Les différents types de cyberattaques
Les différents types de cyberattaques
Cette page est un des supports réalisés et mis à disposition dans le cadre de la Mission Cybersécurité et Médiation Numérique du Département de la Loire .Cette page doit vous donner un socle de base sur les principales menaces informatiques, si vous avez besoin de vous acculturer ou de faire un support de sensibilisation au sein de votre structure.
4 catégories majeures de risques...
Le gouvernement français regroupe les cyberattaques dans les catégories suivantes, pour des raisons juridiques et pénales :
La cybercriminalité
est l'ensemble des infractions pénales commises par le biais de l'informatique ou d'Internet.
est l'ensemble des infractions pénales commises par le biais de l'informatique ou d'Internet.
L'espionnage
consiste à infiltrer des équipements, souvent ceux d’institutions et de secteurs d’activité industrielle qui travaillent sur des sujets sensibles. Cette infiltration tend à se faire sur le long terme et à l'insu des cibles visées.
consiste à infiltrer des équipements, souvent ceux d’institutions et de secteurs d’activité industrielle qui travaillent sur des sujets sensibles. Cette infiltration tend à se faire sur le long terme et à l'insu des cibles visées.
Le sabotage
est le fait de rendre inopérant tout ou partie du système d’information d’une organisation (s’apparente à une panne organisée).
est le fait de rendre inopérant tout ou partie du système d’information d’une organisation (s’apparente à une panne organisée).
L'atteinte à l'image
sont les infractions portant atteinte à la dignité, à l’honneur, à la réputation d’autrui.
sont les infractions portant atteinte à la dignité, à l’honneur, à la réputation d’autrui.
Ces catégories ne sont pas mutuellement exclusives les unes des autres : par exemple, une attaque DDOS est à la fois considérable comme un acte de cybercriminalité, d'atteinte à l'image et de sabotage.
Les conséquences de ces incidents peuvent être diverses. Dans certains cas, elles peuvent paralyser l'activité professionnelle, ou encore entraîner une perte de données conséquente. Elles peuvent entraîner une coupure des communications, ainsi les systèmes reliés ne peuvent plus échanger de données et on assiste alors à une perte d’informations, une saturation, une panique système ou un arrêt des activités. Une entreprise peut aussi subir la perte des applications installées.
... mais ce n'est qu'une forme de classification parmi d'autres !
De manière générale, il n'existe pas une façon unique de classer les cyberattaques. Elles peuvent être aussi regroupées en fonction de leur finalité, de leur complexité, etc.
Nous présenterons ici deux catégories basées sur le mode opératoire des cybercriminels:
Les attaques portant sur les outils matériels, logiciels, réseaux et systèmes d'information
L'ingénierie sociale
L'ingénierie sociale consiste à jouer sur le côté émotionnel de l'être humain afin de récupérer les données personnelles d'une victime.
Pour cela, le cybercriminel va usurper l'identité d'une tierce personne ou d'un service (banque, transport, sécurité sociale...) en tentant de mettre la victime dans une situation pressante, bloquant le temps de réflexion.
Ingénierie sociale (sécurité de l'information)
10 types d'ingénierie sociale
Les cyberattaques en 2022, en France et dans le monde
Consultez l'actualité des cyberattaques ici.Les arnaques via le téléphone
Les arnaques via le téléphone
La plupart de ces attaques visent à vous contacter par téléphone (appel ou SMS) en usurpant l'idendité d'un organisme tiers, afin de récupérer vos données personnelles, très souvent pour pirater votre compte bancaire.
Sommaire
Le smishing
- C'est l'équivalent du phishing mais le message frauduleux est envoyé par SMS. Il contient en général un lien menant vers une page de récupération de vos coordonnées parsonnelles.
Le vishing
- C'est l'équivalent du phishing réalisé avec un appel vocal et une usurpation d'identité.
