Les 5 étapes d’une cyberattaque

Il faut en moyenne 241 jours pour identifier une violation de données et la contenir. Contrairement aux idées reçues, la temporalité d’une cyberattaque se joue rarement sur une période courte. En réalité, elle se décline en plusieurs étapes qui s’enchaînent en l’espace de plusieurs semaines ou plus. 

En tant que PME, il est important de connaître les étapes d’une cyberattaque pour comprendre les mécanismes utilisés par les acteurs malveillants et mieux protéger votre activité.

Dans cet article, vous découvrirez :

• les étapes d’une cyberattaque, 
• les différents scénarios possibles à chaque phase,
• les bonnes pratiques à mettre en œuvre pour limiter les risques et contenir l’incident.

Étape 1 : la phase de préparation

La première étape d’une cyberattaque est la phase préparatoire des cybercriminels, qui varie selon la nature de leurs objectifs. Dans certains cas, les attaquants souhaitent cibler une entreprise en particulier, souvent dans le but de dérober des données sensibles. Ils mènent donc une phase d’étude et de reconnaissance pour trouver le meilleur moyen d’accéder à ses systèmes informatiques. Pour y parvenir, les acteurs malveillants cherchent l’ensemble des informations publiques disponibles sur leur cible. Ils consultent son site web, les réseaux sociaux de ses collaborateurs, ses offres d’emploi (qui révèlent parfois les technologies utilisées en interne), ou encore le WHOIS, un registre public qui fournit des informations sur les propriétaires de noms de domaine. Ils identifient également les partenaires et les fournisseurs de l’organisation. Sur la base de ces informations, les cybercriminels peuvent alors choisir et personnaliser leur mode opératoire.

D’autres attaquants optent pour une approche opportuniste et moins coûteuse. Ils utilisent des scanners de vulnérabilités, qui détectent automatiquement les entreprises qui utilisent des versions obsolètes de logiciels comportant des failles connues ou ayant commis des erreurs de configuration exploitables pour lancer une attaque. Votre entreprise n’est pas visée personnellement, mais elle apparaît dans une liste de cibles “faciles à attaquer”. 

D’autres opportunités peuvent facilement être saisies par les acteurs malveillants, par exemple lorsqu’un collaborateur se connecte à un WiFi public non sécurisé. Dans ce cas de figure, l’origine de l’attaque est une erreur humaine repérée et exploitée par les cybercriminels.

À ce stade, vous pouvez déjà limiter fortement votre exposition aux cyber risques. Une bonne pratique consiste à sensibiliser vos salariés aux modes opératoires utilisés par les acteurs malveillants ainsi qu’aux mesures de cyber hygiène à adopter pour éviter les erreurs humaines. Vous pouvez également réaliser un audit de cybersécurité en ligne avec Sekost, à partir de votre nom de domaine ou de votre adresse IP pour identifier l’ensemble de vos failles à corriger avant qu’elles ne soient exploitées par les attaques.

Étape 2 : le déclenchement de l’attaque

Après avoir identifié un point d’entrée exploitable et choisi son mode opératoire, l’attaquant passe à l’action. Le déclenchement de l’attaque peut prendre de nombreuses formes. Le référentiel MITRE ATT&CK catégorise les différents types de cyberattaques  :

• le phishing : ce message (souvent envoyé par e-mail ou SMS) imite un interlocuteur de confiance comme votre banque, un client, ou un collègue pour vous pousser à cliquer sur un lien infecté, à télécharger une pièce jointe malveillante ou à communiquer des informations sensibles.
• L’exploitation d’une faille technique connue sur un service exposé, comme un logiciel n’ayant pas été mis à jour, permet à l’attaquant de pénétrer dans votre système d’information.
• L’utilisation d’identifiants volés suite à une fuite de données sur un autre service. Si un salarié réutilise le même mot de passe sur plusieurs services, il suffit qu’il soit dérobé une seule fois ailleurs pour que des outils automatisés le testent ensuite sur vos propres accès.
• La compromission via un prestataire ou un tiers de confiance : l’attaquant ne s’en prend pas directement à vous, mais à un acteur de votre écosystème peu protégé pour vous atteindre plus facilement
• L’ingénierie sociale ciblée. Par exemple, un cybercriminel se fait passer pour le dirigeant ou un fournisseur habituel afin d’obtenir un virement ou un accès en instaurant un sentiment d’urgence.
• Un support amovible piégé, comme une clé USB infectée. L’appareil, parfois laissé volontairement dans un lieu public ou envoyé par courrier, installe un programme malveillant dès qu’il est branché.
• Un objet connecté mal sécurisé, comme une caméra ou une imprimante réseau. Un équipement resté avec son mot de passe par défaut peut servir de porte d’entrée vers le reste du réseau.
• Une campagne automatisée de masse : un même message ou logiciel malveillant est diffusé à très grande échelle, sans ciblage précis. Votre entreprise n’est que l’un des nombreux destinataires.

