SANS FRAIS 1 877-777-6412

Le clonage de carte de crédit en ligne, est-ce possible? Parlez-en à Magecart!

Tout le monde a, au moins une fois, entendu l’histoire de quelqu’un qui s’est fait « cloner » sa carte de crédit. Souvent, les clonages des cartes de débit et de crédit proviennent d’une technique frauduleuse appelée « skimming »; un dispositif (skimmer) est ajouté par-dessus un terminal de paiement et celui-ci récupère toutes les informations de la carte que vous utilisez, incluant le PIN. Et s’il existait un procédé semblable en ligne? Serait-il possible d’ajouter un « skimmer » sur un site web de commerce électronique afin de récupérer les informations de carte de crédit à l’insu du consommateur et du commerçant?

Est-ce que les impacts peuvent être importants? Nous sommes d’avis que oui ; parlez-en à British Airways qui a subi cette attaque en 2018, faisant des centaines de milliers de victimes. En plus de la gestion de crise qu’ils ont dû faire, ils ont ensuite reçu une pénalité de 300 millions de dollars en juillet 2019 dans le cadre de l’application du Règlement général sur la protection des données (RGPD).

Avec l’aide de Nicolas, l’un de nos spécialistes, nous avons décidé de vous expliquer les enjeux de cette menace car elle nous concerne tous:

  • À titre de consommateur :

    Comprendre comment ce stratagème s’opère pourrait vous éviter de longues heures d’attente et de démarches avec votre institution financière, votre compagnie de carte de crédit et/ou le commerçant en ligne avec qui vous avez fait affaire.

  • À titre de spécialiste en TI ou de commerçant :

    Vous serez à même de comprendre ce stratagème qui affectera votre site de commerce électronique un jour ou l’autre sans même que vous vous en doutiez. Il sera important d’y être attentif afin d’éviter de subir des pertes directes qui affecteront votre marge bénéficiaire ou celle de votre employeur, soit « la ligne du bas » comme on dit souvent dans le domaine de l’entrepreneuriat.

Qu’est-ce que Magecart et qu’est-ce que cela permet?

La vulnérabilité Magecart tire son origine de la plateforme d’achat open-source PHP Magento (soit la combinaison de « Mage » de Magento et de « cart » pour « panier d’achat »). Magento est un module qui est utilisé par plus de 300 000 sites web afin de permettre aux commerçants de réaliser de la vente en ligne directement aux consommateurs. Acquise pour la modique somme de 1.68 Millard USD par Adobe en 2018, la plateforme aura de grands changements à faire sur la sécurisation de son code pour les années à venir à la suite des événements qui ont entaché sa réputation dans les dernières années. Ce problème n’est pas nouveau et existe depuis 2010. Il a seulement plus l’attention des fraudeurs actuellement. La logique est simple; s’ils trouvent une faille pour un module de paiement en ligne sur un seul site, il est possible que cette même vulnérabilité affecte des milliers d’autres sites également!

Quel est le problème exactement?

Le problème? C’est que le Module Magento a déjà eu de nombreuses vulnérabilités dans le passé et en aura fort probablement d’autres dans le futur. À tire d’exemple, l’une des vulnérabilités découvertes affecte la version 2.3.2 de Magento et permet à un attaquant distant d’ajouter du code informatique malicieux dans le site web attaqué sans même à avoir eu à s’authentifier! On peut alors facilement imaginer des pirates tenter de retrouver tous les sites web utilisant cette version de Magento pour y injecter du code malicieux dans le but d’y récupérer les informations de carte de crédit de toutes les transactions réalisées sur le site de l’entreprise qui en sera victime. Des chercheurs ont déjà trouvé que des pirates avaient réussi à infecter avec du code JavaScript plus de 960 sites web vulnérables en moins de 24 heures.

D’ailleurs, à cet effet, RiskIQ nous rapporte via bleepingcomputer.com, une recrudescence des instances Magecart vulnérables, ce qui rend tous ces sites des cibles certaines de ce type d’attaque. Ces attaques ne sont pas des incidents isolés; elles ont déjà fait des milliers de victimes; c’est seulement que la nature de ces attaques n’était pas définie par un concept clair auparavant.

Bleepingcomputer.com ; RiskIQ ; Observation du nombre de sites vulnérables utilisant une version désuète de Magento
sansec.io; Willem de Groot ; 4.2% of all Magento stores globally are currently leaking payment and customer data

Est-ce que toutes les plateformes de paiement en ligne sont à risque?

La réponse est oui et non. Comme vous le savez, le risque zéro n’existe pas. Cependant, il y a tout de même des endroits où l’on risque moins d’être victime en tant que consommateur. Vous êtes généralement protégé lorsque vous achetez sur les grands vendeurs comme Amazon puisqu’ils utilisent une plateforme maison peaufinée avec plus de 20 années d’existence et révisée par de nombreux spécialistes en sécurité – mais qui sait?

Ce qu’il faut bien comprendre, c’est que l’effet Magecart s’étend à plus grand que Magento, comme le rapporte Yonathan Klijnsma de RiskIQ lors de son entrevue avec Darknet Diaries. Les chercheurs de RiskIQ sont en mode écoute sur toutes les plateformes d’achats pour prévenir et identifier à l’avance les prochaines vagues d’attaque de type Magecart.

À titre de commerçant, si vous utilisez des versions non à jour de Magento ou encore une vieille version d’un module de commerce en ligne dans Drupal ou même OpenCart, vous serez bientôt au courant des risques et devrez mettre à jour votre plateforme dans l’urgence! On constate donc que le gros du problème, c’est que d’autres plateformes peuvent également être à risque.

Savez-vous si votre système est à risque? Vous ne voulez pas qu’il vous arrive la même chose qu’à Ticketmaster? Sinon, dépêchez-vous à poser la question à des spécialistes en cybersécurité!

Qu’est-ce que l’on peut faire exactement pour se prémunir de Magecart?

Voici nos recommandations sur le sujet si vous êtes un consommateur:

  • Achetez toujours d’une plateforme reconnue: les sites web qui se spécialisent dans une seule catégorie d’objet et qui n’ont aucune notoriété sont à éviter.
  • Vérifiez si le site d’achat est fiable: 30 secondes de vérification sur Google vous éviteront le pire (ex : nomdusiteweb + fraude)
  • Activez la protection d’achat en ligne: avec votre institution financière ou service de carte de crédit, il est parfois possible de mettre une limite pour les achats en ligne exclusivement ce qui permet d’éviter le pire. Certaines compagnies permettent même d’activer/désactiver votre carte temporairement via un portail web.
  • Ne vous fiez plus aux cadenas dans l’adressage web: bien que ce fut une réalité il y a quelques années, il n’est maintenant plus possible de se fier au petit cadenas à gauche de votre adresse de navigation. Ceci est dû à la plus grande disponibilité de fournisseurs de certificats cryptés qui, avec la loi du marché, a eu raison de sa qualité et de sa fiabilité.
  • Faites vos paiements via une plateforme intermédiaire fiable: PayPal, Stripe, Square, Amazon Pay, pour n’en nommer que quelques-uns.

