La vie privée des travailleurs, leur identité personnelle et leur chance d’accéder aux qualifications sont menacées car les entreprises sacrifient la sécurité pour faire plus de travail. Alors que 85 % des entreprises ont un budget dédié à la sécurité mobile, un peu plus de la moitié, 52 %, ont sacrifié la sécurité des appareils mobiles et IoT pour « faire le travail » et respecter des délais serrés ou atteindre des objectifs d’efficacité. L’indice de sécurité mobile (MSI) de Verizon pour 2022 a révélé une augmentation de 22 % des cyberattaques, y compris les gadgets mobiles et IoT au cours de l’année dernière. Verizon s’est entretenu avec 632 experts en sécurité et en menaces basés en Australie, au Royaume-Uni et aux États-Unis.
Les attaques mobiles deviennent de plus en plus graves
Les niveaux de gravité des attaques mobiles sont à des niveaux déclarés par le groupe d’étude de recherche de Verizon ne pas avoir vu depuis qu’ils ont commencé l’indice de sécurité il y a des années. Les entreprises qui signalent que les attaques de sécurité mobile ont un impact durable sont passées de 28 % l’an dernier à 42 % cette année, soit une augmentation de 33 % en douze mois. Alors que près d’un quart des entreprises ont connu une compromission de la sécurité mobile l’année dernière, la majorité, 74 %, déclarent que l’effet a été significatif.
Sacrifier la sécurité à l’efficacité
« Au cours des deux dernières années en particulier, de nombreuses organisations ont compromis contrôles de sécurité pour soutenir les performances et garantir la connexion de l’entreprise », Shridhar Mittal, PDG de Zimperium, dans le rapport 2022 sur les risques mobiles internationaux de l’entreprise. En conséquence, l’équipe d’experts en sécurité de Verizon a déclaré qu’elle « n’était pas étonnée d’apprendre que plus de la moitié des personnes interrogées ont déclaré qu’elles avaient sacrifié la sécurité des téléphones mobiles ».
Alors que 66 % des 632 spécialistes de la sécurité interrogés par Verizon dans le monde ont déclaré qu’ils subiraient des pressions pour sacrifier la sécurité des téléphones mobiles « pour terminer le travail », 79 % d’entre eux ont succombé à la pression. Cela concerne plus de la moitié, soit 52 %, de tous les spécialistes de la sécurité qui choisissent de sacrifier la sécurité au profit de la vitesse.
Le compromis entre la sécurité et la vitesse et les performances explique pourquoi le budget de cybersécurité les plans sont un choix de service qui affecte tous les domaines des opérations d’une entreprise – et l’identité des travailleurs.
« Pour les services, quels que soient le marché, la taille ou l’emplacement sur une carte, les temps d’arrêt sont une perte d’argent. Les informations compromises sont une perte de confiance, et ces moments sont difficiles à rebondir, bien que cela soit possible », a déclaré Sampath Sowmyanarayan, PDG de Verizon Organization. « En conséquence, les entreprises doivent consacrer du temps et un plan de dépenses à leur architecture de sécurité, en particulier sur les gadgets hors site. Sinon, elles s’exposent aux vedettes de la cybermenace. »
Modèles typiques d’attaques de téléphones portables
Le piratage du téléphone portable d’un membre du personnel qui est également utilisé pour accéder aux réseaux d’entreprise est une mine d’or pour les cyberattaquants. En outre, le vol d’identité, le vol de cartes de crédit et d’informations bancaires, et l’obtention d’un accès chanceux aux informations d’identification des réseaux d’entreprise sont utilisés par les cyberattaquants pour créer des applications trompeuses de cartes de crédit, d’hypothèques et de prêts bancaires.
Les prêts pandémiques de la Small Business Administration (SBA) sont un endroit considérable où les cyberattaquants ont en fait volé les données d’identité des téléphones. Les services secrets américains ont en fait pu récupérer 286 millions de dollars de fonds acquis par des cyberattaquants en utilisant des identités volées. Depuis que cela a commencé, la SBA a fourni une assistance sur les mesures que les individus peuvent prendre pour se protéger contre les fraudes et les escroqueries.
Les cyberattaquants recherchent les données personnelles, les identités et les chanceux des employés pour accéder aux informations d’identification
Les cyberattaques mobiles sont mortelles car elles frappent à l’intersection de l’identité, de la vie privée et de la vie professionnelle d’une personne. Par conséquent, la formation constante des employés à la cybersécurité est aujourd’hui essentielle. En outre, les cyberattaquants utilisent de nombreuses techniques pour accéder aux données les plus précieuses du téléphone, telles que les suivantes.
