Les 5 pires violations de données de 2024 + Leurs leçons
2024 a été une nouvelle année record pour les cybercriminels, et ce n’est pas une bonne nouvelle pour le reste d’entre nous. Des fuites massives d’identifiants aux compromis de la chaîne d’approvisionnement, l’ampleur et la créativité des violations de données cette année ont suffi à empêcher les équipes de sécurité les plus chevronnées de dormir la nuit.
Ce qui frappe, ce n'est pas seulement le nombre d'incidents, mais aussi l’évolution des attaques, qui visent des vulnérabilités négligées et exploitent de nouvelles surfaces d’attaque : campagnes de phishing élaborées par IA ou mauvaises configurations cloud. Des registres gouvernementaux aux géants des télécommunications, aucun secteur n’a été épargné face à la sophistication croissante des cybercriminels.
En tant que responsables techniques, vous connaissez les enjeux : atteinte à la réputation, conséquences réglementaires, et menace constante de perte de clientèle. Si 2024 nous a appris quelque chose, c’est que nos approches en matière de sécurité doivent être aussi dynamiques et ingénieuses que celles de nos adversaires.
Parmi les mesures proactives pour garantir la sécurité des données figurent la mise en place de politiques de mots de passe robustes, l’utilisation de l’authentification multifacteur, le chiffrement des données sensibles, la mise à jour régulière des logiciels et la réalisation fréquente d’audits de sécurité. La sensibilisation et la formation des employés sont également essentielles, car l’erreur humaine reste l’une des causes principales des failles de sécurité.
Vlad Cristescu, Responsable cybersécurité chez ZeroBounce, affirme que son entreprise fait de la cybersécurité une priorité au quotidien. Il explique comment ils relèvent les défis et sécurisent leurs systèmes :
- Philosophie Zero Trust : Nul, à l’intérieur comme à l’extérieur de l’entreprise, n’a de passe-droit. Chaque utilisateur et chaque appareil doit prouver sa légitimité.
- Surveillance constante : Nous utilisons des outils intelligents pour détecter toute anomalie 24h/24, 7j/7.
- Formation de l’équipe : La cybersécurité n’est pas que l’affaire de l’IT, c’est l’affaire de tous. Nous formons notre équipe à repérer les emails de phishing et autres menaces.
- Préparer le pire : Nous n’avons pas seulement un plan de réponse aux incidents ; nous l’entraînons régulièrement pour être prêts en cas d’incident.
- Choisir ses partenaires avec soin : Nous imposons à nos fournisseurs des standards élevés car leur sécurité influence la nôtre.
« Chaque violation nous rappelle que la cybersécurité n’est pas quelque chose que l’on peut programmer et oublier. C’est une priorité permanente et nous sommes tous concernés. Si nous tirons les leçons de ce qui s’est passé en 2024 et restons vigilants, nous serons bien mieux préparés pour affronter l’avenir », insiste Cristescu.
Dans cette rétrospective, j’examinerai cinq des plus grandes violations de données de 2024 : National Public Data, Ticketmaster, Dell, AT&T et Change Healthcare, tout en proposant des analyses concrètes d’experts du secteur.
Chacune de ces attaques met en lumière des vulnérabilités spécifiques et délivre des enseignements sur la meilleure manière de protéger les données dans un monde de plus en plus numérique.
Fuite de données Ticketmaster
En juin 2024, le groupe de pirates Shiny Hunters a revendiqué le vol de données clients auprès de Ticketmaster et Live Nation, leader mondial de la billetterie et de la gestion d’événements, affectant environ 560 millions de personnes.
« ShinyHunters est un groupe d’acteurs malveillants connu pour avoir compromis des entreprises et vendu les données clients sur le marché noir, note John Paul Cunnigham, CISO chez Silverfort. Dans ce cas, l’attaque est passée par un prestataire de services utilisé par Ticketmaster. »
Les données dérobées comportaient noms, adresses, coordonnées, informations de carte bancaire et commandes de billets, faisant peser un risque d’usurpation d’identité et de fraude financière. Cette violation a mis en évidence la fragilité des pratiques de gestion de données de Ticketmaster et montré les risques associés au stockage de grandes quantités d’informations personnelles et financières.
