Comment protéger son organisation face à la menace des logiciels malveillants ?

Les logiciels malveillants sont souvent utilisés par des cybercriminels pour infiltrer les systèmes d'information, ils peuvent servir à voler des données, espionner l'activité d'une organisation, prendre le contrôle d'équipements à distance, perturber le fonctionnement d'un réseau ou extorquer des fonds.

Dans ce contexte, il est essentiel de comprendre leur fonctionnement, de savoir reconnaître les signes d'une compromission et d'adopter les bonnes pratiques de sécurité. La sensibilisation des collaborateurs et la mise en œuvre de mesures de protection adaptées constituent des leviers essentiels pour réduire les risques et limiter l'impact d'une attaque.

Qu'est-ce qu'un malware, et quelles en sont les principales formes ?

Un malware (contraction de « malicious software », soit « logiciel malveillant ») désigne tout programme informatique conçu pour s'infiltrer dans un appareil numérique (ordinateur, smartphone, tablette) à l'insu de son utilisateur. Et ce dans le but de lui nuire, de lui voler des données, ou de permettre une prise de contrôle à distance.

Plusieurs familles de malwares concernent plus particulièrement la sécurité bancaire⁽¹⁾ :

• Les logiciels espions (spywares). Ils peuvent enregistrer les frappes au clavier, récupérer des captures d'écran, ou intercepter des SMS, y compris les codes de confirmation envoyés lors d'une opération bancaire.
• Les rançongiciels (ransomwares). Ils peuvent chiffrer les données d'un appareil voire le bloquer et exiger une rançon pour pour rétablir la situation. Bien que moins directement liés à la fraude bancaire, ils peuvent toucher des particuliers ou des professionnels stockant des documents sensibles, notamment sur des dispositifs de stockage.
• Malware bancaire

Comment ces codes malveillants s'infiltrent-ils dans l'entreprise ?

Les modes d'infection sont multiples. Ils évoluent au gré des techniques développées par les cybercriminels. Il est donc important de se tenir informé des pratiques recensées par les organismes dédiés à la lutte contre la cybercriminalité (comme l’ANSSI). Les principaux modes opératoires sont aujourd’hui les suivants :

• Les pièces jointes piégées. Envoyées par courriel, elles restent l'un des vecteurs les plus utilisés. Un fichier Word, Excel ou PDF, en apparence anodin (parfois maquillé en facture), peut dissimuler un code malveillant qui s'exécute à l'ouverture.
• Les liens frauduleux. Ils sont intégrés dans des emails de phishing. Leur objectif : rediriger l'utilisateur vers un site copiant l'interface d'un service légitime (banque, prestataire de paie, administration), afin de l'inciter à télécharger un fichier infecté ou à saisir ses identifiants.
• Les téléchargements non sécurisés, depuis des sites non officiels ou des plateformes de partage douteuses, constituent également une porte d'entrée fréquente. -
• Les supports amovibles infectés (clés USB, disques durs externes) restent également un vecteur de propagation, notamment lorsqu'ils sont partagés entre plusieurs postes de travail sans contrôle préalable.

Les failles de sécurité non corrigées, sur des logiciels ou systèmes d'exploitation obsolètes, offrent un accès direct aux attaquants, sans nécessiter d'action de l'utilisateur.

Quels signes doivent alerter vos équipes ?

Un appareil infecté par un malware ne présente pas toujours de symptôme visible. C'est d'ailleurs ce qui rend cette menace particulièrement insidieuse. Certains signaux peuvent néanmoins, sans certitude absolue, éveiller la vigilance :

• Un ralentissement inhabituel de l'appareil, une surchauffe anormale, ou une batterie qui se décharge plus rapidement qu'à l'accoutumée.
• Une alerte ou un dysfonctionnement de votre antivirus
• Des notifications de votre banque sur des opérations que vous n’avez pas initiées (demandes de connexion, opérations inhabituelles, changement de vos coordonnées téléphoniques, mail, ajout d’IBAN) que vous n'avez pas initiées ;
• Des applications qui s'ouvrent ou se ferment seules, ou un curseur de souris qui bouge sans intervention voire le téléphone qui s’éteint et / ou redémarre seul ;
• L'apparition de fenêtres publicitaires intempestives, de nouvelles icônes ou applications non installées volontairement ;
• Une modification inhabituelle de l'interface de connexion, l'apparition de faux écrans de mise à jour, de demandes répétées de saisie de vos identifiants bancaires ou d'écrans noirs empêchant toute interaction normale avec l'appareil ;
• Une demande inhabituelle d'autorisation d'accessibilité, notamment de la part d'une application qui n'en a normalement pas besoin ;
• Des e-mails envoyés depuis vos messageries sans que vous en soyez à l'origine ;

Pris isolément, chacun de ces signes peut avoir une explication anodine. Mais leur cumul, ou leur apparition soudaine, peut faire craindre une attaque logicielle.

Comment réagir en cas d'infection avérée ?

Face à un incident suspecté, plusieurs réflexes doivent être adoptés sans délai, le plus souvent en coordination avec la direction des systèmes d'information et la direction financière de l’entreprise.

• Isolez immédiatement les postes ou serveurs concernés, en les déconnectant du réseau, pour éviter toute propagation, et notamment ceux utilisés pour les opérations bancaires ou la gestion de la paie.
• Alertez les directions concernées (direction informatique, direction financière, direction générale), dès lors que des moyens de paiement ou des données personnelles (celles des salariés) ou professionnelles (celles des clients et/ou des fournisseurs) sont potentiellement compromises.
• Contactez votre banque dans les meilleurs délais, afin de faire opposition sur les moyens de paiement concernés, et de vérifier l'absence d'opérations frauduleuses en cours ou en attente de validation.
• Ne payez pas de rançon en cas de ransomware : cette démarche ne garantit pas la restitution des données, et alimente le modèle économique des cybercriminels.
• Conservez les preuves (captures d'écran, journaux de connexion, emails suspects), en vue d'un dépôt de plainte et d'une déclaration auprès de votre assureur.
• Signalez l'incident sur la plateforme 17Cyber, et sollicitez si besoin l'accompagnement d'un prestataire spécialisé référencé par Cybermalveillance.gouv.fr.
• Notifiez la CNIL⁽³⁾, dans un délai de 72 heures, si des données personnelles ont été compromises.