut pas négliger de changer le mot de passe du Wi-Fi surtout si nos enfants le donnent à tous leurs amis qui viennent à la maison », dit-il.

La protection des informations personnelles passe d’abord par soi, ajoute le pirate éthique. Ce n’est pas une mauvaise chose que de cacher certaines informations. Un bandit peut aller loin avec une adresse courriel professionnelle ou personnelle et un compte LinkedIn.

Pour les chefs d’entreprise, la sensibilisation des employés face à des liens malveillants et des courriels douteux reste une clé importante pour assurer la sécurité de l’entreprise, dit M. Villeneuve.