À retenir :
À l’occasion du Cybersecurity Awareness Month, protégez votre marque en collectant de la threat intelligence auprès de toutes les sources, en sécurisant vos domaines, en formant vos équipes face au phishing et à la fraude au président, en surveillant le dark web et en menant des audits réguliers afin de détecter les risques toute l’année, et pas seulement en octobre.
Le Cybersecurity Awareness Month (Mois de la sensibilisation à la cybersécurité) revient chaque année en octobre, et cette année, le message est urgent. Selon la CISA, les cybermenaces deviennent plus rapides et plus sophistiquées. Les nouvelles technologies, dont l’IA, aident les hackers à repérer et à exploiter plus vite que jamais les failles des logiciels et des systèmes. L’initiative est née aux États-Unis en 2004, à l’initiative conjointe du Department of Homeland Security et de la National Cyber Security Alliance. Aujourd’hui, des gouvernements et des organisations de sécurité du monde entier la soutiennent chaque année.
Chez EBRAND, nous pensons que la meilleure façon de marquer le Cybersecurity Awareness Month est de passer à l’action. Nous partageons ci-dessous cinq conseils pratiques qui renforcent votre protection contre les risques numériques. Avant de poursuivre votre lecture, découvrez où en est votre marque grâce à notre audit gratuit des risques numériques. Il vous montre quels risques existent déjà dans votre présence en ligne.
Conseil n° 1 : collectez de la threat intelligence pendant le Cybersecurity Awareness Month
Vous ne pouvez pas vous défendre contre des menaces que vous ne voyez pas. La threat intelligence vous offre cette visibilité. Elle vous indique qui cible votre marque, comment les attaquants procèdent et ce qu’ils préparent.
Une bonne threat intelligence transforme des signaux épars en décisions claires. Une hausse soudaine de domaines ressemblant au vôtre annonce une campagne. Une nouvelle page de phishing montre quels clients sont exposés aujourd’hui. En réagissant tôt à ces signaux, vous stoppez les attaques avant qu’elles n’atteignent vos clients.
Commencez par les bases. Déterminez quels actifs comptent le plus, comme vos noms de marque, vos dirigeants, vos domaines et vos comptes sur les réseaux sociaux. Construisez ensuite votre programme de threat intelligence autour de leur protection.
Conseil n° 2 : vérifiez chaque source et chaque flux de données
De nombreuses équipes surveillent un ou deux canaux et pensent être entièrement couvertes. Les attaquants le savent et agissent précisément dans ces angles morts. Le Cybersecurity Awareness Month est le bon moment pour tester votre propre couverture.
Une threat intelligence solide s’appuie sur de nombreuses sources. Couvrez les enregistrements de domaines, les journaux de certificats, les réseaux sociaux, les boutiques d’applications, les marketplaces, les sites de paste et les bases de données publiques de fuites. Intégrez aussi les recoins fermés d’internet, où les criminels échangent des outils et des données volées.
La qualité des données compte autant que leur quantité. Les flux bruts génèrent du bruit, et ce bruit masque les vraies menaces. Validez ce que vous collectez, supprimez les doublons et classez les résultats par niveau de risque. Votre équipe consacre ainsi son temps aux menaces qui comptent, et non aux fausses alertes.
Posez-vous une question simple : si un attaquant utilisait votre marque demain, quel canal le montrerait en premier ? Si vous ne savez pas répondre, vous avez un angle mort à combler.
Conseil n° 3 : sécurisez vos domaines pendant le Cybersecurity Awareness Month
La sécurité des domaines constitue le socle de toute votre présence en ligne. Si quelqu’un accède à votre domaine, c’est toute votre activité en ligne qui peut s’effondrer. Imaginez un cambrioleur qui vole les clés de votre maison et prend le contrôle de votre porte d’entrée, de votre voiture et de vos objets de valeur.
Notre Chief Technology Officer, Anouar Adlani, a élaboré une checklist de sécurité des domaines en sept parties pour vous aider. La première partie porte sur le contrôle d’accès au registrar et commence par quatre étapes à mettre en œuvre dès cette semaine.
Premièrement, attribuez à chaque collaborateur un accès individuel à la plateforme du registrar. Ne partagez jamais un compte avec qui que ce soit, à l’intérieur comme à l’extérieur de l’entreprise. Des identifiants uniques créent de la responsabilité et limitent l’accès aux personnes qui en ont réellement besoin.
Deuxièmement, appliquez une politique de mots de passe stricte. Exigez des mots de passe robustes qui expirent régulièrement. Vous bloquez ainsi les attaques par force brute et par dictionnaire, et vous évitez que le « password123 » d’une seule personne mette toute votre entreprise en danger.
