Sécurité IT : du secret bancaire aux secrets personnels

Alors qu’ils visaient essentiellement des données bancaires en 2013, les pirates informatiques ont changé de cible en 2014, se tournant massivement vers les informations personnelles, avec des bénéfices à plus long terme pour ouvrir des comptes frauduleux ou encore couvrir leurs activités criminelles.

C’est l’un des principaux enseignements à tirer du dernier rapport Breach Level Index (document PDF, 16 pages) établi par Gemalto. La firme néerlandaise spécialisée dans la sécurité IT s’appuie sur des données publiques qu’elle agrège sur un site Web dédié.

Sur les 1541 incidents relevés en 2014 (contre 1046 l’année précédente), 106 sont liés à des failles qualifiées de « sévères » ou « catastrophiques » : leur indice de criticité est d’au moins 7/10. Au global, 1,023 milliard de jeux de données ont été perdus ou volés, soit plus de 2,8 millions par jour. Et les données n’étaient chiffrées – au moins partiellement – que dans 4 % des cas.

Plus de la moitié de ces attaques (54 %) se sont concentrées sur le vol d’identités numériques. Un taux presque trois fois supérieur à celui enregistré en 2013 (20 %). A l’inverse, l’accès à des données financières ne sous-tend que 17 % des incidents répertoriés en 2014, contre 50 % en 2013). A noter que dans 11 % des cas, les motivations sont liées à l’accès non autorisé à des comptes stratégiques sur le réseau d’une entreprise.

Les menaces externes restent le principal vecteur de ces attaques, dans 55 % des cas en l’occurrence. Un pourcentage stable par rapport à 2013, tout comme pour les pertes accidentelles, qui représentent 25 % des incidents (27 % en 2013). Il ne faut pas négliger les menaces internes (15 % des incidents), ni même le piratage par les États-nations (4 %).

Le secteur de la distribution n’est pas celui qui concentre le plus d’incidents (176, soit 11 % du total), mais le bilan est lourd : 567 millions de jeux de données volées, dont 300 millions récupérés sur AliExpress, 145 millions sur eBay et 109 millions chez Home Depot.

La finance est presque victime du même nombre d’incidents (179), mais les pertes se limitent à 205 millions de jeux de données (104 millions pour le gestionnaire de crédits Korean Credit Bureau ; 83 millions pour la banque d’affaires JP Morgan Chase).

Le secteur technologique – qui inclut les réseaux sociaux – passe sous la barre des 100 millions de jeux de données dérobés. C’est 9 % du total, contre 43 % en 2013. Principale victime : l’entreprise sud-coréenne Naver, qui propose des portails Internet, un moteur de recherche et des jeux en ligne.

L’éducation fait jeu égal et les agences gouvernementales et les organisations du secteur public (environ 50 millions de jeux de données volés dans les deux cas). Suit le secteur de la santé, avec un nombre record de failles (391), mais seulement 29 millions de jeux de données subtilisées.

Du point de vue géographique, les pays du Commonwealth restent les plus touchés : 1107 incidents aux Etats-Unis, 117 au Royaume-Uni, 57 au Canada, 30 en Australie. La France arrive au deuxième rang en Europe avec 9 attaques recensées.

Crédit photo : kentoh – Shutterstock.com