Cybermois : l’occasion de se protéger des dangers du darknet

Envoyer des mails à ses proches, payer ses impôts, faire ses emplettes ou encore surfer sur les réseaux sociaux… À une époque où nous sommes tous de plus en plus connectés, il est important d’apprendre à s’armer contre de potentielles activités malveillantes. À l’occasion de l’édition 2021 du Cybermois, Plus que pro tient à vous sensibiliser sur les dangers du dark web.

Le Cybermoi(s) : un mois pour apprendre à protéger son « moi » numérique

Si octobre évoque pour beaucoup la fête d’Halloween, c’est également le mois idéal pour se familiariser avec l’univers du digital. Comment ? Lors de l’évènement annuel du Cybermois. Là, qu’importe l’âge, le statut social, le genre ou l’emploi, chacun peut y approfondir ses connaissances en la matière, et apprendre à se prémunir des dangers inhérents.

Et après tout, quoi de plus logique ? Ne pas parler aux inconnus, pratiquer une activité physique régulière, regarder avant de traverser une route… On nous apprend depuis toujours à être prudent « dans la vraie vie ». Pourquoi devrait-il en être autrement sur internet ? Ensemble, profitons du Cybermois pour adopter de bons réflexes !

Comprendre le fonctionnement du web et du dark web

Vous pensiez tout savoir sur le web ? En fait, internet est comme un iceberg. Seule une infime partie, d’en moyenne 10 %, en est visible. Voyons cela de plus près.

Le web de surface : la face visible de l’iceberg

Le web visible est la couche la plus connue. Globalement, le web surfacique contient l’ensemble des pages indexées par un moteur de recherche. En d’autres termes, ce sont les résultats qui apparaissent dans Google, Bing, Qwant et consorts.

Le deep web : la couche injustement diabolisée

Aussi appelée le web profond, cette deuxième strate recense à présent toutes les pages protégées par mots de passe ou non-indexées. Ce, dans le but de préserver la vie privée des utilisateurs ou l’intégrité des informations. En réalité, accéder à ces contenus cachés ne représente aucune menace particulière, ni pour les ordinateurs, ni pour les personnes. Aucune configuration ou connaissance spécifiques ne sont d’ailleurs requises. Pour preuve, nombre d’utilisateurs s’en servent régulièrement sans même le savoir :

• bases de données d’entreprises ;
• comptes de messageries électroniques ;
• comptes bancaires ;
• contenus payants ;
• etc.

Le dark web : la face cachée et sombre d’internet

Tout comme le deep web, le darknet appartient au web invisible. À l’origine, cette sous-couche d’internet a été créée par le réseau Tor, pour permettre notamment à des citoyens de pays totalitaires de communiquer sans censure. De par sa structure, elle offre en effet :

• aucune indexation des pages dans les moteurs de recherche traditionnels ;
• sites accessibles uniquement via des navigateurs spécifiques (Tor…) ;
• intraçabilité et anonymat.

Aujourd’hui, le dark web est une zone de non-droit où se télescopent téléchargement illégal en P2P et vente d’armes, contenus pédophiles et ultraviolents… La crise sanitaire aidant, il est aussi devenu le refuge de hackers, officiant de plus en plus à l’aide d’attaques sophistiquées.

Dark web et cybercriminalité

La cyberattaque en hausse

La Covid-19 a contribué à la digitalisation des entreprises. Forcément, qui dit plus d’intérêt porté aux outils numériques dit également plus de risques. Le nombre de cyberattaques a de fait considérablement augmenté durant la pandémie. De grandes entreprises, des structures hospitalières ont notamment été victimes de ces piratages malveillants.

Les différents types de menaces

Aujourd’hui, les pirates disposent d’outils de plus en plus perfectionnés. Ils ont d’ailleurs eux-mêmes « monté en compétences », faisant de leurs attaques informatiques de véritables fléaux, pour les entreprises comme les particuliers. Voici quelques-unes des techniques de piratage les plus prisées des cybercriminels :