- Il en existe de plusieurs types; en voici quelques exemples :
- L'appel robotisé
Un logiciel robot d'appels téléphoniques (logiciel de phone marketing) est utilisé pour appeler tous les numéros de téléphone détenus dans un fichier (tableur, etc.) ou récupérés, avec des outils de pillage, sur des annuaires comme les « pages blanches » ou les « pages jaunes ».
La « cible » décroche et un message pré-enregistré, prétendument provenant de sa banque, prévient qu'une opération inhabituelle a été détectée sur son compte. Une confirmation est demandée. Il faut rappeler un numéro de téléphone (probablement surtaxé, mais c'est habituel avec les banques). En appelant, la « cible » tombe sur une boîte vocale (une autre forme de robot téléphonique) qui lui demande de s'identifier pour vérification en composant ses identifiants bancaires (numéro de carte bancaire, date d'expiration, éventuellement le cryptogramme visuel). Si la « cible » donne ces informations, elle devient une victime et des opérations frauduleuses vont être effectuées.
Comme il n'existe aucun moyen de vérifier ce que saisit la « cible », un jeu consiste à saisir n'importe quoi, ce qui fait perdre du temps au cybercriminel (et de l'argent s'il tente de fabriquer une fausse carte…).
- L'arnaque au faux conseiller bancaire
Un pirate appelle une victime et se fait passer pour son conseiller bancaire (au besoin avec un numéro de téléphone proche de celui de son centre financier) afin de lui faire croire qu'une opération inhabituelle est en cours sur son compte et qu'il est urgent de le sécuriser. L'imposteur s'exprime d'une manière très professionnelle et est en mesure de donner à la victime des éléments précis la concernant (nom, prénom, adresse, connaissances proches) récupérés suite à des fuites de données. Le but étant, après un échange pouvant aller jusqu'à plusieurs minutes, d'obtenir le numéro de compte et le mot de passe de la victime.
- - La fraude au président ou FOVI (faux ordre de virement international)
Lors de cette fraude, qui peut combiner plusieurs techniques, l’attaquant peut tenter, par exemple, de convaincre un dirigeant ou une personne décisionnaire de l’entreprise (souvent appartenant au service de comptabilité) de transférer de l’argent (par exemple en contrepartie d’une commande) en ayant préalablement réussi à modifier ou mettre à jour les coordonnées bancaires du destinataire légitime (un fournisseur par exemple) afin de récupérer en son nom les fonds devant lui être versés.
Le fraudeur, se faisant passer pour quelqu'un d'important, cherche à mettre la personne ciblée dans une situation d'urgence, notamment quand son responsable hiérarchique est absent, afin de la dissuader de contacter ce dernier.
Cette attaque peut concerner toutes les entreprises, quels que soient leur taille et leur secteur d’activité.
Pour en savoir plus
Le SIM-SWAP
Cette fraude ne nécessite aucune compétence particulière en informatique ou en téléphonie.
Comment s'en prémunir
- Il faut savoir qu'un conseiller bancaire ne demande jamais d'informations personnelles par téléphone (ou par mail) même pour vérification.
- Se méfier notamment des appels qui arrivent le vendredi soir ou le week-end (en d'autres termes, des moments où il est impossible de contacter son centre financier).
Pour en savoir plus
600 000 euros dérobés par un détenu
Le quishing
- Ou en français, arnaque au QR Code.
- Cette arnaque consiste à récupérer les données de la victime via un faux QR Code qui renvoie vers un site de paiement frauduleux. Elle est très utilisée dans le cas de fausses contraventions ou au niveau d'équipements publics comme les bornes de rechargement de voitures électriques par exemple.
- Comment s'en prémunir
- Si le QR code est donné sur un site en ligne, vérifier la fiabilité du site en contrôlant l'adresse et les fautes d'orthographe par exemple (voir les cas de phishing et d'url spoofing).