Voici nos recommandations sur le sujet si vous êtes un spécialiste en TI responsable d’un site transactionnel ou si vous êtes un commerçant:

  • Comme nous l’avons déjà vu dans un autre de nos articles, il est important de réaliser une veille de nos vulnérabilités et de mettre à jour nos systèmes régulièrement (notamment notre site web). Donc il est important de savoir quels sont les modules de commerce électronique utilisés sur son site web et faire une veille quotidienne des nouvelles vulnérabilités afin de mettre à jour nos systèmes le plus rapidement possible.
  • Vous ne gérez pas vous-même votre site et vous avez délégué sa gestion à un tiers? Vous en êtes quand même responsable! À ce moment, vous devez demander des comptes à votre fournisseur, prévoir dans le contrat d’hébergement qu’il devra faire cette veille régulièrement, etc. Il faudra ajouter des clauses contractuelles avec des pénalités dans l’éventualité où il arriverait quelque chose.
  • Réutiliser des modules de paiement de plateforme fiable; dépendamment de la grosseur de votre site Internet et de sa complexité, il pourrait être possible de réutiliser des modules de paiement tels que Paypal, Stripe et Square pour ne nommer que ceux-là. L’utilisation de ces modules est susceptible de diminuer les chances d’avoir un problème pour ce type de fraude.
  • Validation de l’intégrité de votre site web: l’un des moyens est d’avoir des mécanismes de sécurité qui valideront l’intégrité du module de paiement de votre site web. Ainsi, si une vulnérabilité affecte votre site et qu’une personne fait des modifications sur celui-ci, un mécanisme l’empêchera ou vous avertira qu’un changement non autorisé a eu lieu.
  • Faites valider la sécurité de votre site web par un tiers indépendant: Bien sûr, avoir un avis de la part d’un expert indépendant sera toujours de mise. On connaît justement une bonne entreprise pour cela 😉

Chez Cyberswat, nous sommes en mesure de faire des tests d’intrusion sur votre site web, de faire une surveillance continue de votre site web pendant toute l’année ou encore de vous donner les outils nécessaires pour mettre en place l’ensemble des bonnes pratiques de sécurisation pour éviter ce fléau à en devenir! Ne pas hésiter à nous contacter pour en savoir davantage.

Cyberswat et Extra Formation s’allient pour promouvoir la cybersécurité

Groupe Cyberswat est très fier de s’associer à l’organisme Extra Formation du Cegep La Pocatière. Ensemble, nous proposons des formations professionnelles pour sensibiliser et former tous les corps de métier d’une entreprise aux enjeux de la cybersécurité.

Un simple clic sur le lien envoyé dans un courriel frauduleux et c’est votre entreprise au complet qui peut se retrouver paralysée! En effet, même si tout le monde connait le principe du hameçonnage, la majorité des entreprises victimes de rançongiciels le sont car un employé a cliqué là où il ne fallait pas. Et ce n’est qu’une technique parmi tant d’autres : fraude du président, vol de mots de passe, clé USB infectée, etc. Les pirates ont accès à une multitude de moyens pour vous voler de l’argent ou des informations sensibles. L’humain est encore aujourd’hui l’une des principales failles de sécurité pour une entreprise.

Nous voulons vous aider à faire de vos employés un rempart supplémentaire contre les cyberattaques.

Extra formation a compris que la cybersécurité est devenue un enjeu majeur en entreprise. Ils ont donc décidé d’en faire une spécialité majeure dans leur offre de formations. Outre les 3 cours de 45 heures de niveau collégial qui serviront de tremplin pour le futur AEC du Cégep La Pocatière, ils veulent également sensibiliser tous les professionnels et former les gestionnaires à ces enjeux. Chez Groupe Cyberswat, nous sommes aussi convaincus que la formation et la sensibilisation de tous les employés sont le premier rempart à un incident de sécurité informatique. En effet, nous offrons depuis le début des ateliers de sensibilisation ainsi que des conférences en cybersécurité. Nous avons donc vu ce partenariat comme une belle opportunité de continuer à éveiller les consciences sur ces enjeux encore trop sous-estimés.

Saviez-vous que 2/3 des atteintes à la sécurité informatique ont pour origine des négligences ou actes de malveillance de salariés?*

* Willis Towers Watson

Plus concrètement, pourquoi suivre une formation en cybersécurité?

  • Apprendre quelles sont les menaces pour mieux les identifier et les éviter
  • Découvrir des techniques faciles à mettre en place pour se protéger au quotidien
  • Comprendre les impacts que peut avoir un incident de sécurité sur son entreprise et/ou sa vie privée
  • Se préparer à réagir face à un incident de sécurité et minimiser les conséquences
  • Obtenir des conseils et outils pour sensibiliser ses collaborateurs à la cybersécurité
l'affaires de tous
La cybersécurité concerne tous les corps de métier

Comme chaque fonction dans l’entreprise implique des enjeux de cybersécurité différents, nous proposons trois formations pour répondre à chaque situation:

Une initiation de 8 webinaires destinée à tout le monde. Cette formation permet de comprendre les grandes lignes de la cybersécurité pour sa vie professionnelle, mais aussi privée. En plus, cette formation est subventionnée par Emploi Québec et ne coûte que 25$ si vous répondez aux critères d’éligibilité! Profitez-en!

« Un grand pouvoir implique de grandes responsabilités »: on vous propose une formule adaptée aux enjeux de cybersécurité que vous devez connaître. On vous aide à vous préparer pour gérer la sécurité de votre entreprise.

On pousse un peu plus dans le volet technique avec vous pour vous donner des moyens concrets pour protéger votre entreprise.

Oublier la cybersécurité, c’est « rouler à 200 km/h à moto sans casque »

Guillaume Poupard, patron de l’agence française de cyberdéfense (Anssi)

N’hésitez plus et inscrivez-vous à la formation qui vous correspond!

Je veux en savoir plus

EXTRA Formation du Cégep de La Pocatière est un leader en formation à distance dite en mode hybride permettant de se perfectionner ou d’étudier à partir de chez soi ou de son lieu de travail. Depuis 2015, Extra Formation a développé et mis en œuvre, avec la vision «Se former pour se protéger», une expertise unique au Québec avec des formations en «stratégies et gestion en cybersécurité».  En partenariat avec une compagnie experte européenne: IT‑OPSLINK, spécialisée dans la formation en cybersécurité des chefs d’entreprises et d’organismes publics, Extra Formation a ouvert son propre Centre de simulation en cybersécurité à La Pocatière. En 2019, Extra Formation s’associe à la firme québécoise réputée pour son expertise en cybersécurité: Le Groupe Cyberswat.

Quels sont les risques liés à l’automatisation du commerce de détail?

risques automatisation secteur manufacturier

Il y a quelques mois, la grande chaîne de magasins Simons a annoncé un investissement majeur de 215 millions de dollars dans un centre multiservice de traitement des commandes à la fine pointe de la technologie numérique.

Ce nouveau centre de traitement devrait permettre à Simons d’accroître sa productivité et sa capacité de traitement des commandes, tant pour ses magasins qui ont pignon sur rue qu’en ligne. Pour ce faire, un haut niveau d’automatisation est nécessaire et implique des activités robotisées et informatisées. Le magasin québécois sera en mesure de concurrencer les chaînes internationales comme Gap, Amazon ou Walmart qui bénéficient de ce genre d’automatisation depuis déjà des années.

En contrepartie, Simons deviendra plus dépendant de la technologie. Évidemment, les systèmes informatiques permettent de gagner du temps et de l’argent, mais ils exposent également à plus de risques.

Les risques d’un centre de traitement automatisé et connecté

De nos jours, de plus en plus de services sont accessibles en permanence depuis internet, et la moindre défaillance d’une composante du système d’information peut être lourde de conséquences concrètes : perte de productivité, perte de clients, dégradation de l’image de l’entreprise…

Par exemple, selon le CLUSIF (Club de la sécurité des systèmes d’information français), seulement 1 % des entreprises considèrent que leur dépendance à l’égard de leur système d’information est faible ; pour huit entreprises sur dix, cette dépendance est considérée comme forte. Ce genre de statistiques n’existent pas encore pour le Québec, mais avec la modernisation des entreprises, ils ne doivent pas beaucoup différer!