Attaques de la chaîne d’approvisionnement sur les applications Android et iOS
Les chercheurs de Proofpoint ont découvert une augmentation de 500 % efforts d’expédition de logiciels malveillants en Europe plus tôt cette année. Les cyberattaquants et les gangs collaborent pour placer des logiciels malveillants mobiles dans les applications, de sorte que des milliers d’utilisateurs les téléchargent quotidiennement. En outre, des dizaines de milliers de travailleurs travaillant pour des entreprises peuvent avoir des logiciels malveillants sur leurs téléphones qui pourraient compromettre un réseau d’entreprise.
Des deux plates-formes, Android est beaucoup plus populaire pour cette technique d’attaque, car la plate-forme prend en charge de nombreuses boutiques d’applications et est suffisamment ouverte pour permettre le chargement latéral d’applications à partir de n’importe quel site Web sur le Web. Malheureusement, cette commodité se transforme en une voie rapide pour les cyberattaques, qui peuvent compromettre un téléphone Android en quelques actions seulement. Pour les entreprises et leurs équipes de direction, c’est quelque chose à surveiller et à évaluer pour les téléphones.
Alternativement, Apple n’autorise pas les applications à chargement latéral et a une assurance qualité plus stricte. Cependant, l’iPhone est toujours piraté et, pour les entreprises, les cyberattaquants peuvent accéder au réseau et commencer à se déplacer latéralement en aussi peu qu’une heure et 24 minutes. Les éventuelles compromissions d’informations sur l’application Android Ring d’Amazon, l’application Android de Slack, Klarna et d’autres en sont un exemple.
Textes SMS contenant des liens pour installer des logiciels malveillants
Il s’agit d’une autre méthode couramment utilisée par les cyberattaquants pour introduire des logiciels malveillants sur les téléphones mobiles. Il est utilisé depuis de nombreuses années pour cibler les équipes de direction des grandes entreprises, dans l’espoir d’acquérir des informations d’identification privilégiées sur les réseaux d’entreprise. Les cyberattaquants exploitent le dark web à la recherche des numéros de téléphone portable des membres de la haute direction et s’appuient régulièrement sur cette stratégie pour implanter des logiciels malveillants sur leurs téléphones. Les conseils de la Federal Trade Commission sur la reconnaissance et le signalement des spams méritent d’être lus et partagés par les groupes de direction, qui ont très probablement déjà vu cette technique d’attaque dans leurs applications de messagerie instantanée.
L’hameçonnage continue d’être un problème croissant vecteur de menace
Le rapport d’enquête sur les violations d’informations (DBIR) de Verizon a en fait couvert le phishing pendant 15 ans dans son étude de recherche, la dernière étude MSI de Verizon indiquant que « 83 % des entreprises ont subi une attaque de phishing efficace par e-mail dans lequel un utilisateur a été trompé dans des activités dangereuses, telles que cliquer sur un mauvais lien, télécharger des logiciels malveillants, fournir des qualifications ou effectuer un virement bancaire. C’est une énorme augmentation par rapport à 2020, alors que le nombre n’était que de 46 % », selon le rapport 2022 de Verizon .
En outre, le rapport 2022 de Zimperium sur les dangers des mobiles dans le monde a révélé que 75 % des sites Web d’hameçonnage ciblaient les appareils mobiles au cours de l’année dernière.
La sécurité mobile doit se redéfinir avec une confiance zéro
Il est important de traiter chaque identité comme un tout nouveau périmètre de sécurité. Guide du marché 2022 de Gartner pour le réseau Zero Trust Accédez à des informations sur le besoin des équipes de sécurité de concevoir une structure de confiance zéro. Les chefs d’entreprise doivent réfléchir à la meilleure façon de commencer avec une méthode de confiance zéro pour protéger leurs téléphones mobiles, en commençant par la liste des recommandations ci-dessous.
La confiance zéro et la microsegmentation définiront l’efficacité à long terme de la sécurité mobile
La qualité de l’intégration des appareils mobiles dans les plans de microsegmentation est en partie attribuable à la manière dont une entreprise comprend le mappage des applications. L’utilisation de la dernière série d’outils pour comprendre les chemins d’interaction est nécessaire. La microsegmentation est l’un des aspects les plus difficiles de la mise en œuvre de l’absence de confiance. Pour bien faire les choses, commencez petit et adoptez une méthode itérative.
