Imaginez que vos utilisateurs soient conscients des risques liés à la cybersécurité, mais qu’ils effectuent tout de même des actions dangereuses. Ajusteriez-vous votre programme de formation et de sensibilisation à la sécurité informatique ? Comment feriez-vous progresser votre stratégie de cybersécurité ? Et comment encourageriez-vous vos utilisateurs à donner la priorité à la cybersécurité ?
Dans notre 10e rapport annuel State of the Phish, nous avons recueilli de nouvelles données et élargi la portée de notre enquête pour apporter un éclairage sur les informations collectées auprès de huit pays d’Europe et du Moyen-Orient. Nous espérons que cet éclairage unique vous aidera à répondre à certaines de ces questions et à bien d’autres.
Dans cet article de blog, nous étudierons certaines des données concernant le phishing, les ransomwares et le comportement des utilisateurs/collaborateurs d’Europe et du Moyen-Orient, tout en vous expliquant comment vous pouvez ajuster vos programmes de sécurité des informations afin de réduire les risques.
Comment avons-nous compilé le rapport ?
Le rapport mondial State of the Phish 2024 est compilé à partir de données issues des solutions et recherches Proofpoint People Protection, ainsi que de sources supplémentaires, dont les suivantes :
- Une enquête mondiale menée auprès de 7 500 adultes actifs et 1 050 professionnels de l’informatique dans 15 pays
- 183 millions de simulations d’attaques de phishing envoyées par des clients de Proofpoint
- Plus de 24 millions d’emails suspects signalés par les utilisateurs de nos clients
Quelles conclusions peuvent être tirées pour l’Europe et le Moyen-Orient ?
Les pays d’Europe et du Moyen-Orient présentent un large éventail de langues, de cultures, de relations entre pays, de connexions géographiques et de niveaux de maturité de la sécurité des informations. Les entreprises de la région peuvent exercer leurs activités à l’échelle internationale ou se concentrer sur un seul pays. Il existe une forte connectivité pour les entreprises qui exercent leurs activités au sein de l’Union européenne. Ces entreprises sont généralement unies par des objectifs communs en ce qui concerne la protection de la confidentialité et le blocage des fuites de données personnelles.
La bonne nouvelle, c’est que l’étude 2024 a mis en lumière un recul du pourcentage d’entreprises d’Europe et du Moyen-Orient qui ont été victimes d’au moins une attaque de phishing réussie. En 2022, ce pourcentage s’élevait à 88 %, contre 75 % cette année. La mauvaise nouvelle, c’est qu’il y a encore 75 % des entreprises d’Europe et du Moyen-Orient qui ont été victimes d’au moins une attaque de phishing réussie.
Vous vous demandez sans doute comment des entreprises comme la vôtre peuvent réduire le risque posé par le phishing et les attaques similaires. Voyons cela ensemble.
Utilisateurs prenant des risques
Les utilisateurs interrogés en Europe et au Moyen-Orient ont confié effectuer des actions dangereuses comme partager des mots de passe, utiliser des terminaux professionnels pour des activités d’ordre privé et répondre à des messages provenant de personnes qu’ils ne connaissent pas. Le pourcentage d’utilisateurs effectuant des actions dangereuses dans la région était supérieur à la moyenne mondiale.
Qu’est-ce que cela signifie pour les utilisateurs des pays dans lesquels vous exercez vos activités ? Les données de notre enquête indiquent qu’aux Émirats arabes unis, en Suède, en Italie et en France, plus de 70 % des utilisateurs ont volontairement compromis la sécurité de leur entreprise. C’est aux Émirats arabes unis que les utilisateurs ont pris le plus de risques (plus que dans n’importe quel autre pays couvert par notre enquête). Comme justification, les utilisateurs d’Europe et du Moyen-Orient ont cité le gain de temps et la commodité. Les utilisateurs britanniques ont accordé plus d’importance à la commodité qu’au gain de temps.
Les priorités des utilisateurs et des équipes de sécurité diffèrent
On peut alors se demander si les utilisateurs considèrent la sécurité comme leur responsabilité ou comme celle de l’équipe de sécurité des informations de leur entreprise. Fait alarmant, 66 % des utilisateurs aux Pays-Bas et en Suède ont déclaré qu’ils ne savaient pas ou qu’ils n’étaient pas responsables de la sécurité.
Il est important de prendre conscience que les utilisateurs privilégient la productivité et la commodité à la sécurité et partent souvent du principe que leur employeur est responsable de leur protection, étant donné que nos recherches montrent que 83 % des professionnels de la sécurité des informations interrogés en Europe et au Moyen-Orient se comportent comme si les collaborateurs savaient qu’ils sont responsables de la sécurité.