Les cyber risques frappent désormais le noyau des opérations commerciales de toute entreprise connectée, nonobstant la taille et l’étendue de ses activités commerciales.

Peu importe le nombre d’appareils connectés, l’automatisation des processus commerciaux signifie que les éléments cruciaux au bon roulement de l’entreprise sont vulnérables aux interruptions informatiques.

La disponibilité : un enjeu crucial du secteur manufacturier

En ce qui concerne les risques de cybersécurité touchant le secteur manufacturier, celui de la disponibilité est probablement le plus important.

Pourquoi? D’abord, le nombre de parties prenantes qui interviennent dans la gestion de la chaîne logistique est très grand et tous seraient impactés par une indisponibilité (l’entreprise, ses fournisseurs, ses intermédiaires, ses transporteurs, ses clients, les clients de ses clients…).

Le client final s’attend de plus en plus à une qualité de service hors pair. Une indisponibilité, même mineure, peut se traduire par des déceptions de leur part et donc un lien direct avec le chiffre d’affaires, puisqu’ils cesseront tout simplement d’acheter auprès du magasin fautif.

Enfin, plus la logistique même du centre de traitement repose sur des applications, plus les processus sont exécutés en temps réel et une légère défaillance peut tout faire basculer.

Tout équipement électronique peut constituer un point d’entrée pour un pirate informatique

La disponibilité n’est pas le seul risque à surveiller dans le cas d’un centre de traitement ultra-connecté. L’intégrité est à surveiller de près. Imaginez… un pirate s’introduit dans la chaîne logistique et change les commandes ou détruit les données clients. Ou une erreur de commande inverse les processus.  Des scénarios qui peuvent être plus fréquents qu’on pense!

Il arrive que les pirates ne soient pas simplement à l’affût de gains financiers. Ils cherchent alors à perturber et à se faire remarquer. Un centre de traitement d’un grand magasin est une proie logique pour eux.

Une gestion de risques personnalisée

Les nouvelles technologies sont essentielles au fonctionnement de votre entreprise. Elles sont nécessaires pour que les entreprises du Québec deviennent concurrentielles sur le marché. Par contre, pour que tout se passe sans anicroche, il faut simplement savoir intégrer tous les nouveaux composants dans un plan global de gestion des risques.

 

CyberSwat offre un service de diagnostic de sécurité qui vous permet d’identifier les situations vous mettant à risque. Chaque entreprise est unique et il est important de savoir protéger les composants les plus importants de votre organisation.

Profitez dès aujourd’hui de 100$ de rabais sur votre diagnostic en écrivant le code promotionnel Diag2018 au moment de votre achat!

 

 

Les 5 articles les plus populaires en cybersécurité à lire cet été

Comme les années précédentes, nous allons profiter de la période estivale pour faire une pause d’articles de blogue afin de vous revenir en force en septembre.

Chez CyberSwat, nous travaillons fort pour toujours mieux vous aider à protéger votre entreprise contre les menaces grandissantes sur le marché et l’été est un moment essentiel pour nous ressourcer afin de préparer les mois à venir.

De votre côté, avez-vous des vacances cette année? Dans plusieurs organisations, l’été est plus tranquille au niveau des opérations et les employés peuvent alors en profiter pour parfaire leurs connaissances.

C’est pour cela que nous vous présentons les 5 articles ayant eu le plus de succès depuis l’été dernier. Si vous n’avez pas été en mesure de les lire, c’est le moment de vous rattraper! Ces articles traitent tous des défis cruciaux que vivent les entreprises de nos jours en cybersécurité.

Bonne lecture!

Quelques suggestions de lecture pour se tenir au courant des enjeux actuels de cybersécurité

 

1. Témoignage : La fois où je me suis fait pirater et que ma vie a basculé

Avez-vous déjà vécu un piratage informatique?  Est-ce que vous étiez personnellement visé ou bien est-ce que l’entreprise dans laquelle vous œuvriez était directement visée? Cette année, notre président, Jean-Philippe Racine a décidé de partager avec vous une histoire qui a eu un grand impact sur la personne qu’il est devenu aujourd’hui. Son article a été le plus consulté et le plus partagé du blogue de CyberSwat.

Lire la suite.

 

2. 11 raisons de venir travailler en cybersécurité chez CyberSwat

Notre deuxième article le plus populaire a été au sujet du recrutement.

Le marché de la sécurité informatique est en pleine croissance. Chaque mois, une nouvelle cyberattaque de grande ampleur fait les manchettes. C’est énorme. Or, ce n’est pas tout. Chaque jour, dans l’ombre, de nombreuses attaques sont perpétuées sur de plus petites entreprises sans attirer l’attention des médias. Ces entreprises se retrouvent dans des situations très critiques, faute d’avoir pu se protéger adéquatement. Les entreprises ont besoin d’aide. Les risques de sécurité évoluent à une vitesse fulgurante et les dirigeants ne sont pas outillés pour pouvoir suivre cette évolution.

Afin d’aider toutes ces entreprises, nous sommes entrés dans une phase intensive de recrutement.

Découvrir les 11 raisons de venir travailler chez CyberSwat.

 

3.  Pourquoi le RGPD (ou GDPR) me concerne en tant qu’entreprise canadienne ?

Au printemps 2018, le Règlement Général sur la Protection des Données a beaucoup fait parler de lui et sans surprise, l’article que nous avons rédigé en collaboration avec Mélanie Gagnon de MGSI, se retrouve dans notre top 3.

En apprendre plus.

 

4.  Pourquoi les PME sont-elles de plus en plus victimes de cyberattaques?

Les petites et moyennes entreprises (PME) sont de plus en plus la cible de cyberattaques. Selon Symantec, 54% des escroqueries par courriel visent les PME! Mais pourquoi? Martin Samson, notre directeur conformité a voulu en savoir un peu plus sur le sujet et a mené sa petite enquête.

Lire l’article.

 

5.  À quoi servent les assurances en cyber-risques et comment cela fonctionne

Finalement, un des sujets de l’heure est sans hésitation la question des assurances en cyber-risques. Cette année, nous avons échangé avec Marie-Andrée Labrecque, courtière en assurance commerciale chez Martel&Martel. Grâce à elle, nous avons pu comprendre un peu mieux à quoi sert une assurance en cybersécurité, quels types d’entreprises sont visées ou encore, quelles sont les protections disponibles.

Lire l’entrevue.

 

Bonnes vacances!

L’importance de la gestion des vulnérabilités et comment établir un processus bien défini

processus gestion des vulnérabilités scans

 

Ces derniers temps, sur notre blogue, nous avons surtout écrit au sujet de la gouvernance de la sécurité, en parlant de stratégie, sensibilisation, planification, choix d’assurance…

Nous avons voulu commencer une série d’articles plus tournée vers la sécurité opérationnelle et qui abordera la cybersécurité d’un point de vue plus pratique, avec une touche technique.

En effet, si par exemple, vous êtes responsable de serveurs et d’équipements informatiques, il est indispensable que vous en sachiez plus sur la sécurité opérationnelle.

Pour amorcer cette série, nous avons laissé la parole à Yannick Vollenberg, conseiller en sécurité en mandat pour CyberSwat et diplômé de Polytechnique Montréal en cybersécurité des réseaux informatiques.

