[Tribune] Les tendances pour la cybersécurité en 2023 et au-delà

Les années 2020 ne nous ont pas épargnés : une pandémie, la disparition d’une reine, une guerre… Dans ce contexte sous tensions, l’urgence de prendre des mesures de cybersécurité se fait sentir au regard des enjeux et de la nécessité de protéger les actifs numériques et les infrastructures critiques de possibles cyberattaques. Thomas Manierre, Directeur EMEA Sud de BeyondTrust, fait le point sur les tendances émergentes qui risquent bien de marquer la décennie en cours pour en faire apparaître des prédictions pour 2023.

A lire aussi : [Tribune] Les tendances de la cybersécurité au-delà de 2023

1. Le Zero Trust ready

L’an prochain, il faut s’attendre à l’arrivée sur le marché de produits « zero trust-ready ». Certains permettront l’authentification zero trust positive et la surveillance comportementale, d’autres seront basés sur un modèle de sécurité fermé pour démontrer ce qui devrait se produire en cas d’incident zero trust négatif. Dans quelques années, la technologie sera bien plus mature et des solutions complètes, tout-en-un, vont émerger couvrant les comportements zero trust appropriés et inappropriés.

2. Les caméras de smartphones infectées par des malwares

Nous devrions constater l’émergence des premiers programmes qui chercheront à exploiter les vulnérabilités des caméras intelligentes et de la technologie qu’elles embarquent. En 2023, la technologie utilisée pour produire de formidables photos et vidéos pourra elle-même être détournée pour exécuter des malwares. L’objectif ne sera pas nécessairement d’exécuter du code, mais de supprimer des informations sensibles, de faire circuler de fausses informations, de propager un malware ou encore d’amener l’utilisateur du contenu à se rendre sur des sites trompeurs. Plus les caméras vont gagner en sophistication, plus la surface de risque s’étend et se prête à de nouvelles approches d’exploitation.

3. Les ransom-Vaporwares ou comment jouer sur la peur de perdre sa réputation

Nous assisteront à une forte augmentation des cas de ransom-vaporwares : un cybercriminel n’a même pas besoin de perpétrer une attaque, il lui suffit de dire qu’il l’a faite ; une menace impossible à vérifier peut être un vecteur d’attaque suffisant. L’entreprise a beau vouloir faire savoir que la compromission n’a pas eu lieu, ceci sera vu comme une tentative d’éviter tout dommage pour sa réputation. Toute publication de données, même obtenues très facilement, viendra confirmer qu’une compromission a bien eu lieu. Lors de ce type d’attaque, il est quasi impossible de se défendre.

4. L’authentification multifactorielle (MFA) ne sera plus invincible

En 2023, il y a fort à parier que de nouveaux vecteurs d’attaque émergeront, visant à contourner les stratégies d’authentification multifactorielle. L’an prochain, tout comme le SMS, des notifications push et d’autres techniques de MFA seront exploitées. Les entreprises subiront une forme d’érosion de leurs fondations MFA et seront incitées à adopter des solutions MFA ayant recours à des technologies biométriques ou conformes à FIDO2. Dans dix ans, il est probable que ces solutions sans mot de passe seront à leur tour jugées vulnérables et obsolètes.

5. L’accès aux cyber assurances deviendra exceptionnel

Un nombre croissant d’entreprises en viendront à la conclusion qu’elles ne sont pas cyber assurables. L’incapacité à matérialiser les changements demandés couplée à l’augmentation des tarifs des polices de cyber assurance feront que nombre d’entreprises ne seront pas couvertes. Certaines n’auront d’autre choix que de s’auto-assurer ou de souscrire des contrats de cyber assurance avec une couverture extrêmement limitée et une très longue liste d’exceptions.

6. Les objets connectés, goodies piratables et autres déchets électroniques

Des cybercriminels voudront certainement décoder les transmissions RF au moyen d’outils comme Flipper Zero pour perturber les événements qui feront usage d’accessoires connectés. Il faut s’attendre à des attaques visant à dénoncer l’accumulation inutile et délétère de déchets électroniques. Certains pays plus vigilants voudront interdire ces objets connectés pour les déchets électroniques qu’ils occasionnent.

