Les entreprises de services professionnels sont victimes de cyberattaques à un rythme disproportionné. Constituant 14% de l’économie américaine, les entreprises de services professionnels sont victimes de 25% des attaques contre les petites entreprises aux États-Unis.
Franchement, il est logique que les attaquants ciblent ces entreprises.
Générant souvent des revenus substantiels avec un personnel réduit, les petites et moyennes entreprises de services professionnels comptent souvent sur les membres d’équipe interne pour gérer l’informatique ou externalisent des problèmes spécifiques à des fournisseurs de services gérés (MSP). Malgré des opérations sophistiquées, ces entreprises n’exécutent pas de solutions de sécurité de sophistication égale.
En fait, la sécurité est souvent une arrière-pensée.
Entreprises de services professionnels: Acteurs clés dans l’économie de petites entreprises
Les recherches produites par Coveware indiquent que 70% des incidents liés aux rançongiciels touchent les entreprises de moins de 1,000 employés. Soixante pour cent de ces entreprises déclarent des revenus inférieurs à 50 millions de dollars.
Le fait que 25% des petites entreprises touchées par les attaques de rançongiciels se trouvent dans le secteur des services professionnels est remarquable.
Pourquoi attaquer les entreprises de services professionnels?
L’ère des attaques aléatoires est passée depuis longtemps. Les cyberattaquants sont mesurés dans la sélection de leurs cibles. Dans le cas des entreprises de services professionnels, il y a un certain nombre de facteurs à considérer.
Tout d’abord, il y a la question de mobilité. Les entreprises de services professionnels sont payées pour fournir des conseils en temps opportun. Beaucoup opèrent souvent sur le site du client. Pensez au comptable effectuant un audit sur site ou au consultant en gestion évaluant la capacité de la chaîne d’approvisionnement dans une usine de fabrication. Ces entreprises s’appuient sur des individus opérant à distance pour exécuter les processus opérationnels de base. Dans de nombreux cas, l’accent informatique est mis sur l’accès aux ressources. Si l’employer à distance ne parvient pas à accéder aux ressources du réseau d’entreprise, ils peuvent aussi être incapables de remplir leurs fonctions. Au lieu de travailler, ils passaient des heures à dépanner avec une ressource informatique. Ainsi, certaines entreprises ont choisi de supprimer ou de contourner les contrôles de sécurité. Dans de nombreux cas, les entreprises peuvent même ne pas être au courant des contrôles de sécurité. Ce n’est tout simplement pas l’objectif de l’entreprise. Quoi qu’il en soit, l’accent mis sur la mobilité et la facilité d’accès rend les entreprises de services professionnels vulnérables aux cyberattaques.
Deuxièmement, il y a la question de la continuité des activités et de la planification de la reprise après incident. Dans les entreprises de services professionnels plus petites, l’accent est mis sur la productivité. Beaucoup d’entreprises ne croient pas avoir le temps ou les ressources pour planifier en cas d’une catastrophe. Les sauvegardes peuvent être effectuées sur une base individuelle, mais en tant qu’organisation, il est possible qu’aucune stratégie de sauvegarde n’existe à l’échelle de l’entreprise. Lorsque cette approche exceptionnelle est prise dans une entreprise, des ordinateurs ou des appareils individuels peuvent être laissés exposés. En cas d’effacement, il n’y a pas de copie de sauvegarde ou option de récupération disponible. Les cyberattaquants savent que les petites et moyennes entreprises se concentrent sur la productivité et cherchent pour des opportunités à exploiter les vulnérabilités. Lorsque les ressources informatiques d’une entreprise sont effacées et n’ont pas d’option de récupération, c’est l’entreprise qui en paie le prix. Entre les amendes pour exposition des données des utilisateurs et le coût de la récupération, cela signifie souvent que l’entreprise cesse ses opérations.
Troisièmement, il y a le concept de risque perçu. Tout ça est question de mentalité. Une entreprise de services professionnels, comme d’autres petites entreprises, peut ne pas se considérer comme la cible d’une cyberattaque. Après tout, les médias se concentrent sur les attaques dans les grandes institutions – comme le gouvernement canadien ou SolarWinds. Cela peut bercer les petites et moyennes entreprises dans un faux sentiment de sécurité et les retarder dans la planification ou la mise en place de mesures pour protéger leurs opérations informatiques. Il s’agit d’un oubli assez important à une époque où le FBI signale plus de 4,000 cyberattaques par jour. Comme le démontrent des tonnes de données, les petites et moyennes entreprises sont également la cible d’attaques de nos jours.
Ne vous méprenez pas: chaque appareil (ordinateur, appareil mobile, serveur, application) reposant sur l’internet pour la connectivité présente une opportunité d’attaque. Surtout lorsque les appareils ne sont pas mises à jour et que les vulnérabilités sont faciles à détecter.
En quoi les brèches sont-elles différentes en 2021?