Il a voulu nous parler de la gestion des vulnérabilités dans les opérations informatiques.

Yannick Vollenberg processus de gestion des vulnérabilités

 

 

Les vulnérabilités, ainsi que leur exploitation, sont encore aujourd’hui la cause profonde de la plupart des atteintes à la sécurité des données personnelles.  Dans la plupart des cas, la majorité des hackers n’ont pas recours à des méthodes très complexes pour arriver à leurs fins. Ils misent plutôt sur des vulnérabilités connues. Or, le nombre des vulnérabilités découvertes mensuellement est en général de plus de 30 failles par logiciel!

D’emblée, Yannick a d’ailleurs rappelé cette citation de Bruce Schneier : « La sécurité est un processus, pas un produit ».

En effet, pour bien gérer ces vulnérabilités, il ne faut pas les traiter ponctuellement; il faut mettre en place un véritable processus.  Voici donc ce que Yannick vous conseille à ce sujet.

 

Tout d’abord, qu’est-ce qu’une vulnérabilité?

Dans le domaine de la sécurité de l’information, une vulnérabilité est une faille dans un système qui permet à une personne malveillante (menace) de l’exploiter et ainsi porter atteinte à la confidentialité, l’intégrité ou encore la disponibilité d’un système informatique (aussi appelé actif).

Quel est l’objectif de l’analyse des vulnérabilités?

L’objectif de l’analyse des vulnérabilités est de les limiter l’exposition aux risques afin de mieux les maîtriser. Nous pouvons représenter le processus d’analyse à l’aide du diagramme ci-dessous.

 

diagramme analyse processus gestion des vulnérabilités

Comment est-il possible de gérer une vulnérabilité?

Certaines bonnes pratiques peuvent être appliquées pour gérer ses vulnérabilités. Avant toute chose, il faut mener une analyse constante.

La mise en place d’un processus dédié à la gestion des vulnérabilités est importante et celui-ci repose principalement sur :

  1. la veille des vulnérabilités;
  2. les scans de vulnérabilités;
  3. les campagnes de mises à jour.

 

De plus, il est important de suivre ces différentes phases:

  • La mise en place d’un processus d’analyse basé sur les besoins d’affaires de l’entreprise.
  • L’identification des actifs ainsi que les différentes applications utilisées (inventaire).
  • La classification de vos actifs par ordre d’importance, du plus critique au moins critique.
  • Valider si notre entreprise doit se conformer à des réglementations particulières pouvant avoir un impact sur la façon et la fréquence d’analyse des vulnérabilités (ex. : PCI DSS, RGPD, etc.).
  • Bien sûr, il faut également avoir en place des mesures de sécurité comme Pare-feu, IDS, IPS, WAF, SoC, politiques, etc.

 

La veille des vulnérabilités

Une veille des vulnérabilités repose sur les différents bulletins des éditeurs et solutions centralisées de gestion des vulnérabilités. Certaines plateformes publiques centralisent ces bulletins. Par exemple :

  • La Sécurité publique du Canada
  • Le CERT-Fr (Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques)
  • Le CERT-US (United state computer emergency readiness team)
  • Le ZDI ( Zero Day Initative)
  • Le CERT/AQ (Équipe de réponse aux incidents de sécurité de l’information de l’administration québécoise.)

 

Une autre approche est celle de la CAPEC (Common Attack Pattern Enumeration and Classification) qui énumère :

  • Les mécanismes de cyber attaques possibles
  • Les domaines de cyber attaques possibles

 

Suite à la publication d’un bulletin de sécurité, il est nécessaire de :

  • valider si la vulnérabilité concerne une solution utilisée par l’organisation.
  • valider si l’actif touché par cette vulnérabilité est exposé sur Internet, depuis l’intranet, etc.
  • valider la sévérité de cette vulnérabilité, c’est-à-dire de déterminer si celle-ci est exploitable à distance ou s’il est nécessaire d’être physiquement devant l’ordinateur par exemple.
  • rédiger une fiche de vulnérabilité telle que définie dans le processus interne de l’organisation.
  • planifier la mise en place du correctif. Si la mise à jour n’est pas possible dans un délai raisonnable en fonction de sa sévérité, il faudra mettre en place des solutions de contournement afin de réduire la surface d’attaque en attendant de pouvoir appliquer le correctif.

 

Les scans de vulnérabilités

En plus de faire la veille des vulnérabilités, il est recommandé d’avoir une solution de détection des vulnérabilités en entreprise. Il en existe plusieurs telles que Qualys, Nessus, Nexpose, QRadar, etc. Ce sont en règle générale des solutions de détection qui reposent sur un outil capable de balayer/scanner tout type d’application et d’équipement possédant une adresse IP et d’en énumérer les vulnérabilités si celles-ci sont connues. Si vous n’avez pas ce type d’outil, des entreprises comme CyberSwat peuvent vous aider à réaliser des tests de ce genre sur votre infrastructure périodiquement.

Contrairement au service de veille qui vous communique tout type de vulnérabilité, le scanneur détermine qu’elles sont les vulnérabilités réellement présentes dans votre environnement.

Idéalement, il faut procéder à un scan de vulnérabilité sur chaque nouvel actif informatique installé sur le réseau de l’entreprise avant sa mise en production. Il coûte généralement moins cher de procéder à la correction des systèmes  avant la mise en production.

 

Les campagnes de mises à jour

Avant de parler des campagnes de mises à jour plus en détail, il importe de s’entretenir d’abord sur les enjeux liés à la disponibilité et des périodes de maintenance des environnements informatiques. Logiquement, toute organisation utilise la notion d’un taux de disponibilité qui est souvent mesuré en pourcentage; par exemple 99 %.

Dans notre exemple, ce pourcentage indique que l’entreprise est en mesure de tolérer une indisponibilité non planifiée du système informatique de 3.65 jours par année. En plus de l’identification de ce besoin de disponibilité, il est habituel de réserver des périodes de maintenance à des moments moins achalandés, notamment pour réaliser les mises à jour des systèmes et la mise en place des correctifs. Avoir des périodes de maintenances bien établies et en cohérence avec les besoins d’affaires de l’organisation aidera grandement un déploiement efficace des correctifs de sécurité.

Lors du déploiement d’un correctif, il faut également que l’organisation ait des lignes directrices et les principes à respecter en fonction de la sensibilité de l’actif et de la criticité de la vulnérabilité.

Ainsi, une vulnérabilité critique pouvant être exploitée à distance par une personne sur Internet devrait être corrigée dans de très court délai, amenant souvent à réaliser une maintenance d’urgence. D’un autre côté, une vulnérabilité de criticité « moyenne » et pouvant être exploité uniquement dans les bureaux de l’organisation pourrait être traitée uniquement lors d’une plage de maintenance planifiée, par exemple, tous les troisièmes mardis soir du mois.

 

Mot de la fin : être accompagné pour réussir son analyse de vulnérabilités

Au quotidien, le mandat que j’occupe actuellement au sein d’un organisme gouvernemental m’amène régulièrement à traiter différentes vulnérabilités telles que présentées dans cet article.

 

Mon expertise ainsi que mon expérience me permettent  de traiter ces vulnérabilités dans un temps raisonnable. Ce traitement est efficace grâce à un processus de gestion des risques bien défini et efficace. Toute organisation détenant des systèmes informatiques doit réaliser l’analyse et la gestion de ses vulnérabilités, que celle-ci soit réalisée en interne, ou bien donnée à un tiers.

