Les pirates informatiques recourent de plus en plus à l'IA

Les analystes ont constaté une augmentation continue des menaces courantes utilisant des infrastructures de commande et de contrôle (C&C) pour créer des botnets, dont le nombre et la complexité ne cessent de croître. Le phishing reste la principale tactique utilisée par les attaquants pour accéder aux réseaux d'entreprise, bien que le Centre des opérations de sécurité (SOC) ait également détecté une augmentation du trafic malveillant figurant sur les listes noires.

Selon le rapport, les acteurs malveillants font évoluer leurs schémas d'attaque et lancent des campagnes frauduleuses qui contournent les contrôles de sécurité auparavant efficaces, tels que l'authentification à deux facteurs, obligeant les défenseurs à réagir et à renforcer le niveau de sécurité pour garantir la protection des opérations. En 2024, une part importante des menaces neutralisées par le SOC a continué de suivre le vecteur d'attaque le plus courant observé depuis 2022 : le phishing. Cependant, au cours de cette période, on a observé une augmentation notable d’une forme plus avancée connue sous le nom de « phishing par proxy inverse ». Le phishing est une méthode classique dans laquelle les attaquants se font passer pour des entités légitimes (telles que des banques ou des prestataires de services) afin d’inciter les utilisateurs à fournir des informations sensibles, telles que des identifiants de connexion ou des données financières. Le phishing traditionnel repose souvent sur de faux sites web ou des e-mails frauduleux pour capturer les données des utilisateurs. « Phishing par proxy inverse ».

Le phishing est une méthode classique dans laquelle les attaquants se font passer pour des entités légitimes (telles que des banques ou des prestataires de services) afin d’inciter les utilisateurs à fournir des informations sensibles, telles que des identifiants de connexion ou des données financières. Le phishing traditionnel s’appuie souvent sur de faux sites web ou des e-mails frauduleux pour capturer les données des utilisateurs. Le phishing traditionnel s’appuie souvent sur de faux sites web ou des e-mails frauduleux pour capturer les données des utilisateurs. Le « phishing par proxy inverse », en revanche, est une version plus sophistiquée. Au lieu de simplement créer un faux site web, l’attaquant met en place un « proxy » qui se place entre le site web légitime et la victime. Ce proxy capture les identifiants de l’utilisateur et, en temps réel, les transmet au site réel, donnant ainsi à la victime l’impression que tout est normal. Le danger de cette méthode réside dans le fait qu’elle peut contourner l’authentification multifactorielle (MFA), couramment utilisée pour protéger les systèmes sensibles. Le phishing par proxy inverse est une technique utilisée pour voler des identifiants ou contourner l’authentification multifactorielle. Une fois que les attaquants ont accédé à un réseau, ils peuvent déployer une infrastructure C&C pour contrôler à distance les systèmes compromis. Cela pourrait permettre la création de botnets — de vastes réseaux d’appareils infectés utilisés pour des activités malveillantes telles que les attaques par déni de service distribué (DDoS). 

En 2024, Marlink a racheté Diverto & Port IT pour se positionner sur le marché en pleine croissance de la cybersécurité. Quelles synergies en attendez-vous ? 

Nicolas Furgé : Marlink a réuni les ressources de Diverto et de Port-IT avec ses propres solutions de cybersécurité afin de répondre à la croissance des cybermenaces et au besoin croissant de conformité. Cette structure combine l’expertise existante au sein de Marlink avec les compétences, les ressources et la présence géographique issues de l’acquisition de Diverto et de Port-IT. Quelque 150 experts en cybersécurité se consacreront au développement et à la fourniture des solutions dont les clients ont besoin pour relever les nouveaux défis cybernétiques.

Comment vous protégez-vous, vous et vos systèmes, contre les cyberattaques ? 

Furgé : Idéalement, les propriétaires et les opérateurs doivent repartir de zéro. Même si vous avez déployé plusieurs couches de protection (par exemple, des antivirus ou des logiciels de sécurité des terminaux ou du réseau), vous devez comprendre votre posture de sécurité globale, où se situent les risques et à quoi ressemblent les menaces. Cela peut impliquer de réaliser des évaluations de vulnérabilité et des tests d’intrusion pour comprendre où en est votre sécurité et où elle doit aller. Nous gérons un portefeuille de centres d'opérations de sécurité, dont un dédié au secteur maritime, qui soutiendra la détection proactive des menaces ainsi que des solutions défensives pour les réseaux, protégeant les actifs jusqu'au niveau de chaque utilisateur.

À votre avis, le risque cyberaugmente-t-il avec les nouveaux navires, car davantage de technologies numériques peuvent y être installées, ou diminue-t-il parce que ces nouveaux navires et leurs technologies sont eux-mêmes mieux protégés contre les cyberattaques ?

Furgé : On peut affirmer que l'utilisation accrue des technologies numériques à bord augmente effectivement le risque cyber. L'augmentation de la bande passante disponible pour les utilisateurs, et donc l'augmentation du volume de trafic, rend le secteur plus exposé. Cela est particulièrement vrai dans le cas de l'Internet LEO, car l'utilisation accrue par l'équipage augmente intrinsèquement les risques d'attaques par hameçonnage et d'ingénierie sociale. La cybersécurité pour l'Internet LEO est mise en œuvre dans le cadre de la configuration réseau hybride type que nous déployons pour les armateurs et les opérateurs. Le rapport Maritime SOC publié l'année dernière par Marlink a également souligné que les pirates informatiques recourent de plus en plus à l'IA pour attaquer leurs cibles et contourner l'authentification à deux facteurs ; les armateurs doivent donc se préparer à faire face à des risques accrus à l'avenir.

Quels sont les devoirs des armateurs ? 

Furgé : Outre l'évaluation des risques et des menaces spécifiques auxquels ils sont confrontés, les armateurs doivent garder à l'esprit que la plupart des incidents cybernétiques trouvent leur origine dans le comportement humain. Les systèmes les mieux conçus aideront les utilisateurs à agir de manière sûre et cohérente, mais dans tous les cas, les armateurs doivent s’assurer que l’équipage est formé pour être conscient des menaces et comprendre ce qu’il doit faire pour se protéger, protéger ses collègues et son employeur contre les cybermenaces. Les armateurs doivent également comprendre comment ils sont concernés par la réglementation, qui se durcit à mesure que les risques cybernétiques augmentent. La plus récente, l’URE26 de l’IACS, vise à fournir un ensemble minimal d’exigences en matière de cyber-résilience des navires. Destinée à la conception, à la construction, à la mise en service et à la durée de vie opérationnelle des navires neufs, il est probable que des exigences équivalentes soient étendues aux navires existants à l'avenir. La norme connexe, URE27, vise à définir les capacités de sécurité minimales que doivent posséder les systèmes et équipements pour être considérés comme cyber-résilients et s'adresse aux fournisseurs d'équipements tiers. D'autres régimes régionaux, certains spécifiques au secteur et d'autres de nature plus générale, peuvent imposer de lourdes sanctions financières en cas de non-conformité.

Questions : Michael Meyer