Le conférencier, Éric Parent, président de LogicNet et d’Eva Technologies, a alors présenté les nouveaux risques liés à l’utilisation accrue des technologies dans l’industrie des services financiers.
Ce spécialiste de la cybersécurité a expliqué comment un pirate pouvait subtiliser certaines informations sensibles sans même que vous vous en rendiez compte.
Vols à votre insu
D’abord, le pirate achète un ordinateur neuf chez un marchand du voisinage. Comme le PC n’a jamais servi, il ne renferme aucune information qui puisse permettre de retracer son origine.
Pour opérer de façon anonyme, le pirate utilise le système d’exploitation Tails, dont le slogan dit tout : «Confidentialité et anonymat pour tous et partout».
Il se branche ensuite sur un serveur en Russie ou en Chine où il sera difficile, voire impossible, de retracer ses activités. Jusque-là, rien d’illégal !
De plus, le pirate utilise le logiciel et le réseau informatique libre Tor, qui permettent de naviguer de façon anonyme sur le Web en échappant aux systèmes de surveillance.
Le pirate choisit sa victime et utilise patience et expérience pour trouver une porte d’entrée. Plus l’entreprise est petite, comme un cabinet financier, plus il sera facile, en théorie, d’y pénétrer.
Une fois derrière les protections, il recopie à votre insu les renseignements qui ont de la valeur sur le marché du Dark Web, la face cachée du Web. Il attendra peut-être des mois avant de chercher à vendre son butin sur le marché aux puces du Dark Web.
Environ 80 % du trafic sur le Web se fait sur le Dark Web, de la pornographie juvénile à la vente de renseignements personnels, en passant par la livraison d’un kilo de cocaïne. Oui, oui, il est possible de se faire livrer un kilo de cocaïne grâce au Web, en payant en bitcoins, la monnaie du Dark Web. Pour 3 000 euros en bitcoins, vous pourriez même acheter une maîtrise de la Sorbonne !
Le document piégé
Le document piégé est une autre stratégie, plus connue et encore utilisée parce qu’elle est fort efficace.
Un pirate prend possession de votre ordinateur pendant la nuit et envoie, sans laisser de trace, un document piégé en utilisant votre carnet d’adresses.
Comme les destinataires vous connaissent, ils ouvriront le document sans se méfier. Ce document à l’apparence banal contient un cheval de Troie qui fera ensuite le même travail sur les ordinateurs de vos destinataires. On répétera le stratagème trois ou quatre fois pour brouiller les pistes.
Éventuellement, le document piégé contiendra un enregistreur de frappes qui permettra au pirate de voler les renseignements concernant vos accès bancaires et de les revendre sur le Dark Web.
Le pirate est toujours un intermédiaire, et n’utilise pas lui-même le résultat de ses larcins. Il le vend. Il utilise des méthodes d’accès difficiles à retracer.
Trafiquer sur le Dark Web peut vite devenir très payant. Un numéro de carte de crédit vaut environ 20 $ US. L’accès à un compte bancaire dont le solde est d’au moins 2 200 $ se vendra environ 190 $ US. Votre accès PayPal peut valoir jusqu’à 300 $ US, et un numéro d’assurance sociale accompagné de renseignements sur son titulaire (nom, adresse, numéro de téléphone), 100 $ US environ.
Vous êtes sans doute conscient du fait que beaucoup de ces informations se trouvent dans les fiches clients stockées dans les logiciels de gestion comme Kronos, REPman, Univeris et Winfund.
Nul n’est à l’abri. Combien de fois ai-je entendu des cabinets affirmer que les données de leurs clients sont en sécurité parce qu’elles sont hébergées dans leurs locaux et protégées par des pare-feu ? Selon moi, cela revient à garder un million de dollars dans un coffre-fort dans sa maison plutôt qu’à la banque…
Simuler des intrusions
Pour contrer les cyberpirates, le mieux est de faire appel à des firmes spécialisées qui simuleront des intrusions sur vos serveurs. Elles parviennent toujours à percer les défenses des réseaux, car peu d’entreprises ont les moyens ou le souci d’investir suffisamment dans la sécurité informatique.
Ces intrusions permettent aux experts de recommander des correctifs qui amélioreront la sécurité. Si vous n’avez jamais fait faire de tels tests, ou s’ils remontent à plus d’un an, vous êtes à risque, a souligné Éric Parent lors de sa conférence.
Par ailleurs, de plus en plus de cabinets entreposent leurs données dans un grand centre d’hébergement au lieu de les conserver dans les réseaux installés dans leurs locaux. Ils peuvent ainsi bénéficier d’une importante économie d’échelle.
iA, par exemple, investit des montants substantiels en sécurité informatique et en fait bénéficier ses filiales.
Toutes les données qui mènent à vos avoirs financiers et à ceux de vos clients présentent un intérêt pour la face cachée du Web. Protégez-les adéquatement !
laroseg@maisondigilor.ca