 

Si vous avez des questions sur le sujet ou si vous avez d’autres méthodes que vous utilisez et que vous désireriez partager avec nous, n’hésitez pas à nous contacter!

Vous trouvez ça compliqué? N’ayez crainte! CyberSwat peut vous accompagner à évaluer la criticité de vos vulnérabilités et à mettre en place des méthodes/processus pour les gérer dans votre entreprise.

 

À quoi servent les assurances en cyber-risques et comment cela fonctionne

assurance en cyber-risques

Êtes-vous dépendant de la technologie dans votre travail de tous les jours? Comme la plupart des chefs d’entreprise et entrepreneurs, j’imagine bien que oui. On ne s’en rend pas forcément toujours compte, mais simplement avec les courriels, les médias sociaux ou encore les documents sur un serveur en ligne, les entreprises ont toutes besoin de la technologie pour avancer quotidiennement. Lorsqu’il est question de ventes en ligne et de sites Web transactionnels, c’est encore plus vrai!

Que se passe-t-il lorsque cette technologie est paralysée à cause d’un incident de sécurité? Comment s’en relever?

Heureusement, il existe depuis quelques années des assurances en cyber-risques.  Ces assurances viennent compléter une saine gestion des incidents.

L’année dernière, nous avons eu la chance de rencontrer Anne Martel, gestionnaire de risque, courtière en assurance et coprésidente de Martel&Martel, cabinet spécialisé auprès des PME. Nous lui avions demandé ce qu’elle pensait des protections en cyber-risques, et comment elle envisageait l’avenir de ce domaine.

Cette année, nous avons eu envie d’aller plus loin sur le sujet, et de comprendre un peu mieux à quoi sert une assurance en cybersécurité, quels types d’entreprises sont visées ou encore, quelles sont les protections disponibles.

Cette fois-ci, nous avons échangé avec Marie-Andrée Labrecque, courtière en assurance commerciale chez Martel&Martel.

Assurances en cyber-risques courtière Marie-Andree-Labrecque

Voici donc les réponses à nos questions.

Que pensez-vous des assurances en cyber-risques? Pourquoi est-ce important pour une entreprise de nos jours?

Les assurances en cyber-risques sont un phénomène très nouveau. La technologie a tellement avancé, les assurances sont devenues essentielles de nos jours. Ça rejoint tout le monde. Personne n’est à l’abri des cyberattaques, car par exemple, tout le monde possède une page de média social comme Facebook ou LinkedIn ou encore une boîte de courriels, et c’est une porte ouverte aux attaquants.

Par contre, c’est aussi un risque intangible. Les gens n’en voient pas encore l’importance. C’est difficile de leur faire comprendre le danger. Ce n’est pas comme un dégât d’eau ou un incendie et ça ne saute pas aux yeux.

Jusqu’à présent, quel type d’entreprise a dit oui à ce genre d’assurances?

Une grande variété d’entreprises ont souscrit à cette assurance dans les derniers mois. Nous avons eu, par exemple, un concessionnaire automobile ou encore un herboriste-horticulteur. Un magasin de chaussures pour enfants a aussi eu besoin d’une assurance, car ils refont leur site Web en y ajoutant le cybercommerce (e-commerce).

Qu’est-ce qui est couvert exactement par les assurances?

Par exemple, lorsque votre site Web est indisponible pendant 48h suite à une attaque et que vos ventes sont paralysées (dans le cas d’un cybercommerce), l’assurance couvre ce que vous avez perdu en revenus pendant ce laps de temps.

Lors d’une réclamation, un expert en sinistre va déterminer le revenu que vous faites généralement pendant 48h et valider votre demande de remboursement.

De plus, les assurances peuvent couvrir plusieurs autres cas de figure :

  • Certains frais si l’entreprise est touchée par un rançongiciel
  • Frais juridiques pour d’éventuelles poursuites après le piratage
  • Frais liés à l’utilisation d’une firme de communication pour gérer les médias suite à un piratage informatique
  • Frais liés à la mise en place d’un programme de protection contre le vol d’identité

Quelles sont les raisons que vous donnent généralement les clients pour refuser une assurance cybersécurité?

La plupart vont nous répondre qu’ils sont à l’abri de tout danger, car leur système informatique est bien géré à l’interne. Ils estiment que tout est maîtrisé, car ils font confiance à leur technicien en informatique par exemple.

Cependant, en général, ce technicien n’est pas spécialisé en cybersécurité. Il ne connaît pas toujours l’ampleur des risques. Il mettra souvent en place que le minimum des protections informatiques.

De plus, ce n’est pas parce que tout est bien géré à l’interne que les risques externes ne sont pas bien présents! Les attaques sont de plus en plus complexes et déroutent des entreprises qui pensaient être bien protégées.

Les entrepreneurs ne sont pas toujours conscients du risque réel, pensant trop souvent que ça ne peut qu’arriver aux autres ou que c’est marginal. La réalité est que ça survient souvent, et que ça peut arriver à tout le monde. Personne n’est à l’abri des cyberattaques.

Quelles sont les assurances en cyber-risques proposées actuellement sur le marché?

Pour l’instant, notamment deux assureurs offrent un produit en cybersécurité au Québec : Encon et Intact. Intact commence avec une protection de 25 000$, visant surtout les commerces de détail. Encon propose une assurance plus spécialisée, appelée Cyberpro, qui va de 250 000$ à 5 millions $ de protection. Cette assurance est bonne pour les compagnies spécialisées en technologie de l’information et qui gèrent des données pour des clients par exemple.  La protection Cyberpro est également offerte aux PME, par exemple, les concessionnaires automobiles, magasins de détail, etc.  C’est une police qui peut être offerte seule sans avoir la police de responsabilité civile générale ou autre.

D’autres assurances en proposent également :  Aviva, La Souveraine, Beazley, Travelers ou Northbirdge.

Un bon gestionnaire de risque et courtier en assurance fera une évaluation spécifique à votre réalité d’entreprise et vous permettra d’opter pour le produit d’assurance le plus adéquat pour vous. Par ailleurs, afin de sélectionner une protection adaptée à votre réalité, il est important de calculer la valeur réelle de vos actifs.

L’authentification en deux étapes : un essentiel pour protéger votre entreprise

l’authentification en deux étapes mot de passe

En septembre dernier, une des plus grandes firmes de comptables et services-conseils du monde, Deloitte, a découvert qu’elle avait été la cible d’une cyberattaque. Les informations confidentielles de nombreux clients ont été potentiellement volées par les hackers. Certaines de ces données pourraient avoir un impact important sur la sécurité des clients.

Comment est-ce possible? Les pirates ont pu avoir un accès administrateur (et donc un accès total) en accédant au système comprenant le service de messagerie. Le compte administrateur n’était protégé que par un mot de passe unique.

Une fois le mot de passe deviné, il a été facile pour les hackers d’accéder aux informations voulues.

 

Ainsi, un mot de passe n’est plus suffisant pour protéger des informations sensibles.

 

Malgré sa présence encore écrasante sur le Web, le mot de passe en tant que méthode d’authentification n’est plus adapté.

Les gens utilisent de nombreux comptes chaque jour, que ce soit pour usage personnel ou professionnel, et la paresse ou le manque d’imagination les poussent souvent à réutiliser le même mot de passe un peu partout. Ils sont également amenés à utiliser un mot de passe faible.

 

L’authentification à deux facteurs pour renforcer la protection d’un mot de passe faible

Pour contrer la faiblesse des mots de passe, la pratique la plus efficace est la double authentification.

La double authentification est aussi appelée authentification en deux étapes ou authentification à deux facteurs.

