Méfiez-vous des fausses nouvelles sur Internet !

publié par Bitdefender Enterprise France, le 15 février 2017

Dernièrement, de fausses nouvelles ont fait les gros titres de la presse, après avoir été un sujet de discussion majeur lors des récentes élections présidentielles, aux États-Unis. Ce que de nombreuses personnes ne réalisent pas - et que les Directeurs des Systèmes d’Information (DSI) et les Responsables de la Sécurité des Systèmes d’Information (RSSI) doivent prendre en considération - ce sont les répercussions en matière de sécurité que peuvent avoir les sites de fausses informations, notamment pour les entreprises.

 

 

Conçus pour attirer autant de visiteurs que possible, l’objectif de ce type de sites Web est de générer des revenus publicitaires. Ils peuvent également être utilisés dans le but de transformer des utilisateurs peu méfiants en potentielles victimes d'attaques de phishing, de malwares ou de déni de service (DoS), entre autres. Ces sites peuvent alors avoir une  forte incidence sur la sécurité des entreprises, compte-tenu des effets destructeurs qu'ils sont capables de causer.

 

Sur le plan de la sécurité et de la protection des données confidentielles, les fausses informations sont d'autant plus préoccupantes que les réseaux sociaux tels que Facebook ou Twitter contribuent largement et très rapidement à les propager. Des acteurs tels que Facebook et Google prennent des mesures pour résoudre le problème des faux contenus d'information, mais ces derniers sont omniprésents et les menaces à la sécurité restent bien réelles.

 

La diffusion de fausses informations est à présent un nouveau moyen pour les cybercriminels de lancer des attaques, tout comme le courrier électronique et la messagerie instantanée ont servi, au fil des ans, de mécanismes de diffusion de ces menaces. Dans une récente publication, James Scott, chercheur en chef à l'ICIT (Institute for Critical Infrastructure Technology) - groupe de réflexion sur la cybersécurité - a relevé que les fausses informations « ont des degrés de complexité divers, pouvant aller des e-mails de spear phishing ciblés, exempts de fautes d’orthographe et particulièrement bien personnalisés, s’appuyant notamment sur le profil LinkedIn de la cible, à des e-mails de spam massifs, remplis de fautes d’orthographe. L'objectif de chaque campagne d'ingénierie sociale reste néanmoins d'inciter un segment démographique d'utilisateurs ciblés à partager des informations, ouvrir un e-mail, télécharger une pièce jointe ou consulter un site en particulier », affirme-t-il.

 

« Un simple clic suffit à diffuser une charge utile malveillante dévastatrice, pouvant perturber une entreprise pendant de longues années », poursuit James Scott. « Les APT (menaces persistantes avancées) sont des menaces complexes, permettant à leurs développeurs d’accéder à des ressources sensibles et de lancer des campagnes d'attaques ciblées et durables. »

 

« Un leurre bien construit autour de fausses informations a de grandes chances d’altérer le jugement et  les bonnes pratiques en cybersécurité de ses cibles, » indique James Scott. « Les victimes interagissent avec des leurres d'information pour diverses raisons : soit parce qu’elles ressentent le besoin de se tenir au courant ; soit parce qu’elles font face à un sentiment d'urgence, de polarisation socio-politique, de curiosité, voire même de peur », continue-t-il. « Les leurres les plus efficaces intègrent de véritables articles d'information sous forme de pièce jointe, de lien malveillant dirigeant vers un site infecté ou de bannière attractive complétant un article adapté aux victimes potentielles. »

 

L'auteur conclut son article en affirmant que les pirates informatiques « transforment activement et agressivement les informations en ‘armes’, afin de diffuser des fichiers malveillants qui infestent les réseaux de manière parasitaire, entraînent le vol de propriété intellectuelle, ainsi que l'apparition d'autres menaces.  Ne vous-y méprenez pas : les cybercriminels continueront à utiliser les informations et les fausses informations dans leurs campagnes d'ingénierie sociale », indique-t-il. « Alors que le nombre d'adversaires tirant parti des informations et fausses informations ne cesse d’augmenter, les leurres seront de plus en plus sophistiqués et convaincants, les pièces jointes malveillantes seront de plus en plus polyvalentes et complexes et l'impact qu'elles auront sur les systèmes d'infrastructures individuels et critiques gagnera en fréquence et en sévérité. »

 

Les RSSI doivent être capables de maîtriser ces menaces de cybersécurité et ces fausses informations aussi rapidement que possible, ou ils feront face au risque de voir leur propre entreprise victime de telles attaques.

Ces entreprises peuvent également assurer une veille continue des sites de fausses informations, et observer les risques potentiels. Afin d’éviter que cela ne devienne fastidieux et ne mobilise trop de personnel,  des outils analytiques peuvent se montrer très utiles. De nombreuses entreprises utilisent déjà des outils technologiques pour contrôler les menaces de sécurité, et ces mêmes ressources contribuent à la détection de menaces liées aux fausses informations. Si l’équipe en interne est trop restreinte, il peut être judicieux de solliciter une aide extérieure pour traiter ce problème de fausses informations qui menacent la sécurité de l’entreprise.

 

Certainement plus important encore, les responsables d’entreprise doivent sensibiliser leurs employés aux éventuels dangers que représentent ces menaces. De la même manière que les entreprises ont dû apprendre aux salariés à ne pas ouvrir les pièces jointes d'e-mails provenant d'expéditeurs inconnus ou à apprendre comment ne pas devenir une victime de phishing, ils doivent aussi rappeler avec insistance que le simple fait de cliquer sur des articles contenant de fausses informations ou du contenu associé peut entraîner des failles de sécurité pouvant exposer leurs données personnelles et celles de leur société.

 

De plus, les entreprises sont vivement encouragées à élaborer et mettre en place des règles relatives à l'utilisation et à la diffusion de fausses informations au sein de leur structure. Bien que de nombreux employés utilisent aujourd'hui leurs appareils personnels dans le cadre de leur travail, ils ne doivent pas pour autant mettre en danger les systèmes et les données de leur entreprise, en cliquant sur des liens douteux associés à de fausses informations.

 

En prenant ces mesures, les DSI et RSSI contribuent à éviter ou à minimiser les dommages potentiels causés à leur entreprise par les fausses informations.

 

 

Bitdefender Enterprise France

Bitdefender est le spécialiste européen des solutions antimalware. Ses technologies proactives classées n°1 en détection et en prise de ressources par les organismes de tests indépendants protègent plus de 500 millions d’utilisateurs.