Les idées reçues courantes sur la sensibilisation à la cybersécurité

À l’approche du Mois de la sensibilisation à la cybersécurité, nous devons nous préparer à une vague de mythes et d’idées reçues courants sur la sécurité, souvent relayés avec de bonnes intentions, mais aux effets néfastes. Ces sujets pouvant susciter la controverse même parmi les professionnels chevronnés, nous adopterons une approche fondée sur les données et nous adresserons au plus large éventail d’entreprises.

Cette portée étendue est souvent source de désaccords. Chaque entreprise doit mener sa propre réflexion sur les risques et les pertes acceptables, les modèles de menace applicables et les acteurs malveillants probables, ainsi que sur les particularités de son environnement. Le dénominateur commun doit toutefois être les données, l’expertise et l’objectivité, et non les connaissances propres à un groupe, l’imitation sans compréhension, ni les biais de confirmation et du survivant.

Nous allons nous attaquer aux « trois grands » : cliquer sur des liens dans des e-mails, utiliser les réseaux Wi-Fi publics et le « juice jacking », autrement dit les dangers liés aux bornes de recharge USB gratuites pour téléphones.

N° 1 : cliquer sur des liens dans les e-mails

À retenir : apprenez à reconnaître les signes évidents d’hameçonnage et d’escroquerie, mais les conseils irréalistes comme « ne cliquez pas sur les liens » sont au mieux inutiles, au pire nuisibles.

La sensibilisation à une « utilisation sûre » est un outil puissant qui aide les employés à mieux utiliser les technologies tout en répondant aux problèmes courants. Cependant, après des années à demander aux utilisateurs de modifier des comportements fondamentaux, par exemple en leur disant de « ne pas cliquer sur les liens », cette approche ne semble pas fonctionner. Le Rapport 2023 sur les enquêtes relatives aux violations de données de Verizon indique que 74 % de l’ensemble des violations impliquent le facteur humain (et pas seulement les e-mails), tandis que l’Étude 2022 sur les risques liés à l’information du Cyentia Institute classe l’hameçonnage parmi les trois principales techniques d’accès initial dans 18 secteurs sur 20 (et au 4e rang dans les secteurs de l’information et des autres services).

Les accidents arrivent, et même un employé bien intentionné et formé finira par cliquer sur un lien malveillant tôt ou tard. C’est notamment pour cette raison que les programmes de sécurité continuent d’investir dans la protection des e-mails et des appareils après des années passées à inciter les utilisateurs à utiliser leur messagerie autrement. Plus préoccupant encore, le temps précieux consacré à ce sujet lors des formations de sensibilisation à la sécurité s’avère contre-productif, car son manque de pertinence pratique fait perdre l’attention du public.

Les entreprises doivent être suffisamment résilientes pour ne pas être mises en péril par un employé qui clique sur un lien. Les employés peuvent apporter leur aide, notamment en signalant les faits observés (« si vous voyez quelque chose, dites-le »), mais il incombe aux équipes de sécurité d’atténuer ce risque.

N° 2 : utilisation des réseaux Wi-Fi publics

À retenir : les réseaux Wi-Fi publics peuvent être utilisés en toute sécurité, même dans un contexte professionnel.

L’idée selon laquelle les réseaux Wi-Fi publics seraient moins fiables ou plus dangereux que les réseaux domestiques ou professionnels persiste. Pourtant, aucun cas d’exploitation massive des réseaux Wi-Fi publics n’a été signalé, y compris entre 2020 et 2022, malgré l’essor du télétravail. La Federal Trade Commission (FTC) avait déconseillé l’utilisation des réseaux Wi-Fi publics en 2011, mais a actualisé ses recommandations en 2023 afin de tenir compte des évolutions techniques qui permettent désormais de les utiliser en toute sécurité.

En revanche, les vols d’ordinateurs portables et d’appareils, tels que les vols d’opportunité dans les lieux publics, constituent un risque plus probable, qui peut être atténué en investissant dans le chiffrement du stockage, la gestion des appareils mobiles (MDM) et des politiques de verrouillage. À titre d’exemple, on peut citer la liste archivée des violations signalées concernant des informations de santé protégées non sécurisées et touchant au moins 500 personnes publiée par l’Office for Civil Rights (OCR) du Department of Health and Human Services, qui recense depuis 2009 plus de 4 600 cas de vol ou de perte d’un ordinateur portable ou d’un autre appareil électronique mobile, ayant touché plus de 345 millions de personnes.

