Le top 5 des erreurs à l’origine d’un piratage

J’ai récemment fait une sensibilisation à la sécurité informatique auprès de plusieurs chefs d’entreprise et j’ai remarqué que même si on connait à peu près les risques, on n’y accorde pas toujours l’importance qu’il faudrait.

La sécurité informatique est quelque chose à prendre au sérieux, ce n’est pas nouveau. Par contre, on se sent souvent moins concerné(e) que les autres. On se dit que si on ne fait « rien de spécial » sur Internet, on ne risque « rien de spécial ». De la même manière, si on a un site web avec « peu » de visiteurs, on risque « peu » de choses.

C’est faux sachant que :

Les pirates s’en prennent aux cibles faillibles sans même les connaître. Ils utilisent typiquement pour cela ce que l’on appelle des Dorks Google. Par exemple, en cherchant un message d’erreur typique sur Google, ils tomberont sur des sites potentiellement vulnérables.

Voici quelques éléments d’un sondage réalisé auprès d’un échantillion représentatif de la population française autour des idées reçues sur la sécurité informatique :

• 80% des personnes ont installé un antivirus sur leur pc
• 64% des personnes pensent que le risque est partout et qu’il faut se protéger
• 4% des personnes pensent que la sécurité sur Internet est largement suffisante

Source : Sondages OpinionWay Kaspersky et HTPCS

L’autre frein à l’apprentissage de la sécurité est le manque supposé de connaissances. Je cite un entrepreneur : « Après tout, chacun son job, il y a des spécialistes pour cela qui doivent travailler avec nous et nous aider à sécuriser nos systèmes ».

C’est faux sachant que :

La plupart des attaques réussies se basent sur ce que l’on appelle la faille humaine, et personne ne sera en permanence à côté de vous pour vérifier que vous n’avez pas cliqué par inadvertance sur un site/programme suspect avec votre PC ou smartphone personnel. Loin de moi l’idée de douter sur la capacité des personnes à reconnaître un programme malveillant, je veux appuyer sur le fait que des attaques existent alors que nous ne les soupçonnons même pas à l’heure actuelle.

Exemples :

Java drive by

Extensions de navigateur malveillantes

Chercher des failles dans notre comportement

Croyez-le ou non, la plus grosse faille (de façon générale) c’est nous-mêmes ! Je n’ai pas de chiffres précis, mais un énorme pourcentage des piratages est du à des choses comme les suivantes.

On imagine souvent que les piratages sont dûs à des prouesses de génie-geeks impossibles à comprendre pour le commun des mortels, alors qu’en fait une bonne partie de ces piratages sont effectués de façon anormalement aisée. Voici des exemples populaires :

1. Un oubli de fermer la session

Oublier de fermer sa session que ce soit celle du système d’exploitation ou d’un compte sur un ordinateur public, c’est comme laisser la porte de sa maison ouverte en partant.

Dans une moindre mesure on peut noter l’enregistrement du mot de passe dans le navigateur qui permet à n’importe qui pouvant accéder à l’ordinateur en question de voir tout ce qui s’y passe et d’effectuer des actions. Cette fois c’est comme laisser la clé sur la porte de sa maison en partant.

Vous noterez donc que le problème ici vient du fait de « partir », c’est-à-dire de laisser l’ordinateur en libre usage pendant votre absence (qu’il soit public ou non).

Comment corriger cela :

Dans un lieu public, ou de façon générale lorsque vous quitter un ordinateur qui pourra être utilisé par une autre personne après vous, fermez les sessions, déconnectez-vous.

2. Un même mot de passe partout

Quel est l’opposé de la sécurité informatique ? Réponse : La facilité d’utilisation.

En effet, plus c’est sécurisé, moins c’est facile à utiliser et plus c’est facile à utiliser moins c’est sécurisé.

Avoir un même mot de passe partout est très pratique, mais s’il est retrouvé c’est comme si on trouvait votre clé du cadenas du vélo qui permet d’ouvrir la porte de la maison et la porte de la voiture.

Comment corriger cela :

L’idée est de garder un maximum de sécurité tout en facilitant l’utilisation. Vous pouvez donc utiliser des mots de passe différents mais faciles à s’en souvenir en utilisant par exemple le nom du site en question dans le mot de passe. Les gestionnaires de mots de passe peuvent aussi aider.

3. Cliquer trop vite ou sans savoir sur un programme

Un peu comme pour certaines publicités vous promettant de gagner 3000€ par mois en travaillant 2 minutes par semaine, il y a certaines choses qui sont trop irréalistes pour être possibles. On citera notamment les programmes de piratage « en un clic » qui permettent en fait de pirater les personnes voulant pirater…

4. Ne pas être conscient(e) des risques

C’est le problème de façon générale : la sensibilisation et la méfiance sont les meilleures sécurité.

Comment corriger cela : s’initier au Hacking éthique. Les guides du site vous offriront toutes les bases nécessaires pour vous protéger.

5. Ne pas appliquer les principes de sécurité

À défaut d’être correctement sensibilisés il nous faut au moins appliquer les principes de sécurité de base, comme ceux que nous venons de voir.