Les conséquences de la fuite Ticketmaster se sont fait sentir loin. De nombreux clients ont vu les risques de fraude et d’usurpation d’identité augmenter, poussant Ticketmaster à émettre des alertes et à appeler les personnes concernées à surveiller attentivement leurs comptes financiers. L’incident a aussi causé un préjudice à la réputation de Ticketmaster, ses clients et partenaires doutant de la capacité de l’entreprise à protéger les données personnelles.
Une approche de la sécurité globale centrée sur l’humain, associée à une sécurité solide implémentée par une équipe professionnelle, contribuera grandement à prévenir la majorité des cyberattaques.
Selon Cunningham, « Davantage d'attention doit être accordée aux identités humaines et machines utilisées dans la prestation de services et les intégrations avec des tiers et des fournisseurs de services. Les organisations tentent d'arrêter les acteurs malveillants en recourant à un réseau disparate de contrôles et d'outils d'identité, et se fient souvent de manière excessive aux attestations tierces comme les rapports SOC2. »
« Ces solutions ponctuelles fonctionnent en silo, ne sécurisant que ce qu'elles connaissent. De nombreuses entreprises s'appuient sur un assemblage de fournisseurs d'identité cloud (IdP) et d'autres solutions ponctuelles pour sécuriser le nombre croissant d’identités. Les attaquants savent cela et tirent parti des failles pour passer d'une partie de l'organisation à l'autre afin de voler des données. L'identité est extrêmement distribuée, mais sa sécurité ne doit pas l’être. Sans une couche de sécurité unifiée, les équipes en charge de l'identité et de la sécurité continueront de peiner à protéger ce nombre exponentiel d’identités, sacrifiant ainsi sécurité et productivité. »
Qu’a-t-on appris de la fuite chez Ticketmaster ? Cristescu estime que « Nous ne sommes forts que de notre fournisseur le plus faible. Si un tiers dont vous dépendez n'est pas sécurisé, vos données sont en danger. »
Alors, que peuvent faire les organisations ? « Examinez de plus près vos partenaires. Auditez-les régulièrement, posez des questions difficiles sur leurs pratiques de sécurité, et n’ayez pas peur de rompre la collaboration s’ils ne sont pas à la hauteur de vos attentes, » poursuit Cristescu.
Fuite de données chez AT&T
AT&T, l’une des plus grandes sociétés de télécommunications aux États-Unis, a subi une violation de données en juillet 2024 ayant impacté environ 70 millions de clients. La brèche a été provoquée par une cyberattaque sophistiquée visant la base de données clients d’AT&T, exposant ainsi des informations sensibles comme les noms, numéros de téléphone, adresses e-mail et informations de facturation des clients.
Les données volées ont un impact durable, non seulement sur les entreprises, mais également sur la confiance que leur accordent les clients. Les fuites de données, de plus en plus fréquentes et importantes, incitent les organisations à repenser complètement leur approche de la sécurité et de la protection des données. Plutôt que de protéger les périphéries traditionnelles, elles doivent adopter des méthodes de désidentification des données afin de protéger les données elles-mêmes, tout en conservant leur valeur en interne et en les rendant inutiles aux attaquants même en cas de vol.
La brèche chez AT&T a mis en évidence l’ampleur croissante des menaces pesant sur les entreprises de télécommunications, qui sont devenues des cibles privilégiées pour les cybercriminels en raison de la quantité massive de données personnelles qu’elles détiennent. Elle soulève également des préoccupations quant à la sécurité de l’infrastructure télécom et à la nécessité d’une défense renforcée contre des cybermenaces de plus en plus avancées.
Clyde Williamson, architecte principal en sécurité produit chez Protegrity, déclare : « L’exfiltration des historiques d’appels et de SMS de la quasi-totalité des clients mobiles [d’AT&T] constitue non seulement une violation de confiance du point de vue du client, mais démontre à quel point les stratégies de cybersécurité actuelles sont obsolètes. Les déductions que l’on peut tirer de différents types de données comptent tout autant que le vol de données personnelles (PII). »
AT&T a collaboré avec les autorités fédérales et des sociétés spécialisées en cybersécurité pour enquêter sur l’incident et sécuriser ses systèmes en réponse à la brèche. Les clients concernés ont été notifiés par e-mail et SMS, avec des recommandations pour protéger leurs comptes et surveiller toute activité suspecte.
