L'exploitation des failles, un vecteur privilégié par les cybercriminels

L’édition 2025 du Data Breach Investigation Report (DBIR) de Verizon est toujours riche en enseignement. Ainsi, le rapport constate que l'implication de tiers dans les failles de sécurité et l'exploitation des vulnérabilités sont devenues ont fortement progressé. Une analyse de 22 000 incidents de sécurité, dont 12 195 violations de données confirmées dans 139 pays, a montré que l'abus d'informations d'identification (22 %) et l'exploitation des vulnérabilités (20 %, contre 14,9 % en 2024) étaient les deux méthodes d'attaque les plus répandus. « Pour la première fois, l'exploitation des vulnérabilités a dépassé le phishing et est en train de rattraper l'abus d'informations d'identification comme vecteur d'accès initial principal », a noté Chris Wysopal, cofondateur de l'entreprise de sécurité des applications Veracode.

L’inquiétude de la sécurité des équipements de bordure de réseau

Les dispositifs edge et les VPN représentent désormais 22 % des cibles d'exploitation des vulnérabilités, contre seulement 3 % en 2024. Dans ce mélange, les exploits de type « zero-day » ciblant les périphériques et les VPN sont devenus plus fréquents. Afin de comprendre les délais d’application des correctifs et de remédiation, Tenable Research a analysé 17 CVE concernant les équipements de bordure de réseau figurant dans le DBIR, toutes ajoutées l'an dernier à la liste des vulnérabilités exploitées connues, les Known Exploited Vulnerabilities de la CISA. L'étude de Verizon a révélé que le temps médian nécessaire aux entreprises pour remédier entièrement aux vulnérabilités de ces équipements était de 32 jours. En général, les délais de correction des failles ont fortement augmenté au cours des cinq dernières années, les entreprises étant de plus en plus submergées par une dette de sécurité. Mais pour les dispositifs de sécurité périphériques, l'urgence de remédier aux failles est essentielle. « Les entreprises doivent adopter une approche basée sur le risque et donner la priorité à l'analyse des vulnérabilités et à l'application des correctifs pour les systèmes ouverts sur Internet », a écrit Saeed Abbasi, responsable de la recherche sur les menaces chez Qualys, une entreprise spécialisée dans la sécurité du cloud, dans un article de blog. « Les données montrent clairement que les attaquants suivent la voie de la moindre résistance, en ciblant les équipements vulnérables qui fournissent un accès direct aux réseaux internes. »

Greg Linares, analyste principal des renseignements sur les menaces chez Huntress, un fournisseur de solutions de détection et de réponse, constate également une nette évolution dans la manière dont les attaquants modernes pénètrent dans les environnements d'entreprise, et note que l'une des tendances les plus constantes à l'heure actuelle concerne l'exploitation des équipements de bordure de réseau. Ces derniers, qui vont des pare-feux et des appareils VPN aux équilibreurs de charge et aux passerelles IoT, servent de pont entre les réseaux internes et l'Internet au sens large. « Parce qu'ils opèrent à cette frontière critique, ils détiennent souvent des privilèges élevés et ont une large visibilité sur les systèmes internes », fait remarquer M. Linares, ajoutant qu’ils sont souvent mal entretenus et ne sont pas intégrés dans les cycles de correctifs standard. Ce dernier explique aussi que « de nombreux équipements sont dotés d'identifiants par défaut, de ports de gestion exposés, de comptes de super utilisateur secrets ou de services faiblement configurés qui s'appuient encore sur d'anciens protocoles, autant d’éléments qui invitent à l'intrusion. »

Une fois compromis, ces solutions offrent aux attaquants un accès privilégié, une persistance et un terrain d'action favorable pour un mouvement latéral. Ces systèmes stockent souvent des identifiants d'administrateur, des jetons de session, des clés VPN ou des journaux qui fournissent une feuille de route détaillée de l'infrastructure interne. « Les attaquants peuvent implanter des logiciels malveillants personnalisés ou même modifier le firmware lui-même pour survivre aux redémarrages et échapper à la détection », conclut M. Linares. « Étant donné que ces appareils échappent généralement aux EDR et à l'intégration SIEM, les intrusions passent souvent inaperçues pendant des semaines, des mois, voire plus longtemps. » Des groupes d'espionnage tels que Volt Typhoon et UNC4841 ont exploité les vulnérabilités des équipements Fortinet, SonicWall et Barracuda pour infiltrer discrètement des réseaux de grande valeur au cours de l'année écoulée. Des groupes de ransomwares tels que Black Basta et Royal utilisent fréquemment des dispositifs NAS et des pare-feux compromis pour s'introduire dans les réseaux ciblés.

Multiplication des attaques de ransomware sur les PME

Le pourcentage de violations impliquant des tiers a doublé pour atteindre 30 %, ce qui met en évidence les risques associés à la supply chain et aux écosystèmes de partenaires. La prévalence des attaques par ransomware a également augmenté : elles concernent désormais 44 % des brèches analysées, contre 37 % en 2024. Les ransomwares ont eu un impact disproportionné sur les petites et moyennes entreprises (PME). Alors que les grandes entreprises sont confrontées à des ransomwares dans 39 % des cas, les PME sont aux prises avec des ransomwares dans 88 % des cas. Symptomatique de la tendance des acteurs du ransomware à s'attaquer à des cibles plus petites, le montant médian de la rançon payée a sensiblement diminué, passant de 150 000 dollars en 2024 à 115 000 dollars dans le rapport DBIR de cette année. Le nombre d’entreprises victimes qui n'ont pas payé de rançon s'élève à 64 %, contre 50 % il y a deux ans.

Les infostealers et GenAI se développent

L'implication humaine dans les atteintes à la cybersécurité est restée à peu près la même que dans le DBIR 2024 de Verizon, de l’ordre de 60 % des attaques réussies. Ce chiffre illustre l'importance continue des attaques d'ingénierie sociale telles que l'hameçonnage et l'abus d'informations d'identification (mot de passe et identifiant de connexion). À cette fin, les cybercriminels modifient leurs tactiques pour rendre le phishing plus efficace et s'appuient davantage sur des logiciels malveillants de type « infostealer » pour voler les informations d'identification.

L'IA joue également un rôle plus important dans les cyberattaques et les risques de fuite de données. Selon Verizon, le texte généré par l’IA dans les courriels malveillants a doublé au cours des deux dernières années. Par ailleurs, 15 % des employés accèdent régulièrement à des plateformes d'IA générative sur leurs appareils professionnels, ce qui accroît le risque de fuite de données sur ces appareils, contre lequel s'efforcent de lutter les RSSI.

Espionnage et activité criminelle

Verizon estime que les attaques motivées par l'espionnage représentent 17 % des failles de sécurité et que leur prévalence a presque triplé depuis 2024. Les secteurs de la fabrication et de la santé ont été confrontés à une augmentation des attaques ayant l'espionnage pour objectif. Le rapport de Microsoft sur la défense numérique de novembre 2024 fait également état d'une tendance à la hausse et constate que la différence entre le cyber-espionnage et les activités cybercriminelles a tendance à s'estomper.

Contre-mesures

Comme toujours, la défense contre les attaques potentielles repose sur l'élaboration d'une stratégie de défense à plusieurs niveaux. « Les entreprises doivent investir dans des mesures de sécurité solides, notamment des politiques de mots de passe robustes, des correctifs délivrés en temps voulu pour les vulnérabilités et une formation complète de sensibilisation à la sécurité pour les employés », a rappel Chris Novak, vice-président des solutions mondiales de cybersécurité chez Verizon Business.