Le phishing représente 43 % des incidents déclarés par les entreprises victimes, selon le baromètre national de maturité cyber des TPE-PME. Là encore, la sensibilisation des collaborateurs joue un rôle essentiel pour ne pas tomber dans les pièges tendus par les attaquants. La mise en place d’une authentification renforcée permet de sécuriser les accès, et l’installation des mises à jour applicatives reste le meilleur moyen de combler les vulnérabilités exploitables.

Étape 3 : la propagation dans le système d’information

Une fois entré dans vos systèmes, l’attaquant cherche à consolider sa position et à étendre ses accès. Cette troisième étape de la cyberattaque s’appelle le mouvement latéral et commence souvent par une élévation de privilèges. Par exemple, si le cybercriminel met la main sur un compte utilisateur “classique” comme celui d’un salarié, il peut tenter de lui donner les mêmes droits qu’un compte administrateur réservé au dirigeant ou au responsable informatique. Il peut alors effectuer une reconnaissance interne du réseau pour repérer les serveurs, les bases de données et les postes les plus intéressants à compromettre.

L’attaquant peut également collecter des identifiants supplémentaires stockés ou en mémoire sur les machines déjà atteintes, ce qui lui permet de rebondir vers d’autres systèmes. Afin de s’assurer de pouvoir revenir plus tard, il peut installer des accès de secours. Même si la faille d’origine est corrigée, l’acteur malveillant peut ainsi revenir dans votre système par une autre porte, sans que personne ne s’en aperçoive. 

Cette étape peut durer de quelques heures à plusieurs mois selon la sophistication de l’attaque. Pour limiter la propagation, vous pouvez cloisonner les accès en séparant les différentes parties de votre réseau. À l’instar des portes coupe-feu dans un bâtiment pour éviter la propagation des incendies, ce cloisonnement empêche le cybercriminel de circuler librement. Une autre bonne pratique consiste à appliquer le principe du moindre privilège, afin que chaque collaborateur ne dispose que des accès strictement nécessaires à ses missions.

Étape 4 : l’action finale de l’attaquant

Une fois installé dans votre système d’information, l’attaquant passe à l’action. Une multitude de scénarios sont alors possibles. Souvent, les acteurs malveillants exfiltrent vos données et celles de vos clients. Ils peuvent alors les revendre sur le darkweb ou les exploiter pour mener d’autres attaques.

Un autre procédé consiste à déployer un rançongiciel, un logiciel malveillant qui chiffre vos données, les rendant totalement inaccessibles. Cela met un coup d’arrêt à votre activité. Les attaquants exigent alors le paiement d’une rançon importante en échange de la restitution de vos données. Mais même en cas de paiement, rien ne garantit que les données seront réellement restituées, ni qu’aucune copie n’a été conservée par les attaquants.

D’autres scénarios comme la suppression totale des données ou l’installation d’un logiciel espion figurent sur la liste des préjudices possibles. 

Le fait de disposer de sauvegardes fiables et sécurisées permet de restaurer rapidement vos données en cas de chiffrement ou de suppression, et vous évite d’avoir à négocier avec les cybercriminels.

Dans le cas d’une attaque par ingénierie sociale, l’action finale se concrétise souvent par un virement frauduleux. L’attaquant, ayant usurpé l’identité d’un dirigeant ou d’un fournisseur habituel, convainc un collaborateur d’effectuer un paiement vers un compte qu’il contrôle, ou de modifier le RIB d’un fournisseur légitime pour détourner les prochains règlements. 

Face à ce mode opératoire, la meilleure protection consiste à demander une vérification en posant une question dont seul votre véritable interlocuteur connaît la réponse, ou en le rappelant directement à son numéro habituel avant d’exécuter la moindre demande de virement ou de changement de coordonnées bancaires.