AT&T a mis en œuvre des mesures de sécurité supplémentaires, notamment un chiffrement renforcé des données clients, l’authentification à facteurs multiples pour l’accès aux comptes et des contrôles d’accès plus stricts aux informations sensibles.
Cristescu estime que la fuite chez AT&T nous enseigne à « miser encore plus sur les contrôles d’accès. Ne pas en avoir, c’est comme laisser la porte d’entrée de sa maison grande ouverte. »
Que pouvez-vous faire d'autre ?« Si vous n'utilisez pas encore l'authentification à facteurs multiples (MFA), commencez dès aujourd'hui. Combinez-la avec des contrôles d'accès basés sur les rôles afin de garantir que seules les personnes autorisées accèdent aux données sensibles,» déclare Cristescu.
Need expert help selecting the right tool?
Fuite de données chez Dell
En mars 2024, Dell a subi une fuite de données majeure qui a exposé les informations personnelles de plus de 180 millions de clients. Cette violation résulte d’une vulnérabilité dans les systèmes d’assistance client de Dell, exploitée par des pirates informatiques pour accéder sans autorisation à des noms, adresses, adresses e-mail et numéros de téléphone de clients.
Cette fuite a souligné l’importance de sécuriser les systèmes de support client avec un logiciel de gestion unifiée des menaces, souvent ciblés par les cybercriminels cherchant à exploiter les faiblesses dans l'infrastructure d'une entreprise. L'incident chez Dell a également mis en lumière les risques liés aux prestataires tiers, la vulnérabilité étant associée à un composant logiciel tiers utilisé dans leurs systèmes de support.
En réponse à la fuite, Dell a agi immédiatement pour contenir l’incident et sécuriser les systèmes concernés. La société a collaboré avec des experts en cybersécurité pour identifier l’origine de la faille et appliquer des correctifs afin d’empêcher toute exploitation supplémentaire. Dell a renforcé ses politiques internes de cybersécurité, réalisé des audits de sécurité réguliers et accru la formation des employés pour reconnaître et prévenir les menaces potentielles.
L’incident Dell nous a appris que « se contenter d’une approche ‘faire confiance mais vérifier’ avec les prestataires n’est plus suffisant », selon Cristescu. Au contraire,« Adoptez la philosophie Zéro Confiance. Cela signifie limiter l'accès pour tout le monde et toutes les choses — même les systèmes et personnes à qui vous faites normalement confiance », surtout lorsqu’on utilise des composants logiciels tiers.
Dell et AT&T illustrent probablement les vulnérabilités des grands systèmes interconnectés. Les atténuer nécessite une sécurité renforcée des terminaux et une visibilité étendue sur des paysages informatiques complexes. Abonnez-vous à des flux mondiaux d’intelligence sur les menaces et participez à des réseaux intersectoriels de partage d’informations sur les menaces afin d’anticiper les vecteurs d’attaque émergents. Par exemple, l’utilisation de plateformes comme FS-ISAC dans les services financiers permet aux organisations de se préparer aux exploits connus.
Fuite nationale de données publiques
National Public Data (NPD), une grande base de données gouvernementale, a connu l'une des plus importantes violations de données en avril dernier, affectant environ 2,9 milliards de dossiers de sécurité sociale. La fuite a exposé des informations personnelles sensibles, notamment des numéros de sécurité sociale, des dates de naissance et des adresses, impactant pratiquement chaque citoyen américain. Cet incident a donné lieu à de nombreux recours collectifs et a suscité de vives inquiétudes sur les pratiques de sécurité des données.
Les attaquants ont exploité une faille dans les contrôles d’accès du système, obtenant un accès non autorisé et extrayant d’énormes quantités de données sur une longue période.
