Comment protéger votre PME des attaques de phishing – Bien choisir son serveur d impression

Oubliez les virus – l'hameçonnage est la principale menace à la sécurité que vous devez rechercher en tant que propriétaire de petite entreprise. Souvent, cela ne nécessite aucun accès à des outils technologiques spécialisés, cela peut être fait par toute personne ayant une attitude persuasive, et cela peut fonctionner pour à peu près n'importe quelle organisation. L'appel pour les attaquants est clair, mais que devrait faire le propriétaire d'une entreprise moyenne pour se protéger contre ce genre de chose?

Qu'est-ce que le phishing?

En termes simples, le phishing consiste à inciter un utilisateur à présenter ses informations d'identification ou à installer un logiciel malveillant. Cela se fait souvent en masquant l'attaque comme autre chose. Un exemple classique est un e-mail urgent de votre banque, vous alertant d'une violation de votre compte. Vous devez suivre un lien pour vérifier immédiatement vos informations d'identification, sinon vous risquez de bloquer votre compte.

Ce genre d'urgence peut faire trébucher beaucoup de gens et, avant même de s'en rendre compte, ils entrent leur mot de passe sur un site Web appartenant à un attaquant. Parfois, vous ne réaliserez peut-être même pas que quelque chose s'est passé, car l'attaquant vous redirigera ensuite vers le site Web de votre banque (ou tout ce que vous étiez censé visiter).

Une formation constante est un must.

Même si vous êtes conscient des dangers du phishing, vos employés sont une autre histoire. Vous devez vous assurer que tout le monde est sur la même page et que les gens respectent les consignes de sécurité appropriées jusqu'à la dernière lettre. Soyez sévère si vous devez – avoir des conséquences pour ceux qui ne respectent pas les règles et récompenser ceux qui le font pour prévenir les attaques de phishing.

En fin de compte, ce n'est pas vous, en tant que propriétaire de l'entreprise, qui êtes le plus susceptible d'être ciblé par une attaque de phishing. Au lieu de cela, il s'agit généralement d'un employé de niveau inférieur qui n'est pas aussi impliqué dans l'entreprise que ses collègues, mais qui a encore un accès suffisant pour causer beaucoup de dommages.

Mettez à jour votre logiciel.

Certaines attaques de phishing reposent sur des logiciels obsolètes qui sont ensuite exploités par les systèmes de l'attaquant. Empêcher cela est aussi simple que de s'assurer que tout ce qui est utilisé dans votre organisation est toujours à jour. Je ne parle pas non plus des choses évidentes, comme Windows lui-même, votre antivirus et votre pare-feu. Vous devez installer des mises à jour pour absolument tout ce que vous utilisez, car tout cela peut constituer un trou de sécurité potentiel.

Même quelque chose d'innocent, comme un lecteur de PDF, même un visualiseur d'images, peut être transformé en une arme s'il possède le type de "bonne" faille dans son code. La prochaine fois que vous recevrez une notification concernant une mise à jour Java ou quelque chose de similaire, ne la reportez pas et ne permettez pas à vos employés de le faire.

Implémentez de bonnes stratégies de mot de passe.

Un élément commun aux attaques de phishing est qu’après une attaque réussie, l’attaquant va essayer d’utiliser les informations d’identité capturées dans autant d’endroits que possible. Si vos employés continuent à réutiliser les mêmes mots de passe partout, il s'agit d'un problème évident: il donne à un attaquant un accès à beaucoup plus que ce à quoi il s'était introduit à l'origine.

Si une violation se produit, vous devez vous assurer que c'est aussi isolé que possible. À cette fin, appliquez des stratégies de mot de passe fortes et développez un système empêchant quiconque de les contourner. Certes, il sera ennuyeux pour vos employés de devoir changer leur mot de passe en un mot de passe tout à fait unique tous les 90 jours environ, mais à long terme, cela évitera de nombreux problèmes potentiels dans votre entreprise.

Isolez les composants critiques de l'infrastructure de votre entreprise.

Sur une note connexe, essayez d’isoler autant que possible les composants critiques de votre infrastructure. Par exemple, si vous utilisez une solution de sauvegarde centralisée, tout le monde n’a pas besoin d’avoir un accès direct au serveur de sauvegarde. Certains systèmes peuvent également être complètement déconnectés, à l'exception de quelques connexions critiques vers l'infrastructure centrale. Tout le monde n’a pas besoin d’avoir accès à la base de données qui stocke les données client, par exemple.

Il faudra un certain temps pour trier votre réseau de cette manière et cela pourrait ralentir certaines opérations car elles nécessiteraient une ou deux étapes supplémentaires. Mais si quelqu'un entre dans votre réseau, il se trouvera assez limité dans ce qu'il peut faire à partir de là.

Implémenter une solution de protection réseau centralisée.

Même si vous avez bien formé vos employés, il arrive parfois que quelqu'un clique sur le mauvais lien. C'est une bonne idée d'exécuter une sorte de solution de filtrage centralisée qui empêche toute aggravation de ces problèmes. Un pare-feu central via lequel tout le monde se connecte peut facilement filtrer les sites potentiellement malveillants et empêcher les employés de les accéder. Vous pouvez même être alerté lorsqu'un incident de ce type s'est produit afin de pouvoir l'évaluer à un niveau plus détaillé.

