Sécurité de l’IoT : les attaques progressent plus vite que les budgets

Entre les investissements des entreprises dans la sécurité de l’IoT et le volume d’attaques exploitant ce vecteur, quel indicateur progresse le plus vite ?

Le deuxième choix s’impose à la lecture croisée d’une étude de Gartner et du rapport annuel de Symantec sur les cybermenaces.

En 2017, l’éditeur américain a recensé 50 000 attaques sur des objets connectés*, contre 6 000 l’année précédente.

Plus de la moitié de ces attaques (50,5 %) étaient dirigées contre le service Telnet ; près d’un tiers (32,4 %) ont visé HTTP.

Les routeurs restent des cibles privilégiées, impliquées en l’occurrence dans 33,6 % des assauts. Suivent les enregistreurs (23,2 %) associés notamment aux dispositifs de vidéosurveillance, les récepteurs satellite (7,3 %), les modems ADSL/câble (7 %), les NAS (3,6 %), les caméras (3,5 %) et les systèmes d’alarme (1,9 %).

Le login « root » est tenté dans 40 % des attaques, devant « admin » (17,3 %), « system » étant le mot de passe qui revient le plus. Parmi l’ensemble des IP impliquées, 48,9 % n’avaient pas encore été placées sur la liste noire de Symantec.

Le levier réglementaire

Ces conclusions trouvent un écho chez Gartner, qui met en avant une étude du cabinet CEB, tombé dans son giron l’an dernier pour 2,6 milliards de dollars. 20 % des entreprises interrogées ont déclaré avoir subi, au cours des trois dernières années, au moins une attaque basée sur l’IoT.

Dans ce contexte, les dépenses mondiales sur le volet sécurité atteindraient 1,506 milliard de dollars en 2018, contre 1,174 milliard en 2017 (+ 28 %). Un rythme de croissance qui se maintiendrait jusqu’à l’horizon 2021 avec, à cette échéance, plus de 3 milliards de dollars d’investissements.

Le marché pourrait croître plus rapidement, estime Gartner, si la sécurité de l’IoT était une plus grande priorité dans les entreprises. Le durcissement des réglementations, tout particulièrement dans des secteurs « sensibles » comme la santé et l’automobile, constituera un levier d’accélération.

Les dépenses concerneront aussi bien des outils et services destinés à la découverte des actifs IoT qu’à l’accompagnement de l’externalisation de la connectivité réseau. Avec une question latente : la capacité des fournisseurs à s’entendre sur des standards incluant le principe de sécurité dès la conception (« security by design »).

* Dont une partie à des fins de minage de crypto-monnaies ; une tendance en forte hausse au 4^e trimestre 2017, parallèlement à l’envolée des cours du bitcoin et consorts.