« Bien qu'ils ne l’aient pas confirmé, le consensus général est que le code source exposé publiquement de National Public Data a été archivé sur le site principal de l'une des filiales de NPD, RecordCheck, » explique Gaëtan Ferry, chercheur en sécurité chez GitGuardian.« Exposer une archive contenant le code source d’une application sur le site même de l’application est une erreur bien connue qui précède l’invention des logiciels de gestion de versions. On pense que l’archive contenait un mot de passe par défaut, encore utilisé par de nombreux comptes utilisateurs et ayant servi de vecteur d’accès initial. »
Les conséquences de la fuite ont été profondes, avec des risques importants d’usurpation d'identité et de fraude pour des millions de personnes. De nombreuses victimes se sont retrouvées confrontées à un potentiel d’activités financières non autorisées, ce qui a entraîné un appel général à une meilleure protection des données et à un contrôle accru des bases de données gouvernementales.
Les personnes concernées ont été informées par les canaux officiels et se sont vu offrir un service gratuit de surveillance du crédit afin de réduire les risques d’usurpation d’identité.
« Notamment, cette fuite n’a pas été annoncée pendant une semaine ; elle n’a été révélée et a donné lieu à une action en justice que parce que l’entreprise ne l’a pas divulguée, » partage Clyde Williamson. « En outre, il n’est toujours pas clair s’ils ont délibérément évité de partager les détails de cette violation ou s’ils l’ont simplement découverte eux-mêmes. »
Williamson estime que cela met en évidence l'insuffisance des lois américaines pour protéger les données personnelles des citoyens, lesquelles sont dépassées et mal adaptées aux défis du XXIe siècle.« Les courtiers en données comme la NPD ne sont pas soumis aux mêmes normes réglementaires que des institutions telles que l'industrie des cartes de paiement (PCI), qui impose des audits annuels et des contrôles stricts sur les données de cartes de crédit. Actuellement, les États-Unis n'ont aucune obligation de ce genre. »
Il est également possible, selon Williamson, qu'une part importante des données volées appartienne à l'un des groupes les plus vulnérables : les personnes âgées et leurs familles. « Une escroquerie courante consiste pour un fraudeur à se faire passer pour un avocat avec de mauvaises nouvelles pour la personne âgée – un membre de sa famille est en difficulté et a besoin d’argent. Et pourquoi un grand-parent ne le croirait-il pas si le fraudeur dispose d'informations personnelles valides pour appuyer sa crédibilité ? Ces escrocs n'ont pas besoin d'ouvrir un crédit au nom de quelqu’un pour ruiner des vies. Il leur suffit de savoir utiliser les informations volées pour vider le compte bancaire d’un proche bienveillant. »
Williamson suggère que se reposer sur les recours collectifs pour traiter la négligence est insuffisant.« Les organisations doivent donner la priorité à la transparence et intensifier leurs efforts pour désidentifier les données sensibles afin de protéger l’information des consommateurs. Elles doivent aller au-delà des mécanismes de défense traditionnels et adopter les stratégies de protection des données recommandées par les régulateurs, comme le chiffrement et la tokenisation. Ces méthodes rendent les données inutilisables pour les attaquants, les empêchant ainsi de les voler et de les utiliser à des fins malveillantes. »
Les entreprises peuvent réduire la valeur des données volées et atténuer significativement l’impact à long terme des attaques par rançongiciel et des fraudes.
Pour souligner davantage l'importance de la surveillance des fournisseurs, Matthew DeChant, PDG de Security Counsel, déclare : « Les CTO et les équipes dirigeantes doivent exercer une surveillance rigoureuse des pratiques de sécurité de leurs prestataires, surtout lorsqu’il s’agit de données hautement réglementées et confidentielles. Les contrats devraient inclure le droit d’évaluer et d’auditer les programmes de sécurité des fournisseurs. Ne prenez pas pour argent comptant les affirmations des prestataires en matière de sécurité — si un prestataire met en avant une attestation SOC 2 Type II, exigez et examinez le rapport pour vérifier que son périmètre couvre bien vos besoins. »
10 Meilleurs logiciels de cybersécurité !
Here's my pick of the 10 best software from the 10 tools reviewed.