 

Le principe de l’authentification en deux étapes est simple, au lieu de se reposer uniquement sur une donnée (le mot de passe), la connexion à un site Web se repose sur deux facteurs : le mot de passe en premier lieu, puis un code unique et temporaire généré ailleurs (sur un téléphone cellulaire, Google Authenticator, message envoyé par texto, reconnaissance biométrique…).

En vous appuyant ainsi sur une donnée que vous connaissez (le mot de passe) plus un objet en votre possession (très souvent le téléphone), vous réduisez drastiquement la possibilité de vous faire voler votre compte.

 

Il faut noter par contre que la méthode du message envoyé par texto n’est pas optimale, car le message peut être intercepté par un pirate. Il est préférable d’utiliser Google Authenticator.

 

Si vous êtes piraté par des personnes ayant eu accès à votre mot de passe, elles ne pourront pas pénétrer dans votre compte sans connaître cet élément supplémentaire. Dans le cas de Deloitte, cela aurait été très bénéfique!

 

C’est aussi très utile lorsqu’on se rend compte que le mot de passe le plus utilisé par les gens est encore 123456 ! Un tel mot de passe de ce genre peut être deviné en seulement quelques secondes par un logiciel.

 

Utiliser l’authentification en deux étapes dans la vie quotidienne : à quoi ça ressemble

La plupart des services en ligne (Google, Microsoft, Apple…) permettent maintenant de rendre obligatoire cette authentification à deux facteurs. Souvent, vous pouvez demander que le deuxième code ne soit obligatoire que quand vous vous connectez depuis un appareil non habituel. Cela devient alors moins exigeant au quotidien tout en vous protégeant en cas d’accès frauduleux.

 

De plus, il est recommandé de mettre en place une authentification en deux étapes pour l’accès à vos réseaux sociaux. Ceci diminuera grandement la possibilité qu’une personne prenne le contrôle de votre page d’entreprise et publie de l’information inappropriée.

 

Les mots de passe que les gens utilisent pour protéger leur Facebook ou Twitter sont souvent encore plus défaillants et surtout, très peu changés (la plupart de gens ont le même mot de passe depuis la création de leur compte, il y a dix ans!) La moindre personne qui a accès à un de vos comptes de médias sociaux devient donc une porte ouverte.

 

Par exemple, en mars 2017 un faux tweet publié sur le compte de l’entreprise McDonald a vertement dénigré Donald Trump et appelé au retour de Barack Obama. « Vous êtes vraiment un exemple dégoûtant de président et nous aimerions récupérer Barack Obama, et aussi vous avez des mains minuscules », disait la publication sur Twitter, qui a brièvement été épinglée en haut de la page de McDonald. En 20 minutes, le tweet a suscité plus de 1 000 réponses. Il avait été publié par quelqu’un qui avait réussi à avoir les accès légitimes au compte.

Sans être McDonald’s, votre entreprise est suivie par de nombreuses personnes sur les médias sociaux et y publier quelque chose de non autorisé pourrait avoir de graves répercussions sur votre image.

Il est donc préférable de rendre obligatoire l’authentification en deux étapes.

 

Vous vous demandez comment faire? Voici quelques pages d’informations :

Facebook

LinkedIn

Twitter

 

Vous désirez savoir si une autre de vos applications offrent l’authentification en deux étapes? Le site  Two Factor Auth (2FA) répertorie une panoplie de services qui l’offrent. Il indique aussi d’autres qui ne le font pas et vous invite à envoyer des messages aux compagnies concernées pour les inciter à le mettre en place.

 

Vous pouvez également installer l’authentification à deux facteurs sur vos systèmes internes. Il existe de nombreuses solutions sur le marché et il peut être difficile de s’y retrouver, mais CyberSwat est là pour vous conseiller et vous accompagner!

Comment vous protéger des attaques de type ransomware

ransomware rançongiciel

Avez-vous entendu parler dans les médias de la cyberattaque de type ransomware appelée WannaCry? Elle fut d’une ampleur sans précédent et a bloqué plus de 200 000 ordinateurs dans le monde entier. Cette attaque a affecté l’ensemble des systèmes d’exploitation de Microsoft, de Windows XP à Windows 8.1! Les appareils touchés affichaient un message indiquant aux utilisateurs que leurs données avaient été cryptées et qu’elles pouvaient être récupérées en l’échange d’une somme d’argent à verser en bitcoins.

 

L’attaque a touché notamment les hôpitaux britanniques, le constructeur automobile français Renault, le système bancaire russe, le groupe américain Fedex, la compagnie de télécoms espagnole Telefonica ainsi que des universités en Grèce et en Italie. Les services de ces organisations ont été gravement impactés le lendemain de l’attaque, voire complètement paralysés.

Pour s’introduire dans les ordinateurs et accéder aux données, les pirates ont utilisé une faille de sécurité (vulnérabilité) Windows nommée EternalBlue. La faille avait été corrigée par Windows grâce à une mise à jour déployée le 14 mars 2017.  Or, toutes les organisations n’ont pas mis à jour leur système depuis. De plus, Windows ne proposait plus de mise à jour pour Windows XP… La faille EternalBlue est donc restée d’actualité, les hackers pouvaient l’utiliser facilement pour diffuser le virus Wanna Cry.

 

Vous désirez comprendre ce qu’on appelle une vulnérabilité, et pourquoi elle peut provoquer tant de dommages? Nous avons écrit un article à ce sujet, afin de vous aider à mieux protéger votre site Web.

Sachez que depuis, devant les risques liés à cette faille, Microsoft a publié de nouvelles mises à jour de sécurité pour Windows XP ainsi que des correctifs pour Windows Server 2003 et Windows 8.

 

Des attaques de type ransomware devenues monnaie courante

 

Les histoires de ransomware s’accumulent depuis quelques mois. Celui de WannaCry est d’une envergure inégalée, mais de nombreuses petites et moyennes entreprises ont aussi été touchées à maintes reprises depuis la dernière année. En 2016, le ransomware aurait rapporté des revenus (rançons payées) de plus de $1 milliard de dollars aux pirates informatiques et le crime organisé. C’est devenu la méthode préférée des cybercriminels pour gagner rapidement de l’argent.

Le ransomware (ou rançongiciel en français) est un logiciel malicieux qui s’installe sur les ordinateurs (postes et serveurs) à l’insu de leurs utilisateurs et administrateurs de systèmes. Ce logiciel malicieux extrêmement sophistiqué chiffre les fichiers sensibles des ordinateurs (ex. : dossiers clients, informations stratégiques d’affaires, dossiers employés). Puis, il est demandé une rançon aux victimes en échange de la clé pour déchiffrer les fichiers et ainsi regagner l’accès à leurs données.

Le paiement de la rançon est en général exigé en Bitcoins, une nouvelle cryptomonnaie électronique de plus en plus populaire et accessible. La principale caractéristique du Bitcoin, c’est que les échanges de Bitcoins se déroulent complètement à l’extérieur des contrôles du système bancaire mondial, et le Bitcoin n’est soumis à aucune réglementation gouvernementale. Ainsi, les cybercriminels du ransomware peuvent agir sans grand risque de se faire prendre par les services de police.

Or, une attaque de ce genre peut causer d’importants dommages à votre entreprise. Imaginez ne plus avoir accès à vos données les plus essentielles pendant 24 à 48 heures! Encore pire; serez-vous réellement en mesure de récupérer les informations? Combien d’argent perdrez-vous si pendant une journée entière, vos activités et celles de vos employés sont arrêtées?