Étape 5 : la détection

À ce stade de l’attaque, il existe deux cas de figure. Soit vous avez détecté la menace, soit celle-ci passe encore inaperçue.

5.1 Quand l’attaque passe inaperçue

Une intrusion peut rester invisible pendant plusieurs semaines ou plusieurs mois. L’attaquant a tout intérêt à rester discret et à exfiltrer vos données progressivement, par petits volumes, pour ne pas déclencher d’alerte. Il peut également rester en sommeil avant de lancer son attaque au moment qu’il juge le plus favorable, par exemple un vendredi soir ou pendant les congés d’été. Seules 16 % des TPE-PME françaises disposent aujourd’hui d’une solution capable de détecter une attaque en cours, selon le baromètre national de maturité cyber des TPE-PME.

Les cyberattaques passent donc fréquemment inaperçues pour les entreprises qui n’utilisent pas ce genre de dispositif. Cependant, certains signaux peuvent vous alerter, comme le fait de recevoir une notification de connexion à un horaire inhabituel, par exemple en pleine nuit ou depuis un pays où vous n’avez aucune activité, ou encore une demande de réinitialisation de mot de passe que vous n’avez pas demandée. Des fichiers qui apparaissent soudainement avec une extension inconnue sont souvent le signe qu’un chiffrement est en cours. Un antivirus désactivé sans intervention de votre prestataire informatique, des sauvegardes qui échouent ou disparaissent constituent d’autres indices. Le signal le plus explicite reste évidemment un message de rançon affiché à l’écran, parfois imprimé spontanément sur l’ensemble des imprimantes du bureau.

5.2 Quand l’attaque est détectée

Lorsque vous identifiez une attaque en cours, votre réactivité compte autant que les actions que vous allez entreprendre :

1. Contenez l’attaque : certaines mesures doivent être prises très rapidement pour contenir l’attaque et limiter ses conséquences. Contactez votre banque pour bloquer un virement frauduleux en cours, révoquez les accès d’un compte compromis, déconnectez du réseau le terminal qui affiche un message de rançon… Chaque minute compte pour empêcher l’attaquant d’aggraver la situation.
2. Mobilisez rapidement les bonnes personnes : votre responsable ou prestataire informatique, et si besoin un expert en cybersécurité qualifié.
3. Signalez l’incident via le 17Cyber ou Cybermalveillance.gouv.fr, et envisagez un dépôt de plainte.
4. Évaluez l’ampleur des dégâts en identifiant les systèmes touchés, les données concernées et, si possible, depuis combien de temps l’attaquant était présent dans vos systèmes.
5. Notifiez la CNIL sous 72 heures en cas de violation de données personnelles, et informez les personnes concernées (clients, salariés ou tout autre tiers dont les données ont été compromises) si le risque pour elles est élevé, conformément aux obligations du RGPD.
6. Corrigez la faille et nettoyez vos systèmes en restaurant vos données depuis des sauvegardes saines, en changeant les mots de passe et en vérifiant qu’aucun accès caché n’a été laissé par l’attaquant.
7. Communiquez en interne et, si nécessaire, auprès des clients ou partenaires concernés.
8. Déclarez le sinistre à l’assureur cyber si vous en avez un.
9. Documentez l’incident pour en tirer un retour d’expérience utile.
10. Ajustez votre stratégie de cybersécurité (ou créez-en une si vous n’en aviez pas jusqu’alors) pour éviter d’être de nouveau touché par une cyberattaque à l’avenir.

Conclusion

Toute cyberattaque se décompose en plusieurs étapes. Chacune d’elles correspond à un moment où vous pouvez agir, que ce soit pour réduire votre niveau d’exposition en amont, détecter l’attaque, l’isoler et la contenir afin de limiter les dégâts ou tirer des enseignements a posteriori.

Comprendre les étapes d’une cyberattaque vous permettra d’adopter la meilleure réaction à chaque phase, plutôt que de découvrir l’ampleur des dégâts lorsqu’il est trop tard pour agir. La meilleure façon d’éviter cette situation est de sensibiliser vos salariés aux bonnes pratiques en matière de cybersécurité, et de réaliser un audit pour découvrir vos vulnérabilités avant d’entreprendre les actions correctives qui vous permettront de réduire votre exposition aux cyber risques.