Bien entendu, vos employés doivent toujours conserver leur sens de la vie privée. Mais ce n’est pas une mauvaise idée d’avoir un œil supplémentaire pour vérifier les liens qu’ils souhaitent visiter.

Effectuer des exercices d'entraînement.

Les grandes organisations le font souvent, et cela ne fait pas de mal d'essayer aussi dans votre propre entreprise, même si vos ressources sont plus limitées. Il ne faut pas grand-chose d’implémenter un exercice d’entraînement contre les attaques de phishing et il peut vous fournir des statistiques détaillées sur les performances de vos employés. Vous pouvez identifier les personnes qui semblent avoir du mal à s’adapter aux nouvelles exigences en plus de déterminer si certains types de menaces ont plus de chances de réussir que d’autres. Cela peut être une information extrêmement précieuse pour rendre votre réseau plus sûr à long terme.

Plus important encore, vous devez être proactif. La protection anti-hameçonnage n'est pas une chose à laisser jusqu'au dernier moment. Une brèche ne doit se produire qu’une seule fois pour gâcher considérablement les choses pour vous, et à partir de ce moment-là, il vous sera très difficile de vous rétablir. Tant que vous portez votre attention sur les facteurs importants et que vous savez comment vous en occuper, vous devriez être en mesure de mettre en place un système sûr qui empêche la plupart des attaques violentes de traverser et de causer un préjudice réel à votre entreprise.

Les attaques de phishing peuvent arriver à n'importe qui.

Ne commettez pas l'erreur de supposer qu'une attaque de phishing ne peut jamais vous arriver. Les attaques de phishing sont plus fréquentes que jamais ces temps-ci et elles continuent de frapper régulièrement diverses entreprises. Parfois, ils ne sont même pas ciblés sur les entreprises – un exemple récent a été une attaque de phishing visant à cibler des militants dans divers domaines. L'attaque a permis d'extraire divers détails personnels de leurs victimes, notamment des mots de passe, des données de localisation et le travail auquel elles ont été impliquées.

Comme vous l'avez probablement deviné, cela peut être très préjudiciable pour une personne impliquée dans de telles activités, et les implications de la situation suscitent déjà de vives inquiétudes. Que reste-t-il pour les petites entreprises alors? Si quelqu'un est prêt à cibler des personnes sans même le faire à des fins lucratives, les conséquences pour quelqu'un qui cible votre entreprise sont définitivement effrayantes.

Des professionnels utilisant LinkedIn auraient également récemment été la cible d'attaques de phishing. Cela semblait viser particulièrement les propriétaires d’entreprise, plutôt que les employés d’entreprises spécifiques. Comme vous pouvez le constater, les attaques de phishing peuvent facilement prendre plusieurs angles et il est difficile de prédire exactement où vous allez être touché. Dans certains cas, même un message rédigé de manière professionnelle sur une plate-forme de médias sociaux peut avoir de graves conséquences, et il est important de porter une attention particulière aux petits caractères si vous souhaitez éviter les brûlures.

Les organisations gouvernementales sont également souvent visées, en particulier les plus petites. Des responsables du comté de Collier ont récemment rapporté que des fraudeurs avaient réussi à extraire près de 200 000 dollars lors d'une attaque de phishing visant directement le comté. En dépit du fait que le gouvernement prend des mesures actives pour se protéger contre de telles attaques, les cyberattaques parviennent toujours à percer à l'occasion.

C’est exactement ce qui se passe pour une petite entreprise moyenne également et pourquoi il est si important de faire attention aux tendances actuelles en matière d’attaques par hameçonnage et autres escroqueries similaires. Le marché évolue constamment et, parfois, les nouveaux développements sur le plan technologique peuvent être effrayants. Protéger votre entreprise contre les attaques par hameçonnage est un effort permanent et vous ne pouvez pas le faire une seule fois et l'appeler un jour.

Pourquoi les petites entreprises sont-elles plus attrayantes pour les pirates?

Les ressources limitées sont une réponse évidente à cette question, mais il existe de nombreuses autres raisons. Avec une petite entreprise, on peut généralement s’attendre à ce que les employés soient moins expérimentés et moins défensifs. Il est également raisonnable de s'attendre à ce qu'ils soient un peu moins motivés pour défendre les secrets de l'entreprise. Tous ces facteurs combinés peuvent en effet constituer une cible très attrayante pour votre petite entreprise. Il ne devrait pas être surprenant que de nombreuses attaques de phishing majeures tentent d'exploiter les vulnérabilités des petites entreprises.

Et cela va probablement s'aggraver à l'avenir. Il devient de plus en plus facile de démarrer une petite entreprise avec des ressources minimales, et de nombreux entrepreneurs en ont profité. Et avec cela, de nombreux pirates informatiques ont également essayé d’exploiter la situation.

Tout cela signifie une chose pour le propriétaire de petite entreprise choisi au hasard: la protection proactive est plus importante que jamais. Vous devez prendre des mesures actives pour empêcher ces attaques de passer, car il suffit d'une fois pour que les choses se détériorent vraiment. Après cela, vous accorderez probablement plus d’attention à votre sécurité, mais il sera beaucoup trop tard pour faire quelque chose pour sauver votre entreprise.