La faille du National Public Data a rappelé de manière brutale les défis auxquels les gouvernements sont confrontés pour protéger les données des citoyens à l’ère de la montée des menaces informatiques. Comme le dit Cristescu, « Conserver trop de données, c’est comme stocker des feux d’artifice dans son garage ; tôt ou tard, tout explose. »
Dans ce cas, demandez-vous : « Avons-nous vraiment besoin de conserver ces données ? » Si la réponse est non, supprimez-les. Pensez aussi à chiffrer les données que vous devez conserver afin qu'elles soient inutilisables en cas de vol, conseille Cristescu.
Violation de données chez Change Healthcare
En août 2024, Change Healthcare, une entreprise leader dans les technologies de la santé, a subi une importante violation de données ayant compromis les informations personnelles et médicales de plus de 4 millions de patients. La brèche a été attribuée à une attaque de phishing sophistiquée ayant visé ses systèmes internes, permettant un accès non autorisé à des données sensibles, notamment les noms, adresses, dates de naissance et antécédents médicaux des patients.
Des cybercriminels ont exploité des failles dans l’infrastructure de sécurité de Change Healthcare, en particulier concernant la sensibilisation des employés et les protocoles de sécurité des courriels.
Cette violation souligne la nécessité d'une approche globale et multicouche en matière de cybersécurité. « Mettre en place la sécurité ne repose pas sur une seule solution, mais sur la création de multiples couches de défense, » indique Shrav Mehta, PDG de Secureframe. « Des bonnes pratiques de codage sécurisé aux tests automatisés et à la surveillance continue, nous avons besoin d'une approche holistique qui anticipe et atténue les menaces potentielles avant qu'elles n’apparaissent. »
Une conséquence significative de la violation chez Change Healthcare a été la perturbation des services médicaux. Plusieurs hôpitaux et établissements de santé qui dépendent des systèmes de Change Healthcare ont connu des retards dans la prise en charge des patients, soulignant l’importance cruciale de la cybersécurité dans le domaine de la santé, où les vulnérabilités peuvent compromettre l'intégrité des données et la continuité des services.
Au-delà de la défaillance technique immédiate, les conséquences de la faille de Change Healthcare – avec des prestataires de santé incapables de traiter les paiements ou de rémunérer le personnel – démontrent pourquoi les CTO du secteur doivent accorder à l’infrastructure de paiement la même importance qu’aux systèmes de soins aux patients. Pour les responsables technologiques de la santé, la leçon essentielle est d’une simplicité implacable : des lacunes dans l’hygiène de sécurité élémentaire, même sur un seul service, peuvent faire chuter tout un écosystème de santé.
Cette faille a également mis en lumière le besoin de réglementations plus strictes et d’un élargissement des responsabilités dans l’industrie de la santé.
Kiran Chinnagangannagari, Chief Product and Technology Officer chez Securin, souligne le rôle crucial des fabricants de dispositifs médicaux dans l’atténuation de ces vulnérabilités : « Personnellement, j’aimerais voir de nouvelles réglementations aller au-delà des seuls prestataires de santé et inclure les fabricants de dispositifs médicaux, car les risques de vulnérabilités les concernant sont également de plus en plus préoccupants.
Les recherches de Securin ont montré une augmentation de 59 % d’une année sur l’autre des vulnérabilités sur les produits de santé, avec 43 vulnérabilités permettant l’exécution de commandes à distance — une menace critique pour la sécurité des patients. Les dispositifs médicaux, comme les pompes à perfusion et les systèmes de surveillance, sont essentiels aux soins, et sans mesures de cybersécurité appropriées, ces failles peuvent entraîner des interruptions dangereuses, voire potentiellement mortelles. Nous devons accorder la priorité à la fois à la sécurisation de ces acteurs et équipements médicaux, mais aussi aux moyens financiers pour y parvenir. »
Chinnagangannagari insiste également sur l’importance de la gestion des risques liés aux tiers. « Les organisations doivent vérifier activement que chaque entité de leur chaîne d’approvisionnement est en mesure de prévenir des brèches dévastatrices. Des réglementations plus strictes et une application renforcée sont désormais nécessaires, et les équipes de sécurité comme les développeurs doivent appliquer les principes Secure by Design de la CISA dans leurs systèmes et produits. Les entreprises doivent être rendues responsables non seulement de leurs propres mesures de cybersécurité, mais aussi de celles de toutes les organisations avec lesquelles elles traitent. Les enjeux sont trop importants — nous ne pouvons plus tolérer ce type de négligence. »
