Rançongiciel : l’accès métier, nouvelle cible de l’extorsion
Les chercheurs du ThreatLabz de Zscaler ont récemment mis en lumière une campagne de cyberattaques par rançongiciel, touchant 351 victimes au sein de 334 organisations. L’analyse indique que la sélection des cibles est étroitement liée au niveau d’autorité et à l’accès métier des utilisateurs, avec près de 62 % des victimes occupant des postes de management ou supérieurs.
Les victimes provenaient principalement de cinq secteurs critiques : comptabilité et finance (17,7 %), ventes (17,4 %), opérations (16,8 %), ainsi que les ressources humaines et le marketing. Ces fonctions, essentielles aux échanges métiers, offrent aux attaquants un accès privilégié à des données sensibles. Le profil démographique moyen des victimes est celui de la génération X, avec un âge moyen de 46 ans.
La primauté de l’accès métier sur le droit technique
La valeur d’un compte compromis ne réside pas uniquement dans les droits administratifs, mais surtout dans l’étendue de l’accès métier qu’il permet. Cet accès permet aux attaquants de visualiser des processus financiers, des contrats clients et des données opérationnelles, renforçant leur pouvoir de pression pour l’extorsion. Les employés ciblés, dont les fonctions sont au cœur des échanges métiers, offrent une connaissance approfondie des processus critiques de l’organisation.
Des secteurs comme la comptabilité et la finance peuvent donner accès à des factures, des approbations de paiement et des données bancaires, tandis que les équipes commerciales peuvent fournir des informations sur les comptes clients et les contrats actifs. Compromettre ces rôles expose les entreprises à des menaces significatives, y compris la fuite de secrets commerciaux.
Adapter l’architecture à la menace : les stratégies de confinement
Pour atténuer l’impact d’une compromission, les organisations doivent aller au-delà de la simple protection technique et considérer les fonctions métiers. Les stratégies essentielles incluent l’application stricte du principe du moindre privilège, limitant l’accès aux applications et données nécessaires à chaque employé. Cela réduit la portée d’un compte compromis.
L’implémentation d’une architecture sans confiance permet également de segmenter l’accès et d’empêcher les mouvements latéraux des attaquants. Une surveillance continue des activités utilisateurs est nécessaire pour détecter des comportements inhabituels, en particulier pour les profils de gestion.
Source : Zscaler