Pendant ce temps, le trafic sur le réseau local poursuit sa tendance au renforcement de la sécurité :

• Le rapport de transparence de Google « Chiffrement HTTPS sur le Web » indique que plus de 90 % du trafic de Google est chiffré et que les systèmes d’exploitation tels que Windows et Mac ont largement adopté le chiffrement du trafic.
• Les statistiques de Let's Encrypt sur le pourcentage de pages web chargées par Firefox via HTTPS issues de la télémétrie de Firefox de Mozilla montrent qu’environ 80 % du trafic des utilisateurs dans le monde est chiffré, contre environ 90 % du trafic des utilisateurs aux États-Unis et au Japon.
• Le rapport de transparence « Chiffrement des e-mails en transit » de Google indique que plus de 90 % des e-mails envoyés depuis et vers Google (Gmail) sont chiffrés.
• L’adoption des fonctionnalités de sécurité DNS reste difficile, mais cette difficulté est quelque peu atténuée par la prise en charge d’un chiffrement robuste du trafic des applications et par l’utilisation généralisée des VPN et de solutions équivalentes pour le trafic géré par les entreprises. L’adoption de DNSSEC reste faible (environ 5 % des domaines .com sont sécurisés, selon le tableau de bord DNSSEC de Verisign) mais a décollé en 2020 et poursuit depuis sa progression. De même, le DNS sur HTTPS (DoH) est pris en charge par les systèmes d’exploitation et les navigateurs.

À moins que l’appareil n’héberge des services accessibles depuis le réseau — ce qui devrait être extrêmement rare pour les appareils des utilisateurs —, le Wi-Fi public ne présente pratiquement aucun risque spécifique par rapport à tout autre réseau Wi-Fi. Pour les adeptes d’une approche Zero Trust, le Wi-Fi public illustre parfaitement le principe selon lequel il ne faut jamais faire confiance au réseau, qu’il soit public ou privé.

N° 3 : le « juice jacking » ou les dangers des bornes de recharge USB gratuites pour les téléphones

À retenir : cette attaque a été démontrée sur différents modèles de téléphones, mais aucune donnée confirmée n’indique qu’elle soit réellement utilisée. De plus, les mesures de protection à prendre par l’utilisateur sont peu coûteuses ; en cas de besoin, il est donc généralement sans danger d’utiliser un chargeur USB gratuit.

Même s’il peut parfois être préférable d’éviter les bornes de recharge USB, par exemple si vous devez laisser votre téléphone sans surveillance au risque qu’il soit volé, ou lors d’une conférence sur la sécurité où les « démonstrations » de ce type d’attaque sont plus probables, aucune donnée confirmée ne justifie l’ampleur médiatique accordée au « juice jacking ».

• La Commission fédérale des communications (FCC) indique n’avoir connaissance d’aucun cas confirmé de ce type d’attaque.
• Snopes a vérifié les avertissements concernant le « juice jacking » émis par le bureau du procureur du comté de Los Angeles en 2019, puis par la FCC et le Federal Bureau of Investigation (FBI) en 2023, et n’a trouvé aucune preuve d’une utilisation généralisée. Cette vérification a été citée par KrebsOnSecurity dans son article sur les avertissements émis en 2023 par la FCC et le FBI.

Pour ceux que ce risque préoccupe, les mesures d’atténuation sont peu coûteuses, tant pour l’employeur que pour le salarié :

1. Utilisez des adaptateurs de recharge USB à brancher sur une prise électrique et de petites batteries externes, devenus des accessoires couramment emportés en cabine, notamment par les voyageurs d’affaires.
   
2. Sélectionnez « Charge uniquement » si, lors du branchement en USB, le téléphone vous demande si vous souhaitez « partager des données », « faire confiance à cet ordinateur » ou vous propose une option similaire.
   
3. Si le niveau de risque d’un utilisateur est jugé nettement plus élevé, envisagez d’investir dans des chargeurs et des câbles spéciaux qui bloquent ou ne transmettent pas les données.

Le principal risque lié aux bornes de recharge USB gratuites est de laisser l’appareil sans surveillance et de se le faire voler. Là encore, les investissements de l’entreprise dans la gestion des appareils et l’application des règles d’hygiène numérique constituent généralement des mesures d’atténuation raisonnables.

Pourquoi est-il mauvais de sensibiliser davantage à ces sujets ? Une plus grande sensibilisation n’est-elle pas toujours bénéfique ?

La sécurité suscite généralement peu, voire pas du tout, d’intérêt positif de la part des collègues, et les formations obligatoires imposées par l’entreprise ne soulèvent guère l’enthousiasme. Ces rares moments d’attention et ces premières impressions comptent parmi les ressources les plus précieuses dont disposent les équipes de sécurité.

Dans le meilleur des cas, tout temps consacré à du contenu qui n’est pas essentiel, pertinent, exact ou réaliste est du temps perdu. Dans le pire des cas, les équipes de sécurité perdent l’attention de leur public et ne seront plus écoutées la fois suivante, quelle que soit l’importance de leur message.

La question de fond est de savoir pourquoi de tels mythes et idées reçues perdurent. Une partie du problème tient à la nature humaine, comme indiqué au début de l’article.

L’autre partie du problème est structurelle, lorsque de telles idées reçues sont inscrites dans des référentiels de conformité et des accords commerciaux. Ces prescriptions résistent rarement à l’épreuve du temps, surtout lorsqu’elles sont formulées de manière très précise sans être actualisées au rythme des évolutions technologiques. Les programmes de sécurité se retrouvent alors à mettre en œuvre des exigences obsolètes ou fondées sur des mythes, que leurs équipes assimilent puis emportent chez leur employeur suivant. Ces connaissances contaminées sont pires qu’un logiciel malveillant.