- Si le QR code est donné sur l'écran d'un équipement (borne de recharge par exemple) ou une structure du domaine public (pharmacie...), vérifier s'il se trouve sur un autocollant et dans le doute passer par un site internet ou une application.
Les statistiques des cybermenaces et de la cybersécurité
Les statistiques des cybermenaces et de la cybersécurité
Avertissement Les données de cette page sont en constante évolution et réévaluation.
Cette page est un des supports réalisés et mis à disposition dans le cadre de la Mission Cybersécurité et Médiation Numérique du Département de la Loire.
Cette page doit vous donner un socle de base sur l'aspect chiffré des cyberattaques et celui des investissements et bénéfices de la cybersécurité. Elle présente des infographies utiles si vous avez besoin de vous acculturer ou de faire un support de sensibilisation au sein de votre structure.
Sommaire
Statistiques globales de la cybersécurité dans le monde
- 7,9 milliards de données ont été exposées dans le monde en 2019 contre plus de 20 milliards d'enregistrements en 2020.
- 24,21% des cyberattaques ont visé les gouvernements et administrations publiques dans le monde en 2022
- La principale menace reste le phishing (voir graphique ci-contre). 90% des cyberattaques arrivent par mail.
- 95% des cyberattaques réussies sont dues à une erreur humaine.
La version 2023 du graphique ci-dessus est disponible: Intervention_des_gendarmes_cybermenaces_2023.pdf (2.0MB) .
Statistiques globales de la cybersécurité en France
Général
- 385 000 attaques réussies ont touché les systèmes d’information des organisations françaises en 2022.
- Les cyberattaques, en France, ont été multipliées par 10 entre 2019 et 2022
- Principaux types d'attaque en France en 2023 : Intervention_des_gendarmes_cybermenaces_2023.pdf (2.0MB)
Les principaux types d'attaques ayant eu un impact au niveau des PME
- Les entreprises sont, de loin, les structures les plus touchées. Elles représentent plus de 90 % du nombre total de cyberattaques estimées au sein des organisations françaises
- 54 % des entreprises françaises ont été attaquées en 2022.
Les attaques lancées contre les collectivités et le service public français depuis 2019
- Les collectivités représentent 12% des cibles des cyberattaques.
- Au 27 janvier 2023, la carte des cyberattaques lancées contre les collectivités recensait 5 régions, 9 départements, 31 agglomérations ou communautés de communes, 78 mairies et 36 hôpitaux, cliniques ou sapeurs-pompiers, visés depuis 2019 par des cyberattaques. Ces chiffres ont depuis augmenté.
- Fin 2023, seules 14% des collectivités s'estiment préparées aux cyberattaques.
- D'après une étude sur 25 000 communes, fin 2023, 78% des communes ont été sensibilisées au moins une fois au cours des 12 derniers mois et pourtant:
- 1 collectivité sur 2 s’estime exposée aux menaces
- 75% des élus et agents indiquent dépenser moins de 2 000 € pour la cybersécurité
- 62% des élus et des agents affirment avoir recours à des équipements personnels dans un cadre professionnel
- 64% élus et agents plébiscitent la sensibilisation comme besoin prioritaire.
- D'après une étude sur 25 000 communes, fin 2023, 78% des communes ont été sensibilisées au moins une fois au cours des 12 derniers mois et pourtant:
Les statistiques du phishing
Les attaques par rançongiciels
- 94% des attaques par rançongiciel arrivent par mail
- Les rançongiciels, en France, sont la menace n°1 pour les entreprises. Celles-ci sont les structures les plus touchées (voir graphique).
- En 2022, la France était 5e au rang des pays les plus touchés par les rançongiciels
- En 2022, les attaques par ransomware ont augmenté de 255%
Les coûts
- 2 milliards d'euros : c'est le coût global des cyberattaques en France en 2022.
- 2,2 millions de dollars : coût des attaques moyennes par rançongiciels en 2021.