 

 

Mais comment est-ce que ce virus s’attrape?

Vous pouvez être victime d’une attaque de type ransomware de diverses manières :

  • En cliquant sur les liens ou les pièces jointes contenus dans des pourriels;
  • En naviguant sur Internet puisque des bandeaux publicitaires sur des sites Internet très légitimes peuvent être compromis par des logiciels malicieux;
  • Ou encore, dans le cas de Wanna Cry, les premiers systèmes affectés ont été ceux qui étaient exposés directement sur Internet et n’avaient pas les mises à jour de sécurité installées!

 

 

Comment est-ce que vous pouvez éviter d’être victime d’une attaque de type ransomware ou encore d’en diminuer l’impact?

Voici quatre bonnes pratiques à appliquer afin de diminuer le plus possible le risque d’être victime d’une attaque de type ransomware ou encore d’en diminuer l’impact:

  1. Faites des sauvegardes tous les jours de vos serveurs et autres documents importants! Si vos données sont prises en otage, vous pourrez avoir accès à celles sauvegardées et l’impact de l’attaque sera fortement diminué. Surtout, n’oubliez pas de tester régulièrement que la récupération de vos sauvegardes fonctionne bel et bien!
  2. Mettez en place les mises à jour de sécurité de vos ordinateurs et serveurs régulièrement. Ceci est vraiment un point essentiel; les attaques de ce genre vont cibler en majorité les ordinateurs qui n’ont pas été mis à jour. Vous avez besoin de faire un état des lieux de vos systèmes et vérifier que vous avez couvert les vulnérabilités les plus graves? CyberSwat offre justement un service de test de vulnérabilités!
  3. Assurez-vous que votre antivirus est également toujours à jour. Il aura plus de chance de détecter les virus à temps.
  4. Ne cliquez pas sur n’importe quoi! Dans un précédent article, nous vous avons montré comment reconnaître un courriel malicieux. Partagez cet article à vos collègues et employés et faites-y référence chaque fois que vous avez un doute!
  5. Voici d’ailleurs une vidéo (en anglais seulement) qui explique bien comment vous pouvez prévenir les attaques :

Vous avez été victime d’un ransomware? Vous avez besoin d’aide pour mettre en place de bonnes pratiques de sécurité dans votre entreprise? CyberSwat est là pour vous aider à aller plus loin!

 

Vous avez envie d’approfondir encore plus le sujet? Nous avons rédigé un article en 2019 sur le sujet : https://www.cyberswat.ca/les-pme-quebecoises-encore-trop-vulnerables-face-aux-rancongiciels/

 

 

Point de vue d’une courtière en assurance sur la protection en cyberrisque!

Courtier en assurance

Avez-vous déjà pensé à offrir une assurance qui couvre les risques en matière de cybersécurité à vos clients? Ceux-ci sont de plus en plus dépendants des technologies, et les incidents de sécurité (vol de données, arrêt de services…) leur font de plus en plus de dommages. Ces incidents en cybersécurité peuvent avoir des répercussions financières très importantes et les laisser au dépourvu, notamment les PME qui possèdent peu de moyens.  

Bien qu’encore trop rare, l’assurance cyberrisque a commencé à être offerte par divers assureurs. Ce marché est en effervescence et ne fera que prendre de l’expansion. 

Afin de discuter de ce nouveau type de protection en assurance, nous avons eu la chance de rencontrer Anne Martel, courtière en assurance, gestionnaire de risques et coprésidente de Martel&Martel, une entreprise basée à Repentigny, et d’envergure provinciale.  

Martel&Martel, c’est l’association d’un frère et d’une sœur, Richard et Anne, de deux personnalités, mais surtout de deux expertises complémentaires. Le cabinet, guichet unique pour l’entreprise, est le seul au Québec à offrir aux entreprises des solutions alternatives à l’assurance traditionnelle et à réunir sous un même toit les volets, commercial et collectif.

Nous avons demandé à Anne Martel ce qu’elle pensait des assurances en cyberrisque. De plus, nous avons voulu savoir comment elle envisageait l’avenir de ce domaine.

Voici donc la vision d’une courtière en assurance en matière de prévention en sécurité informatique et de cyberassurance!  

Est-ce que vous croyez aux avantages de la prévention en cybersécurité pour diminuer les chances qu’un sinistre survienne?

Oui, tout à fait, la prévention est essentielle. Il y a plusieurs années, nous avons, nous-mêmes, été victimes d’un virus à l’interne, et ces désagréments ont été source de grave problème pour nous : perte de temps et pertes financières. Par la suite, nous avons tout de suite réagi et nous avons mis la prévention au cœur de notre approche pour protéger notre entreprise et nous sommes en mesure de suivre les hautes normes. À présent, nous sommes équipées comme personne dans l’industrie avec un partenaire qui a toutes les compétences nécessaires.

De plus, nous avons ajouté immédiatement la garantie d’assurance cyberrisque à tous nos clients, dès que l’offre a été disponible sur le marché et qu’il a donc été possible de l’offrir à notre clientèle.

Trouvez-vous qu’il y a un lien entre le domaine de l’assurance et celui de la cybersécurité?

Le meilleur exemple pour illustrer le parallèle entre les deux domaines est la question de la valeur assurable! Prendre en compte la valeur assurable permet aux entrepreneurs d’assurer la réelle valeur de leurs entreprises. Les clients paient pour leur juste prime et le jour où survient un sinistre, le remboursement reflètera la valeur réelle de leur commerce et il n’y aura pas de faille dans leur dossier. C’est une saine gestion des risques.

Dès 2005, nous nous sommes battus pour implanter cette façon de faire dans l’industrie, afin de minimiser les erreurs professionnelles dans l’industrie de l’assurance. Malheureusement encore aujourd’hui, certaines entreprises n’ont toujours pas ces outils importants de prévention avant-sinistre.

 C’est la même chose en cybersécurité. Il s’agit de bien comprendre la valeur de ce que tu risques de perdre lors d’un incident de sécurité. Pour ce faire, il faut faire une analyse de risques et protéger la valeur de tes données.

Quelle est votre vision par rapport à la cybersécurité?

La cybersécurité est une préoccupation pour Martel&Martel. En ce moment, la plupart des offres en assurance cyberrisque sont beaucoup trop basses. Les assurances ne proposent que des compensations d’environ 25 000$ au maximum. Cependant, les entreprises peuvent s’attendre à perdre beaucoup plus en cas d’incident grave. Il faut changer cette situation et protéger davantage les entreprises. J’ai un profond souci de faire évoluer les produits d’assurances!

Croyez-vous que les assurances en cyberrisque vont devenir de plus en plus populaires auprès des entreprises?

Sans aucun doute, les sinistres en sécurité informatique vont prendre de plus en plus de place dans l’avenir. L’intelligence artificielle, les nouvelles technologies vont apporter leur lot de problèmes.
Je pense que les assurances en cyberrisque vont devenir essentielles et pourraient devenir obligatoires.

Que pensez-vous du service d’intervention en cas d’incident de CyberSwat? Avez-vous l’impression que cela répondrait à un besoin auprès de vos clients?

Sans aucun doute. En tant que président d’une entreprise, directeur général ou à des postes de décision au sein d’une compagnie, nous serons tôt ou tard confrontés à ces situations. Lorsqu’un incident de ce genre survient, nous sommes seuls au monde. Une équipe toute spécialisée pour nous accompagner à faire face à ces inconvénients est un incontournable.
Cela permet de limiter les dégâts et d’aider à reprendre le service plus rapidement.