Authentification multifacteur
L’authentification multifacteur est souvent considérée comme un moyen de réduire les compromissions et les partages de mots de passe. En effet, plus de 9 professionnels de la sécurité sur 10 au Royaume-Uni et en France pensent toujours que l’authentification à plusieurs facteurs offre une protection totale contre la prise de contrôle de comptes, alors que Proofpoint a identifié plus d’un million d’attaques lancées chaque mois avec EvilProxy, un framework de contournement de l’authentification multifacteur. Environ 3 professionnels de la sécurité sur 10 dans les autres pays d’Europe et du Moyen-Orient reconnaissent que l’authentification multifacteur n’est pas une solution miracle.
Attaques par téléphone
Les attaques par téléphone (TOAD, Telephone-Oriented Attack Delivery) ont fait l’objet d’une attention particulière ces dernières années, à juste titre. Ces attaques de phishing utilisent un leurre initial pour inciter l’utilisateur à établir un contact par téléphone. Les pays de cette région ont subi plus d’attaques TOAD que la moyenne mondiale en 2023 (70 % contre 67 %).
Ransomwares
En Europe et au Moyen-Orient, le nombre d’attaques et d’infections de ransomwares a augmenté au cours de l’année écoulée. Les entreprises allemandes ont été les plus nombreuses à être infectées, 85 % d’entre elles admettant avoir été touchées.
D’après les résultats de notre enquête 2024, un peu plus de la moitié (56 %) des entreprises de la région ont payé une rançon en 2023, contre 64 % en 2022. L’efficacité du paiement de la rançon a considérablement varié. Le résultat souhaité serait la restauration des systèmes et données affectés. Pourtant, toutes les entreprises n’ont pas récupéré leurs données comme prévu.
Les entreprises néerlandaises sont celles qui ont observé le moins de résultats positifs suite à un paiement. 40 % d’entre elles ont déclaré ne jamais avoir récupéré leurs données, contre 16 % à l’échelle mondiale. Nous avons également observé une évolution de l’efficacité du paiement de la rançon par rapport à l’année précédente. Les entreprises espagnoles, par exemple, ont été 50 % à récupérer l’accès à leurs données en 2022, mais ce chiffre est tombé à 21 % en 2023.
La décision d’envoyer un paiement aux cybercriminels fait souvent partie d’un plan de réponse ou de résilience, mais nos recherches montrent que les conséquences peuvent aller plus loin pour les entreprises d’Europe et du Moyen-Orient, qui peuvent par exemple être ciblées de façon répétée par les cybercriminels.
Piratage de la messagerie en entreprise
Depuis de nombreuses années, le piratage de la messagerie en entreprise (BEC, Business Email Compromise) représente l’une des menaces les plus coûteuses pour les entreprises du monde entier. Les répercussions financières négatives des attaques BEC réussies ont fait l’objet d’une large communication par la communauté de la cybersécurité. Malheureusement pour l’Europe et le Moyen-Orient, compte tenu du grand nombre de langues parlées, une hausse des attaques BEC a été constatée dans les pays non anglophones. Elle pourrait être liée à l’essor des outils d’IA générative tels que ChatGPT, qui peuvent être utilisés pour écrire des emails de leurre convaincants.
Formation de sensibilisation à la sécurité informatique et modification des comportements
Dans la région, 95 % des entreprises utilisent déjà la threat intelligence pour élaborer leurs programmes de formation et de sensibilisation à la sécurité informatique, mais il semble qu’elles peuvent en faire plus pour aligner les thèmes de formation sur les problèmes réels. Par exemple, intéressons-nous à la disparité entre les risques réels et l’intégration de ces thèmes aux programmes de sensibilisation à la sécurité informatique. 78 % des entreprises allemandes ont été victimes d’attaques TOAD, mais seulement 21 % d’entre elles les ont utilisées comme thème de formation, l’un des plus larges fossés entre attaques quotidiennes et thèmes de formation. Qui plus est, nous avons observé un recul du pourcentage d’entreprises proposant des formations sur des thèmes essentiels tels que les bonnes pratiques en matière de mots de passe et l’ingénierie sociale.
Amendes et atteinte à la réputation
Cette année, l’analyse détaillée des pays d’Europe et du Moyen-Orient dresse un portrait peu reluisant des conséquences négatives, qui ont pris de l’ampleur dans les 8 pays couverts par notre enquête. Les signalements de sanctions financières (amendes réglementaires, par exemple) et d’atteintes à la réputation ont grimpé en flèche. Cette hausse des conséquences négatives a davantage touché les entreprises allemandes, françaises et émiraties. Ne comptez pas sur les cyberassurances pour couvrir tous les frais : la plus grande compagnie d’assurance française a annoncé qu’elle ne couvrirait plus les attaques de ransomwares. Serait-ce un signe précurseur ?
En savoir plus
Jetez un œil à la synthèse pour l’Europe et le Moyen-Orient de notre rapport State of the Phish 2024 pour obtenir des recommandations sur la façon d’adapter vos programmes de cybersécurité.
Regardez notre webinaire
Rejoignez-nous pour notre 10e webinaire annuel "State of the Phish" pour une discussion approfondie sur les conclusions du rapport 2024, l’état du paysage des menaces en France et en Europe.