Du côté des informaticiens, l’utilisateur est souvent pointé du doigt comme responsable de problèmes ou d’attaques de la part de hackeurs. Pourtant, l’utilisateur se dit souvent démuni devant l’accumulation de couches informatiques qu’il doit gérer. Le sens de tous ces outils lui échappent aussi. Quel que soit le côté où l’on se place, il est important de comprendre les utilisateurs ont des failles. Cela les exposent à des risques importants au sein de son entreprise et en fait un élément vulnérable qu’il faut protéger.
Il est vrai que la plupart des attaques de personnes malveillantes ciblent en premier lieu les simples utilisateurs. Néanmoins, le problème est en partie à charge des informaticiens qui doivent faire preuve de patience et améliorer leur communication avec les utilisateurs. Ceci dans l’objectif de réduire le plus possible les risques auxquels ils sont exposés. Il s’agit aussi du but premier de la sensibilisation aux risques cyber. Pour se faire, il faut comprendre simplement le fonctionnement de ces attaques et en quoi l’utilisateur est vulnérable.
Comme nous l’expliquions dans notre article sur la sensibilisation aux risques cybers, le rapport de l’ANSSI publié début 2020 montre bien que l’essentiel des attaques informatiques ciblent les utilisateurs du SI.
Pour s’attaquer aux utilisateurs, le hackeur joue avec nos imperfections en tant qu’humain, notamment :
Aux premiers abords, ces principales « failles d’utilisateur » semblent être facilement détectable. Et pourtant, nous constatons que ce n’est pas le cas lors de nos mesures en termes de connaissance des collaborateurs. En effet, il arrive facilement que 50% des collaborateurs se fassent « attraper » sur des modèles de phishing très simples et peu personnalisés.
Les conséquences d’une manœuvre visant à exploiter les failles de l’utilisateur peuvent être variées et dépendent souvent de la sécurité technique de l’entreprise. Cependant, avec un essor de plus en plus important des failles techniques des systèmes, le risque devient d’autant plus grand car les équipes informatiques sont débordées.
Lorsque l’utilisateur clique sur un lien, ouvre une pièce jointe, les conséquences au niveau du système d’information peuvent être :
Le hackeur utilise des leviers liés à nos imperfections en tant qu’humain pour arriver à ses fins. Une fois qu’il a pu percer la sécurité humaine d’un utilisateur, il peut être bloqué ou simplement freiné par certains systèmes de sécurité technique. Cependant, c’est trop peu souvent le cas. L’utililisation de failles techniques normalement abritées de l’extérieur leur devient possible. Ceci engendre un accès à des ressources ou systèmes de l’entreprise aux conséquences plus importantes qu’un simple poste de travail d’utilisateur.
Nous pouvons donc retenir que la sensibilisation aux risques cybers est primordiale pour ses collaborateurs. Par analogie, c’est au même titre qu’une sécurité incendie afin d’éviter un potentiel départ de feu pouvant mener à des pertes importantes au sein de l’entreprise.