• ingénierie sociale : attaque qui consiste à actionner divers leviers (peur, appât du gain, curiosité, urgence…) dans le but de soutirer de l’argent ou leurs données aux victimes. Il s’agit par exemple d’hameçonnage, harponnage, ransomware, talonnage… ;
• ddos ou attaque par déni de service : saturer le réseau d’une entreprise de requêtes pour l’affaiblir. Ce faisant, le hacker génère une panne du site ou service, générant elle-même une perte de CA, baisse de productivité, déficit d’image… ;
• backdoor ou porte dérobée : logiciel malveillant redoutable fonctionnant en arrière-plan. Il s’agit généralement de virus, logiciels espions, enregistreurs de frappe, chevaux de Troie, logiciels de gestion à distance… Pour cela, les attaquants n’ont pas forcément besoin d’avoir un accès direct à votre ordinateur. Une faille informatique, un mail frauduleux, un hoax ou la ruse de l’ingénierie sociale le permettront tout aussi bien… ;
• backdoor à l’installation : de façon tout à fait légale, une application peut accéder aux informations contenues dans votre appareil. L’utilisateur en est averti soit par une notification push-up, soit dans les CGV ;
• shadow IT : menace interne consistant à installer et utiliser un programme n’ayant pas été validé par le service de sécurité des systèmes d’information (SSI). Or, l’installation de logiciels gratuits induit généralement que l’utilisateur est lui-même le produit. Des informations personnelles peuvent donc être collectées et envoyées à un tiers ;
• etc.

Les conséquences

Que ce soit à des fins malveillantes, pour s’enrichir ou même par pur défi technique, les répercussions de tels incidents peuvent être désastreuses :

• surveillance active : savoir qui fait quoi pour pouvoir l’empêcher d’atteindre ses objectifs le moment venu ;
• vol de données : statistiques, données sensibles, données personnelles, facturation… ;
• paralysie d’une entreprise : générer une perte de profits considérable (chiffre d’affaires, actions…) ;
• coût financier : infecter des machines, réseaux, serveurs pour demander une rançon ;
• déficit d’image : selon l’envergure des cibles, la médiatisation d’une menace informatique, réussie ou non, peut avoir un fort impact sur son image de marque ;
• publicité ciblée : pour inciter à acheter des produits ou services ;
• etc.

Pour un cybercriminel, il est très facile de se procurer des programmes malveillants sur le dark web. De plus en plus sophistiqués, certains kits clé en main permettent désormais de scanner les appareils. Mieux, d’y faire des recherches par mots-clefs et même de noter automatiquement la « qualité » des informations trouvées. Le hacker sait alors exactement comment s’en prendre à sa proie et surtout, si cela en vaut la peine.

Bonnes pratiques pour réduire sa vulnérabilité

Auriez-vous envie de manger dans un restaurant dans lequel le personnel est désagréable, le sol collant et les cuisines sales ? A priori, non. Il est important de raisonner sur internet comme vous le feriez dans la vie quotidienne. Mais, au même titre que les hackers d’aujourd’hui sont de plus en plus rusés, en augmentant votre seuil de confiance. Une syntaxe douteuse ou quelques fautes d’orthographe peuvent être un signe, mais ne suffisent clairement plus. Prêtez un regard attentif sur plusieurs points :

• achats en ligne : avant de procéder à un achat sur des sites internet, pensez à vérifier plusieurs critères. La notoriété de l’entreprise, les avis clients, la présence de mentions légales (obligatoires), l’adresse (pas de boîte postale) ou même les photos utilisées en faisant une recherche d’image inversée sur Google ;
• mots de passe : en choisir un suffisamment long et complexe (majuscule, minuscule, caractère spécial, chiffre) ; ne pas y intégrer d’informations personnelles (date de naissance, mariage, prénom d’un enfant ou d’un animal domestique…) ; ne pas le partager ; changer ceux fournis par défaut puis les modifier régulièrement ; vérifier l’intégrité de votre compte et, le cas échéant, changer immédiatement vos accès ; les conserver hors de l’ordinateur ; utiliser un mot de passe et un identifiant par site, au moyen d’alias et de gestionnaire de mots de passe si besoin ; activer l’authentification à double facteur lorsqu’elle est possible ;
• VPN payant : pour chiffrer votre flux de données. Préférez un VPN utilisant le protocole OpenVPN, pour une utilisation sur un terminal fixe (PC, MAC, serveur…) et le protocole IKEv2 pour les mobiles ;
• acceptations : lire les CGV et notifications attentivement pour comprendre ce que vous acceptez de partager, en veillant à ne pas accepter l’accès aux SMS ;
• informations publiques : donnez-en le moins possible et verrouillez-en l’accès ;
• sécurité : maintenir vos matériels à jour (logiciel, pare-feu, antivirus, firewall, système d’exploitation…) ;
• sensibilisation : apprendre à identifier une arnaque ou un mail frauduleux ;
• téléchargement : ne pas ouvrir de pièces jointes ni installer de logiciel quand leur origine est trouble ;
• etc.

En fouillant dans vos « affaires » digitales, un hacker peut tout savoir de vous : statut social, marital, enfants, animaux de compagnie, profession… En recoupant ces informations d’un compte à un autre, le hacking se mue en véritable danger. Pour protéger votre entreprise ou éviter de vous faire dérober des données précieuses, adoptez dès maintenant une bonne hygiène informatique ! Si besoin, Plus que pro peut vous accompagner dans vos démarches !