Les Bourdes de Sécurité que Vous Avez Peut-être Manquées cette Année

Les risques liés aux erreurs

Le mois dernier, le système de paiement des comptes SAP du gouvernement français, Chorus, s’est retrouvé hors-service pendant quatre jours et a subi une perte irrémédiable de données AP. Selon l’Agence pour l'informatique financière de l'État, la panne n'était pas le travail de cybercriminels, mais plutôt le résultat d'une erreur d'un utilisateur.

Un sous-traitant travaillant pour Bull, la société qui héberge Chorus, a accidentellement déclenché le système d'extinction d'incendie dans la salle des serveurs du data center de Bull. Le résultat ? Des dommages immédiats aux principaux composants d'une baie de stockage contenant les données de Chorus, qui n’ont pas pu être récupérées même si les disques étaient configurés avec un niveau RAID 6.

Le Risque de Négligence

Parfois, les cybercriminels profitent du laxisme des politiques IT. A la Family Medicine Clinic de l’Université de Pocatello dans l’Etat de l’Idaho, les protections du serveur pare-feu ont été désactivées pendant au moins 10 mois, ce qui a entraîné la violation de dossiers médicaux protégés de 17500 patients. Le manquement de l'université a également abouti à une amende de 400000 dollars payable au Département de la Santé et des Services sociaux Américain (HHS) pour violation des règles de sécurité HIPAA.

Qu'est-il arrivé dans cette clinique ? Concrètement, l’université a fait preuve de paresse. Pour se conformer aux règles de sécurité et de confidentialité HIPAA, il est nécessaire de fournir des technologies de sécurité pour les informations de santé à Pocatello. Mais depuis plus de trois ans, le HHS a constaté que les analyses et les évaluations de risques de l'université étaient incomplètes et que les menaces potentielles et les vulnérabilités étaient mal identifiées.

Motivation : L’Argent

A New York, les procureurs fédéraux ont inculpé un réseau mondial de cyber voleurs pour avoir volé 45 millions de dollars auprès des banques à travers le monde. Ce réseau est accusé d'avoir utilisé des cartes de débit prépayées MasterCard, piraté les systèmes bancaire afin d'augmenter considérablement la quantité disponible sur les cartes et ensuite retirer l'argent dans les banques partout dans le monde.

Alors que certains cybercriminels vont directement vers l'argent, d'autres prennent des chemins détournés. Lorsque le compte Twitter de Associated Press (AP) a été piraté et qu’un faux tweet signalant deux explosions à la Maison Blanche et le que président Obama était blessé, le Dow Jones a chuté de 143 points en quelques secondes. Ce « krach éclair » représente une perte d'environ 200 milliards de dollars. Le marché s’est remis de cette perte en quelques minutes, mais quelqu'un au courant à l’avance du hack aurait pu profiter de cette manipulation du marché en achetant des actions à un prix très bas.

Motivation : Mettre la Pagaille et se Venger

Evidemment, tous les hackers ne sont pas motivés par l’argent. Quatre britanniques affiliés au groupe de pirates informatiques LulzSec ont écopé de peines de prison allant jusqu'à 32 mois pour leur rôle dans les cyber-attaques visant à perturber les opérations informatiques de sites Web gouvernementaux et d’entreprises, dont la CIA, le FBI, News Corp., Nintendo, Sony et d'autres encore. Leur motivation ? S’amuser et faire des bêtises.

Pendant ce temps, un employé mécontent à New York a piraté et endommagé le réseau de son ancien employeur, causant environ 90000 dollars de pertes. Pourquoi ? Parce qu'il n’a pas eu la promotion qu’il attendait.

Une menace trop importante pour être ignorée

Enfin, vous deviez vivre sur Mars si vous avez manqué cette dernière histoire, mais cette compilation des bourdes de sécurité de l'année 2013 ne serait pas complète sans Edward Snowden. Quand il a tiré la sonnette d'alarme à propos de la National Security Agency (NSA) et son espionnage/surveillance domestique, les retombées de cette affaire retiennent toujours l'attention internationale.

Pour résumer : Il s'avère que beaucoup d'informations que nous pensions privées, pour peu qu’elles soient sécurisées, sont scrutées par la NSA. Cela comprend des enregistrements téléphoniques des clients de Verizon aux États-Unis (et peut-être les clients des autres compagnies de téléphone) ainsi que les téléchargements d'applications, les e-mails, les sessions de chat, les vidéos et les appels VoIP et d'autres données utilisateur sur des sites tels que Apple, Facebook, Google, Skype et autres.

Que ce soit considéré comme une menace pour les libertés civiles des citoyens américains, pour la sécurité nationale ou les deux à la fois, cette histoire nous oblige à repenser à la sécurité de nos infos privées, à nos propres actions électroniques et quelles mesures, le cas échéant, nous pouvons prendre pour rétablir cette sécurité.

Bien sûr, ceci n’est qu’une sélection des histoires les plus intéressantes en matière de sécurité au cours du premier semestre 2013. De plus, la controverse Edward Snowden promet de livrer beaucoup plus de révélations médiatisées, et malheureusement, beaucoup d'équipes de sécurité auront du pain sur la planche au cours des six prochains mois.

ManageEngine peut vous aider à protéger votre réseau contre les cyber-menaces en tout genre grâce à des solutions comme Password Manager Pro, Firewall Analyzer ou encore EventLog Analyzer.