Récupéré d’une cyberattaque est complexe et prend du temps. Le processus peut être si taxant que 60% des petites entreprises ne récupèrent pas d’une cyberattaque et sont obligées de fermer leurs portes.
C’est parce que les attaques de rançongiciels présentent non seulement un risque pour l’entreprise attaquée, mais également pour les partenaires et clients de l’entreprise. Une fois que les données d’une entreprise ont été violées, elles peuvent être utilisées pour créer des campagnes de harponnage, des escroqueries par courriel professionnel et d’autres types d’activités frauduleuses. Dès que la violation se produit, les données volées sont disponibles pour vente.
Études de cas: Entreprises de services professionnels impacté par des cyberattaques
Étude de cas: Conseil comptable, fiscal et commercia
En avril 2020, un cabinet de conseil en comptabilité, fiscalité et d’affaire a été victime d’une attaque de rançongiciel paralysante.
Alors que les postes de travail de l’entreprise étaient verrouillées, un ensemble de données hautement sensibles ont été détournés. Cela comprenait des formulaires de dépenses de l’un des partenaires de l’entreprise, des informations d’identification bancaires personnelles et institutionnelles (y compris des réponses aux questions de sécurité), une feuille de travail sur les produits et services appartenant à un client et des centaines de dossiers copiés à partir des ordinateurs de l’entreprise.
Les attaquants ont rapidement mis les données aux enchères sur un site connu pour être géré par le groupe de menace REvil/Sodinokibi dans le but de leurs faire pression pour qu’ils paient une rançon. Les rapports indiquent qu’il a fallu quelques jours pour remettre les systèmes en marche; le personnel n’a pas pu travailler durant cette période.
Étude de cas: Immobilier commercial
Colliers International a subi une cyberattaque en novembre 2020 aux mains du groupe de menaces Netfilim.
Bien que Colliers ne soit définitivement pas à l’échelle “petite et moyenne” (l’entreprise employait environ 15,000 personnes en 2019), cette entreprise de services professionnels a fait face aux mêmes défis que toute autre organisation après une cyberattaque. Selon une liste sur le site web de Netfilim, plusieurs fichiers liés à la brèche Colliers ont été mis en vente. Malgré cette liste publique, la société ne souhaitait pas divulguer quels fichiers avaient été copiés et quelles parties avaient été compromises.
Colliers a mené une enquête approfondie pour identifier la source et le résultat de la violation et pour identifier les données concernées. L’entreprise a redémarré rapidement grâce à une équipe informatique rapide et à un plan de continuité des activités solide.
Avec la compagnie offrant une variété de services de gestion immobilière, on ne peut que spéculer sur l’état des milliers d’appareils fonctionnant sur leurs réseaux – et les opportunités qu’elles offrent aux attaquants potentiels.
Étude de cas: Architecture
Au cours de l’année 2020, les firmes d’architectes ont connu 2 à 3 fois le nombre habituel d’attaques de rançongiciel et de tentatives de brèches. Ces entreprises ont vu une hausse significative dans les tentatives d’attaques d’hameçonnage. Les tentatives d’établir des relations avec les employés dans une quête d’informations personnelles présentent un risque unique dans les cabinets d’architecture.
L’attaque hypothétique pourrait accéder à des données de clients sensibles, notamment sur des projets industriels. Cela pourrait s’étendre du schéma d’un nouveau bâtiment, aux plans de ventilation et la sécurité physique. L’accès à ces plans pourrait mettre en danger des vies humaines – non seulement exposer l’entreprise à une attaque.
C’est pourquoi de nombreux cabinets d’architecture priorisent l’utilisation de plates-formes infonuagiques sécurisées, une sécurité de réseau fréquemment mise à jour et l’intégration de défenses d’apprentissage automatique à leurs piles technologiques.
Guide de cybersécurité pour les entreprises de services professionnels
Il est certain que les cyberattaques impactent les entreprises de services professionnels à un rythme disproportionné.
Pour la plupart, ces entreprises sont des cibles faciles pour les cybercriminels à cause de leur approche laxiste envers la cybersécurité. En moins de 12 heures, les attaquants peuvent extraire suffisamment de données pour financer l’ensemble de leurs opérations.
Il y a, cependant, des mesures à prendre:
- Gardez vos applications et appareils mis à jour
- Assurez-vous que tous les appareils sont équipés d’un logiciel antivirus
- Investissez dans un VPN et pare-feu d’entreprise
- Fiez-vous à l’authentification multifactorielle pour l’accès au réseau
- Soutenez la sensibilisation du personnel à la cybersécurité et aux attaques récentes
- L’hameçonnage est la méthode la plus commune utilisée par les pirates pour s’infiltrer dans un réseau
- Approvisionnez une solution de détection et de réponse aux points de terminaison qui s’appuie sur des analystes experts en cybersécurité
Besoin de support?
Est-ce que votre entreprise de services professionnels à besoin de soutien dans la planification de vos tactiques de cybersécurité? Contactez-nous! Nous offrons une preuve de valeur gratuite de 30 jours.