Le Dr Sean Kelly, MD, directeur médical et vice-président de la stratégie client chez Imprivata, ajoute : « Mettre en place une stratégie de cybersécurité globale, c’est presque comme construire une maison, et la plupart des organisations de santé n’ont posé que les fondations. Leur approche est souvent réactive, centrée sur le nettoyage des dégâts des attaquants plutôt que sur la prévention dès le départ. »
Change Healthcare s’est engagée à adopter des pratiques de protection des données plus strictes et à collaborer étroitement avec les autorités de régulation pour éviter de futurs incidents. Cette affaire nous apprend que, « les systèmes patrimoniaux sont un terrain de jeu pour les hackers, » indique Cristescu. « Garder des technologies obsolètes constitue un risque que nous ne pouvons plus nous permettre. »
Cristescu recommande aux organisations « de migrer vers des systèmes modernes, dans le cloud, intégrant de la détection avancée des menaces » et « de ne pas négliger les stratégies de sauvegarde. Un rançongiciel ne peut pas vous prendre en otage si vous disposez de sauvegardes sécurisées et isolées, prêtes à être déployées. »
Dans toutes ces failles, un élément commun se détache : l’attaquant trouve et exploite des identifiants codés en dur. Pour les identités humaines, l’absence d’une authentification multifactorielle résistante au phishing semble être récurrente, et pour les identités non humaines, les secrets en clair étaient utilisés longtemps, assez pour servir un adversaire. Cela doit vraiment attirer l’attention sur le fait que les grandes organisations doivent maîtriser l’observabilité des secrets, afin de gérer et automatiser la rotation des identifiants à grande échelle pour qu’un secret divulgué soit inutilisable au moment où il est découvert.
Et maintenant ?
En nous projetant vers 2025, le paysage de la cybersécurité sera probablement modelé par la sophistication croissante des menaces comme des moyens de défense. On s’attend à ce que les cybercriminels s’appuient de plus en plus sur des attaques alimentées par l’IA, utilisant l’apprentissage automatique pour déjouer les systèmes de sécurité traditionnels et élaborer des tentatives de phishing encore plus crédibles.
Larry Zorio, RSSI chez Mark43, pense que « Les organisations doivent se préparer à une recrudescence des attaques pilotées par l’IA — des menaces sophistiquées qui adaptent leur signature pour échapper à la détection. Exploitées par des acteurs malveillants à la recherche de gains financiers, ces attaques ciblent les secteurs avec des défenses faibles et des ressources insuffisantes. Les hackers utilisent des outils comme ChatGPT pour créer des logiciels malveillants et rédiger des e-mails de phishing presque indifférenciables des communications légitimes.
Ces craintes sont-elles justifiées ? Absolument.Cependant, nous pouvons prendre des mesures pour nous protéger, ainsi que nos entreprises, notamment la formation du personnel pour prévenir le phishing, une surveillance continue avec de l’analyse comportementale pour détecter les anomalies, et la collaboration avec des prestataires de confiance pour combler les lacunes de sécurité. Des investissements proactifs dès maintenant renforceront les défenses et permettront de réaliser des économies à long terme. »
Cette montée des IA offensives exigera que les organisations adoptent des outils de défense tout aussi avancés, notamment des systèmes de détection et de réponse pilotés par l’IA, capables d’analyser d’immenses volumes de données en temps réel pour identifier les anomalies et atténuer les risques. Les attaques visant la chaîne d’approvisionnement resteront également une préoccupation majeure, car les attaquants exploitent des prestataires tiers pour accéder à des systèmes sensibles.
Sur le plan défensif, attendez-vous à voir une adoption plus large de l’architecture Zéro Confiance, dans laquelle aucun utilisateur ni appareil n’est considéré comme fiable par défaut et où chaque accès est vérifié en continu.
La sécurité du cloud occupera le devant de la scène alors que les organisations devront faire face aux complexités de la sécurisation des environnements multi-clouds, soulignant la nécessité d’une visibilité en temps réel et d’une gestion des menaces sur l’ensemble de ces infrastructures.
