Cyberrisques (2023/1)

Régulièrement, les médias font état de cyberattaques réussies contre des sociétés établies. Ainsi, des cybercriminels ont récemment utilisé une faille de sécurité du logiciel de transfert de fichiers «MOVEit» pour extraire des données et faire ensuite chanter les entreprises. Pour de nombreux assujettis, la détection de telles attaques dites zero-day (faille inconnue jusqu’à présent, exploitée par des pirates) constitue un défi. Il n’est en effet pas possible de les identifier par des moyens traditionnels tels que des scanners de failles pour les combler ensuite. 

Les attaques par déni de service distribué (distributed denial of service, DDoS) restent aussi fréquentes (voir la figure «Répartition des types d’attaques sur la base des cybersignalements parvenus à la FINMA au cours des douze derniers mois»). Il s’agit d’attaques dans le cadre desquelles un grand nombre de demandes provoque la surcharge des systèmes (par ex. d’un site Internet). Des groupes revendiquant des motivations politiques ont récemment attaqué les sites Internet de l’administration fédérale et d’autres autorités de cette manière. Des établissements assujettis à la surveillance ont aussi été visés, mais sont parvenus à repousser les attaques. En comparaison avec les attaques DDoS de fin 2020, qui avaient provoqué des pannes et des indisponibilités majeures, les établissements étaient très bien préparés. La menace liée aux cyberattaques à caractère politique augmente néanmoins.

Les signalements de cyberattaques adressés par les assujettis à la FINMA confirment la tendance selon laquelle les petits établissements sont plus souvent attaqués (voir la figure «Nombre de signalements de cyberattaques par catégorie de surveillance»). Par ailleurs, les entreprises d’assurance (environ 30%) et les gestionnaires de fortune (environ 20%) sont désormais aussi davantage ciblés par les cyberattaques, en plus des banques. La tendance qui consiste à attaquer avec succès les entreprises par le biais de prestataires de services s’est aussi poursuivie (voir la figure «Vecteurs d’attaque»). Ainsi, des pirates ont compromis les données de plusieurs dizaines d’établissements en menant deux attaques au ransomware contre des prestataires de services. De telles attaques ne concernent pas nécessairement les données des clients, mais peuvent aussi toucher d’autres données considérées comme critiques par l’entreprise, par exemple sur les collaborateurs, des secrets commerciaux, des stratégies de placement, etc.

(Extraits du Monitorage des risques 2023)