Si les gens veulent en savoir plus sur les protections et les produits en assurance cyberrisque, quelle démarche doivent-ils faire auprès de vous?

Pour l’instant, les gens peuvent nous téléphoner au 1 877 585-7070.

Vous êtes intéressé d’en savoir plus sur les assurances en cyberrisque? Saviez-vous que CyberSwat donne des formations destinées spécialement aux courtiers en assurance?

Avis de livraison légitimes ou pourriels ?

Vous pensez être capable de distinguer les pourriels des communications d’entreprises auxquelles vous faites confiance? Et pourtant, lors d’une étude menée par l’Université Friedrich-Alexander, au moins 50 % des gens ont cliqué sur un courriel douteux alors qu’ils étaient pourtant sensibilisés aux risques des pourriels.

Achats en ligne, temps des fêtes et augmentation des courriels

Avez-vous reçu, comme moi, des dizaines d’offres alléchantes de réduction par courriel dans le cadre de l’Action de Grâce américaine? Le fameux « Black Friday » marque officiellement le début des achats du temps des fêtes.

La plupart des consommateurs achètent maintenant sur le Web. Même dans le contexte du commerce entre les entreprises (B2B), les achats en ligne sont de plus en plus fréquents. Dans la même lignée, les communications d’affaires sont de plus en plus numériques. Les gens préfèrent recevoir les offres de promotion par courriel. C’est simple et rapide !

De plus en plus d’entreprises automatisent les communications autour de la livraison. On peut cliquer sur les numéros de commande et on arrive directement sur le suivi de Poste Canada ou UPS.

Or, Noël approche à grands pas et les achats de cadeaux vont continuer à se faire en grand nombre sur le Web. Vous allez certainement recevoir de nombreux messages du même genre et vous faire livrer des colis. Peut-être allez-vous commander des présents pour vos employés ou vos clients ?

Des communications parfois frauduleuses

Les pirates ont compris que la plupart des consommateurs sont tentés de cliquer sur les avis de livraison. Ils envoient alors des courriels frauduleux et ils vous incitent à cliquer sur des liens malveillants ou à télécharger une pièce jointe contenant un virus. Ils utilisent le nom des compagnies les plus courantes : Amazon, Apple, EBay, UPS, FedEx… en tentant leur chance que vous y avez effectué des achats.  Qui n’est pas content de recevoir un courriel intitulé Votre colis est arrivé ! Ou Ne payez pas les taxes en commandant aujourd’hui !

Quand on doit faire plusieurs achats en ligne pendant une courte période de temps, il est facile de ne plus savoir ce qu’il en est et de cliquer sur un courriel de promotion ou de suivi qui n’en est pas un vrai. Ces messages semblent souvent provenir d’organisations réelles avec les vrais logos, couleurs et polices habituelles. Vous pourriez avoir de la difficulté à voir qu’ils sont illégitimes.

Et pourtant, cliquer sur les liens ou les pièces jointes contenus dans ces pourriels peut avoir des répercussions critiques sur votre ordinateur, vos renseignements personnels et le réseau de votre entreprise.

Quelques étapes à suivre pour minimiser les risques liés aux pourriels

Pour vous aider à différencier un pourriel d’un message légitime, voici quelques éléments à vérifier à la réception d’un courriel qui vous demande de cliquer sur un lien ou à télécharger une pièce jointe :

  1. Regardez le courriel de retour : @Lexington.us n’est pas une adresse de FedEx
  2. Le symbole « Registered Trademark » est manquant du logo
  3. Si vous copiez-collez le numéro de suivi sur FedEx, aucun dossier ne sera associé
  4. Si vous passez votre souris sur le bouton « Print receipt » (ne cliquez jamais !), vous verrez que l’url de destination n’a aucun rapport avec FedEx

fedex pourriel

De plus, vous pouvez également vérifier :

  • L’avis de livraison est dans un fichier ZIP ? Il y a anguille sous roche !
  • Recherchez les formulations inhabituelles dans le message
  • Cherchez les fautes d’orthographe dans le corps du courriel

Important : Dans le doute, il est préférable de se connecter au site Web du fournisseur en allant soit même dans son navigateur et de ne pas passer par le lien cliquable fourni dans le courriel.

Si vous pensez avoir cliqué sur un lien douteux contenu dans un pourriel, faites-en part rapidement au support informatique de votre entreprise.

Vous désirez aller plus loin afin de sensibiliser vos employés aux risques de cybersécurité et leur apprendre les bonnes pratiques dans le domaine ? Des ateliers de sensibilisation en format 1h30 et 3h sont actuellement disponibles. Nous pouvons faire ces ateliers directement dans vos bureaux ou encore par notre plate-forme de webinaire. Pour en savoir plus, contactez-nous à info@cyberswat.ca ou en complétant la demande d’information ci-dessous.

SANS FRAIS 1 877-777-6412

Assurance en cyberrisque

Vous êtes courtier en assurance et la cybersécurité est l’une de vos préoccupations? Vous cherchez à mieux comprendre les enjeux de sécurité de vos clients afin de mieux les conseiller? Nous pouvons :

Si vous avez une entente avec nous :

Gestion d'incidents de sécurité

Vous voulez être prêt en cas d’incident de sécurité dans votre entreprise? Vous cherchez un accompagnement dans la mise en place d’un plan de gestion d’incident afin d’en minimiser au maximum les conséquences? Nous pouvons :

Pour nos clients avec contrat de service:

Assurance en cyberrisque

Vous êtes courtier en assurance et la cybersécurité est l’une de vos préoccupations? Nous vous aidons à comprendre tous les enjeux de sécurité chez vos clients pour que vous puissiez leur offrir le meilleur service possible.

Client :

Courtier :

Sécurité des services infonuagiques

Ne prenez pas à la légère les enjeux de sécurité du Cloud! Avec nous, vous bénéficierez de la souplesse du Cloud tout en diminuant les risques. Vous et vos clients serez rassurés de savoir vos données en sécurité.

Gouvernance de la sécurité

La sécurité informatique doit faire partie des préoccupations de la direction de votre entreprise. La mise en place d’une politique de sécurité et de la catégorisation des actifs sont notamment des éléments importants d’une stratégie efficace en cybersécurité.

Sensibilisation à la sécurité

Saviez-vous que l’hameçonnage est le vecteur n°1 pour réaliser des fraudes dans les entreprises? Diminuez les risques d’être victime d’incidents de cybersécurité grâce à nos ateliers de sensibilisation spécialement conçus pour vos employés.

Nous mettons toujours l’accent sur la vulgarisation des concepts et des enjeux de sécurité

Service-conseil en cybersécurité

Votre entreprise recherche un accompagnement à plein temps pour la gestion de la cybersécurité? Faites appel à nous! L’un de nos précieux talents se fera un plaisir de venir travailler dans votre entreprise au quotidien.

Notre équipe est composée de conseillers en architecture de sécurité, d’analystes en sécurité, de conseillers en gouvernance, de spécialiste en Gestion des Identités et des Accès, de spécialiste en test d’intrusions, etc.

Sécurité des services infonuagiques

Ne prenez pas à la légère les enjeux de sécurité du Cloud! Avec nous, vous bénéficierez de la souplesse du Cloud tout en diminuant les risques. Vous et vos clients serez rassurés de savoir vos données en sécurité.

Évaluez les risques de votre entreprise

Protégez vos données les plus importantes et épargnez les coûts d’un incident de sécurité. Cyberswat vous aide à identifier les situations à risque et vous donne des recommandations concrètes et faciles à mettre en place.