Pour réduire le nombre d’attaques basées sur le cloud, les organisations devraient envisager d’apporter une perspective cloud en temps réel à leurs centres d’opérations de sécurité (SOC) afin d’assurer une détection et une réponse cohérentes aux menaces sur l’ensemble de votre infrastructure. Cela permettra de réduire les coûts, le temps moyen de réponse (MTTR) et de diminuer significativement le risque de violations majeures.
Les changements réglementaires, notamment concernant la protection des données personnelles et les normes de sécurité, devraient également se durcir à l’échelle mondiale, poussant les organisations à aligner leurs pratiques sur des exigences de conformité plus strictes.
Attendez-vous à un raz-de-marée réglementaire. Dans l’UE, les réglementations axées sur le commerce électronique se sont répercutées sur les réseaux sociaux et les places de marché en ligne. Les États-Unis connaîtront des approches fragmentées, les lois étatiques sur la confidentialité des consommateurs rendant la conformité plus complexe pour les entreprises opérant dans plusieurs juridictions.
Morey Haber, Chief Security Advisor chez BeyondTrust, déclare : « Ce que nous avons appris de ces attaques, c’est que les informations personnelles de personne ne sont sécurisées, quelle que soit l’entreprise ou sa taille. » Si les entreprises veulent se protéger contre les menaces, Haber propose ce qui suit :
- N’utilisez pas de numéro de téléphone portable pour les comptes ou les informations personnelles. Un numéro de téléphone fait souvent office d’identifiant unique, facilement associé à un individu sur de multiples plateformes. En cas de fuite de données, les attaquants peuvent le lier à d’autres données compromises pour établir un profil détaillé, ce qui le rend aussi risqué qu’un numéro de sécurité sociale. Évitez d’utiliser un numéro de téléphone pour vous connecter ou pour l’authentification chaque fois que possible afin de limiter l’exposition et de protéger votre identité.
- Évitez d’utiliser la même adresse e-mail pour tous vos comptes. Créez plutôt des adresses différentes pour la correspondance, la banque et d’autres activités sensibles. Ainsi, si une adresse e-mail est compromise, toute votre identité numérique ne sera pas exposée.
- Pour les entreprises, il est souvent plus facile pour les attaquants de se connecter que de pirater. Accordez la priorité à la sécurité des identités et à la gestion des accès privilégiés en révisant régulièrement les droits et permissions pour empêcher les mouvements latéraux et l’accès non autorisé.
2025 sera également marqué par un renforcement de la collaboration entre les secteurs et avec les gouvernements, avec le partage de renseignements sur les menaces qui deviendra un pilier essentiel pour anticiper les attaques.
En fin de compte, la clé pour surmonter ces défis sera de combiner des technologies de pointe avec une culture de vigilance et de responsabilité à tous les niveaux de l'organisation.
Réflexions finales
Les violations de données de 2024 rappellent sobrement que même les meilleures défenses ne sont pas impénétrables. Mais elles constituent aussi un appel à l'action — une occasion d'affiner les stratégies, de privilégier des outils de pointe comme le logiciel BAS, et de bâtir des positions de sécurité plus solides et adaptables. La transparence et la collaboration jouent un rôle essentiel dans ce processus.
« Nous devons adopter une transparence radicale en partageant ouvertement les informations sur les vulnérabilités, les taux d'adoption des versions et les enseignements tirés », déclare Shrav Mehta.« Cette approche collaborative aide l'ensemble de l'écosystème technologique à devenir plus résilient. »
Si nous voulons dépasser l'ingéniosité des acteurs malveillants, nous devons partager nos connaissances, analyser nos vulnérabilités et nous tenir responsables en tant que gardiens des systèmes et des données que nous protégeons.
Alors que nous entrons en 2025, prenons à cœur les leçons durement acquises de cette année. Que ce soit en adoptant les principes du zero trust, en investissant dans une meilleure veille sur les menaces ou en cultivant une culture où la sécurité est l'affaire de tous, l'objectif est clair : les entreprises doivent adapter leurs stratégies, investir dans les technologies de sécurité émergentes et encourager une culture de sensibilisation et de vigilance.
Abonnez-vous à la newsletter du CTO Club pour plus de conseils, d'outils et de bonnes pratiques en cybersécurité.
