1 © 2016 Proofpoint, Inc. Le facteur humain 2016 Points clés Charles Rami SE Manager South EMEA

2 © 2016 Proofpoint, Inc. Le facteur humain 2016 L’utilisateur, un élément stratégique  En 2015, l’ingénierie sociale se place au premier rang des techniques d’attaque.  Pour contourner les solutions de sécurité, les cybercriminels exploitent non plus les failles techniques, mais les faiblesses humaines.  Ils usent des techniques d’ingénierie sociale pour amener l’utilisateur à :  Exécuter du code dangereux Macros malveillantes, boutiques de type DarkSideLoader  Communiquer des identifiants Phishing d’identifiants, faux compte d’assistance sur les réseaux sociaux  Transférer des fonds Courriers de phishing utilisant des adresses électroniques professionnelles usurpées

3 © 2016 Proofpoint, Inc. Les différents composants d’une attaque avancée basée sur URL Botnet Phish

4 © 2016 Proofpoint, Inc. Le choix du hacker: URL ou Attachement? “La plupart des utilisateurs font attention aux documents en pièces jointes, en revanche ils sont moins attentifs quand il s’agit de cliquer sur une URL. 18% des utilisateurs cliquent sur un lien contenu dans un phish. Les utilisateurs ne sont pas sensibilisés aux techniques d’attaque de type “drive-by malware” et pensent qu’une simple visite d’un site ne représente pas de danger.” Source: Verizon 2014 Data Breach Investigations Report Attachement malicieux Echappe facilement à l’antivirus Limite l’exposition « Payload » flexible Peut être très ciblé URL malicieuse Evolutif Volume important Echappe aux antispam Très efficace Peut agir en 2 temps

5 © 2016 Proofpoint, Inc. Le facteur humain 2016 L’utilisateur, un élément stratégique  Les hackeurs utilisent les réseaux sociaux comme LinkedIn pour trouver leurs cibles.

6 © 2016 Proofpoint, Inc. Le facteur humain 2016 Exécution de code pour le compte de l’attaquant Les attaquants délaissent l’exploitation automatisée des failles techniques, au profit de l’exploitation des individus 99,7 % des documents joints aux courriers malveillants tirent parti de l’ingénierie sociale et des macros

7 © 2016 Proofpoint, Inc. Les campagnes impliquant le cheval de Troie bancaire Dridex sont celles qui ont le plus exploité le facteur humain Le facteur humain 2016 Exécution de code pour le compte de l’attaquant Le volume de messages incluant Dridex est près de 10 fois supérieur à celui de la seconde charge utile la plus utilisée dans les documents joints

8 © 2016 Proofpoint, Inc. Principaux logiciels malveillants (par type et par nom) 74 % des charges utiles diffusées par le biais de pièces jointes sont des chevaux de Troie bancaires 74 % des charges utiles diffusées par le biais de pièces jointes sont des chevaux de Troie bancaires

9 © 2016 Proofpoint, Inc. Campagnes impliquant des documents malveillants : principaux leurres

10 © 2016 Proofpoint, Inc. Le facteur humain 2016 Exécution de code pour le compte de l’attaquant Documents malveillants joints le matin, spams sur les réseaux sociaux à midi

11 © 2016 Proofpoint, Inc. Le facteur humain 2016 Transmission d’identifiants à l’attaquant Les liens redirigeant vers des pages de phishing d’identifiants sont trois fois plus fréquents que ceux menant vers des pages hébergeant du contenu malveillant 74 % des URL utilisées dans les courriers malveillants permettent le vol d’identifiants, plutôt que le téléchargement de logiciels dangereux

12 © 2016 Proofpoint, Inc. Le facteur humain 2016 Transmission d’identifiants à l’attaquant Les comptes servant au partage de fichiers et d’images (Google Drive, Adobe, Dropbox, etc.) représentent les leurres les plus efficaces pour le vol d’identifiants

13 © 2016 Proofpoint, Inc. Le facteur humain 2016 Transmission d’identifiants à l’attaquant Les tentatives de phishing sont 10 fois plus courantes que les contenus malveillants sur les réseaux sociaux 55 % des comptes Facebook et 25 % des comptes Twitter qui semblent représenter un fournisseur de services financiers du classement Fortune 100 ne sont pas officiels

14 © 2016 Proofpoint, Inc. Le facteur humain 2016 Exécution de code pour le compte de l’attaquant Plus de deux milliards d’applications mobiles capables de dérober des données personnelles ont volontairement été téléchargées par les utilisateurs

15 © 2016 Proofpoint, Inc. Le facteur humain 2016 Transmission d’identifiants à l’attaquant Deux entreprises sur cinq sont victimes d’applications mobiles dangereuses provenant de boutiques non officielles 1 sur 5 = proportion d’applications mobiles malveillantes transmettant des informations vers la Chine

16 © 2016 Proofpoint, Inc. Dangers liés aux applications mobiles

17 © 2016 Proofpoint, Inc.  Application pour scanner les cartes de visites; 5+ million de téléchargement  Lis la base de contacts  Dans la « Privacy policy », il est écrit que vos données personnelles et vos contacts seront envoyés en Chine, disponible à la vente et au public.  Communique les données de manières non sécurisées vers plus de 50+ serveurs Exemple d’application malicieuse: CamCard for iOS

18 © 2016 Proofpoint, Inc. Le facteur humain 2016 : points clés Transfert de fonds à l’attaquant Les campagnes de phishing de faible ampleur visent une ou deux personnes dans l’entreprise, et ont pour but d’amener la victime à transférer des fonds à l’attaquant

19 © 2016 Proofpoint, Inc. Recommandations Comment protéger votre entreprise et votre personnel ?  Adoptez des solutions de sécurité avancées, qui permettront d’identifier et de bloquer les attaques ciblées peu importe le vecteur ( , application mobile, réseaux sociaux).  Déployez des fonctionnalités de réponse automatisée aux incidents.  Remédiez à toutes les vulnérabilités connues au niveau des systèmes d’exploitation et des applications.  Mettez à jour les règles des passerelles de messagerie et les procédures de contrôle financier internes.  Surveillez l’activité sur les réseaux sociaux, afin de détecter les comptes frauduleux qui utilisent le nom de votre marque pour détourner des conversations.

20 © 2016 Proofpoint, Inc. QUESTIONS

21 © 2016 Proofpoint, Inc. Merci de votre attention – Le facteur humain 2016 Ressources disponibles à l’adresse  Rapport sur le facteur humain factor-report factor-report  Résumé graphique sur le facteur humain factor-2016-infographic factor-2016-infographic  Article du blog Threat Insight - Prévisions en termes de cybersécurité pour 2016 : le facteur humain, première cible  Rapport Magic Quadrant de Gartner relatif aux passerelles de sécurité  Évaluation des risques : évaluation GRATUITE