7. La multiplication d’obligations de conformité conflictuelles

En 2023, de nouveaux conflits de conformité réglementaire devraient voir le jour. Malheureusement, certains organismes réglementaires rejettent les techniques modernes, ignorent les résultats de recherche en sécurité et préconisent des contrôles qui vont à l’encontre des recommandations récentes qui offrent pourtant un niveau de sécurité supérieur.

8. La mort du mot de passe personnel

Si la fin du mot de passe n’est pas encore arrivée, l’essor de l’authentification principale sans mot de passe va porter un coup fatal au mot de passe personnel. De plus en plus d’applications, en plus du système d’exploitation, vont utiliser des technologies avancées sans mot de passe, biométriques notamment. A l’avenir, la combinaison d’au moins deux méthodes de reconnaissance (ex. empreintes digitales, style de frappe, rythmes des mouvements du corps) permettra de collecter suffisamment d’information pour identifier assurément la personne.

9. L’interdiction de verser des rançons venant financer les cyber-terroristes

Pour protéger les entreprises des ransomwares et empêcher le financement des terroristes, les gouvernements du monde entier vont tester une nouvelle approche : interdire tout simplement le paiement de rançon aux auteurs d’une attaque de ransomware. Un projet de loi est en cours aux Etats-Unis. Les victimes auront encore plus de mal à récupérer l’accès à leurs actifs et à reprendre leur activité en cas d’attaque de ce type.

10. La fin du camouflage des pratiques de sécurité dans le cloud

Pour limiter les risques de sécurité liés au cloud, il sera demandé plus de transparence et de visibilité sur les opérations de sécurité des solutions SaaS, des fournisseurs cloud et de leurs services. La volonté d’une plus grande transparence de l’architecture, sur les fondations et même les vulnérabilités découvertes, devra aller plus loin que les certifications SOC et ISO et préconiser l’extension des publications CVE ou l’établissement d’un nouveau mécanisme de reporting qui indique ce qui est vulnérable et quand.

11. L’ingénierie sociale dans le Cloud

En 2023, les réseaux sociaux vont devenir un vecteur d’attaque prépondérant. Les attaques d’ingénierie sociale perpétrées dans le cloud à l’encontre d’employeurs et d’organisations vont davantage procéder de la puissance de persuasion des agresseurs que des outils mobilisés. Il suffit d’un simple profil fictif sur les réseaux sociaux pour tromper un employeur et obtenir un contrat ou se faire passer pour un fournisseur de services de confiance. Les entreprises ne devraient pas se fier aux seuls réseaux sociaux pour vérifier les identités.

12. Le nécessaire encadrement des identités non fédérées

On devrait assister à la multiplication des identités non fédérées pour fournir de nouveaux services et même peut-être des produits physiques. Un vrai cauchemar en perspective pour les besoins de contrôle et de gestion des accès car leur volume et leur champ d’action seront potentiellement infinis.

13. Convergence vers l’IT de systèmes OT plus connectés

Les vecteurs d’attaque de la technologie opérationnelle OT devraient s’inspirer d’exploits similaires visant les environnements informatiques. Les systèmes OT deviennent plus intelligents et connectés. Ils sont désormais équipés d’applications et de systèmes d’exploitation disponibles dans le commerce pour mener à bien des missions plus complexes. Leur approche de conception plus ouverte s’accompagne de possibles vulnérabilités exploitables. Il s’agit donc de faire converger les technologies OT et IT pour leur maintenance et mise à jour.

14. Les cas de compromission ne feront plus sensation

Les révélations publiques de piratage seront si fréquentes que le grand public en deviendra indifférent : il faudra que la tactique soit inédite ou que les dommages occasionnés soient particulièrement importants et dévastateurs pour susciter l’attention. A contrario, les entreprises attaquées qui ne réagiront pas comme il se doit en cas de compromission de leur sécurité seront sévèrement réprimandées et leur réputation s’en trouvera ternie.

Même non médiatisés, il faut donc s’attendre à vivre une année record en cas de compromissions de cybersécurité, du fait de la sophistication des agresseurs, mais aussi des changements majeurs à l’échelle internationale qui risquent bien de pénaliser les entreprises et leur capacité à prévenir un problème, le contenir ou le corriger. Nombre d’entreprises n’auront pas les reins assez solides pour faire face aux menaces liées à des facteurs macroéconomiques. Autrement dit, les coûts direct et indirects pour les entreprises victimes de ces attaques donneront eux aussi lieu à un record !