Troisièmement, activez l’authentification multifacteur. La MFA demande quelque chose que l’utilisateur connaît et quelque chose qu’il possède. Lorsque des criminels devinent ou volent un mot de passe, la MFA les arrête net. Des réglementations comme le RGPD et NIS 2 l’encouragent également, la MFA contribue donc aussi à la conformité.
Quatrièmement, limitez l’accès par adresse IP. Si votre équipe utilise le réseau du bureau ou un VPN d’entreprise, n’autorisez les connexions au registrar qu’à partir de ces adresses. Les anciens collaborateurs malveillants et les groupes de hackers étrangers ne pourront alors pas toucher à vos enregistrements de domaine.
Conseil n° 4 : défendez-vous contre le phishing et la fraude au président
Le phishing reste l’un des moyens les plus courants utilisés par les attaquants pour s’introduire. Il fonctionne parce qu’il cible les personnes, et non les logiciels.
Le NHS met en garde contre l’utilisation croissante de l’intelligence artificielle par les criminels pour créer des arnaques convaincantes et usurper l’identité de personnes de confiance. Toute entreprise devrait s’en inquiéter. Les faux e-mails n’arrivent plus remplis de fautes d’orthographe. Ils sont soignés, semblent familiers et font souvent référence à de vrais projets.
La fraude au président va encore plus loin. Un attaquant se fait passer pour un dirigeant et envoie une demande urgente à une personne du service financier ou des ressources humaines. Le message réclame un virement, l’achat de cartes cadeaux ou des données sensibles sur les salariés. L’expéditeur pousse sa cible à agir vite et à garder le silence. De nombreuses victimes s’exécutent parce qu’elles ne veulent pas remettre en question leur supérieur.
Quelques réflexes suffisent pour riposter. Formez vos équipes à reconnaître et signaler le phishing à chaque fois. Exigez une double validation pour les paiements et les demandes de données. Vérifiez par téléphone toute instruction inhabituelle, en utilisant un numéro auquel vous faites déjà confiance. Et surveillez les faux domaines et les profils de dirigeants usurpés que les criminels utilisent pour rendre ces attaques crédibles. La sensibilisation des équipes est au cœur du Cybersecurity Awareness Month : intégrez donc ces réflexes à chaque session de formation.
Conseil n° 5 : surveillez le dark web pendant le Cybersecurity Awareness Month
Une grande partie des dommages causés à votre marque commence là où vous ne pouvez pas voir. Les criminels se retrouvent sur des forums et des marketplaces du dark web pour échanger des données volées et des outils d’attaque. Ils animent aussi des groupes et des canaux Telegram, où les transactions se concluent vite et disparaissent tout aussi rapidement.
Plusieurs menaces méritent ici une attention particulière. Les stealer logs contiennent des noms d’utilisateur et des mots de passe récupérés sur des appareils infectés. Les identifiants issus de fuites de données permettent aux attaquants de se connecter à de vrais comptes sans aucun piratage. Les cartes volées alimentent la fraude contre vos clients. Les kits de phishing fournissent même aux débutants une fausse page de connexion prête à l’emploi qui copie votre marque.
La détection repose sur la surveillance et l’investigation. Des outils automatisés signalent les mentions de votre marque, de vos domaines et de vos dirigeants sur ces canaux. Des analystes expérimentés approfondissent ensuite, relient les activités entre elles et identifient les personnes qui se cachent derrière. Notre guide sur les menaces du dark web et la façon de les détecter détaille chacun de ces domaines.
Lorsque vous repérez tôt des identifiants exposés, vous pouvez les réinitialiser avant que les criminels ne les utilisent. Lorsque vous découvrez un kit de phishing, vous pouvez faire retirer le faux site avant qu’il ne trompe qui que ce soit.
Conclusion : continuez les audits après la fin du Cybersecurity Awareness Month
Le Cybersecurity Awareness Month dure 31 jours. Vos risques, eux, durent toute l’année. Le moyen le plus efficace de combler cet écart est un audit régulier.
Les menaces évoluent en permanence : un examen réalisé l’an dernier ne reflète plus la réalité. De nouveaux domaines apparaissent, les collaborateurs changent de poste et les attaquants adoptent de nouveaux outils. Un audit régulier vous montre ce qui a changé, ce qui a été négligé et ce qui doit être traité en priorité. Il prouve aussi à la direction, à vos clients et aux autorités de contrôle que vous prenez la sécurité au sérieux.
Prenez cette habitude dès maintenant. Examinez à intervalles fixes vos sources de threat intelligence, vos contrôles de domaines, vos défenses contre le phishing et votre exposition sur le dark web. Corrigez ce que vous trouvez, puis vérifiez à nouveau.
Vous ne savez pas par où commencer ? Commencez par un audit gratuit des risques numériques pour voir vos principales vulnérabilités en un seul endroit.
Toute l’équipe d’EBRAND vous souhaite un excellent Cybersecurity Awareness Month. Restez vigilant, restez curieux et restez en sécurité.