Activer l’authentification multifacteur (MFA) dans chaque entreprise et périphérique BYOD
Les principales plates-formes de gestion unifiée des terminaux (UEM), composées de celles de VMware et Ivanti, ont développé la MFA dans le code principal de leurs architectures. Comme MFA est l’un des principaux éléments de la confiance zéro, il s’agit généralement d’une victoire rapide pour les RSSI qui se sont souvent battus pour un budget. En spécifiant un plan de mise en œuvre MFA, assurez-vous d’ajouter un facteur ce que vous êtes (biométrique), ce que vous faites (biométrie comportementale) ou ce que vous avez (jeton) à ce que vous savez ( mot de passe ou code PIN) schémas d’authentification pour les appareils mobiles.
Définir les exigences matérielles et de système d’exploitation sécurisées pour les gadgets BYOD autorisés
Les entreprises rencontrent des problèmes en autorisant de nombreuses variations d’appareils et de niveaux de système d’exploitation dans leur flotte de gadgets tiers sur les réseaux d’entreprise . La standardisation sur un système d’exploitation standard est préférable, en particulier sur les tablettes, où de nombreuses entreprises découvrent que Windows 10 rend la gestion des parcs d’appareils plus efficace sur les plates-formes UEM.
Les téléphones portables à bas régime et traditionnels avec des régimes de confiance implicites conçus dans le micrologiciel sont un problème de sécurité. Ils sont ciblés par les attaques Crisis et Specter. De nombreux téléphones mobiles hérités n’ont pas les emplacements nécessaires pour les maintenir en vie, il est donc essentiel pour la sécurité d’avoir une flotte entière sur les dernières plates-formes matérielles et OS.
Gérez le BYOD et les appareils de mobilité appartenant à l’entreprise avec UEM
L’adoption d’une plate-forme UEM est essentielle pour garantir que chaque téléphone mobile est protégé à parité avec tous les autres. Les plates-formes UEM avancées peuvent également fournir une gestion de configuration automatisée et garantir la conformité aux normes de l’entreprise afin de réduire la menace d’une violation. Les CISO pressent les sociétés de plateformes UEM de consolider leurs plateformes et de fournir plus de valeur à moindre coût.
Le Magic Quadrant le plus récent de Gartner pour les outils de gestion unifiée des terminaux reflète l’influence des RSSI sur les techniques d’articles chez IBM, Ivanti, ManageEngine, Matrix42, Microsoft, VMware, Blackberry, Citrix et d’autres. L’analyse de marché de Gartner révèle que la solidité des terminaux est une autre exigence d’achat cruciale.
Les leaders de la sécurité des terminaux incluent la plate-forme Resilience de l’application Absolute Software, Cisco AI Endpoint Analytics, CrowdStrike Falcon, CyCognito, Delinea, FireEye Endpoint Security, Venafi, ZScaler et d’autres.
Automatisez la gestion des correctifs sur tous les appareils d’entreprise et BYOD
Beaucoup de spécialistes de la sécurité considèrent la gestion des correctifs comme longue et extrêmement complexe, et tardent souvent à la faire. En outre, 53 % ont déclaré que l’organisation et la concentration sur les vulnérabilités critiques occupaient la majorité de leur temps. Plus tôt cette année, lors de la RSA 2022, Ivanti a présenté un système d’intelligence des correctifs basé sur l’IA. Le correctif Nerve Cells pour Microsoft Endpoint Setup Display (MEM) dépend d’une série de robots basés sur un système expert (IA) pour rechercher, déterminer et mettre à niveau tous les correctifs sur les terminaux qui doivent être mis à niveau. Les autres fournisseurs fournissant une défense des terminaux basée sur l’IA sont Broadcom, CrowdStrike, SentinelOne, McAfee, Sophos, Pattern Micro, VMware Carbon Black, Cybereason et d’autres.
Un appareil mobile mis en danger suffit
Comme c’est le cas avec la microsegmentation, qui est un élément central de l’absence totale de confiance, les RSSI et leurs groupes doivent prendre leur point de vue qu’une cyberattaque est inévitable. Alors que Verizon a découvert que 82 % des experts en sécurité affirment que leurs organisations adoptent ou réfléchissent activement à une approche de la sécurité sans confiance, la plupart ont sacrifié la sécurité au profit de la vitesse pour en faire plus.
Les attaques mobiles devenant de plus en plus meurtrières et axées sur l’obtention d’un accès chanceux aux qualifications, les responsables de la sécurité doivent faire face au fait qui donne à réfléchir qu’il suffit d’un seul appareil mobile pour être mis en danger pour avoir une violation de l’infrastructure.
La mission de VentureBeat est d’être une place publique numérique permettant aux décideurs techniques d’acquérir des connaissances sur l’innovation et les transactions d’entreprise transformatrices. Découvrez nos Briefings.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
