Cyberattaque : comment protéger vos données comptables

Qu'est ce que la cybercriminalité : définition

Selon une étude de l’INSEE en 2018 et 2019, en moyenne, près de 60% des internautes européens ont signalé avoir été confrontés à une cyberattaque. Mais de quoi parle-t-on quand on utilise le mot "cybercriminalité". Le terme rassemble toutes les techniques utilisées pour nuire à une société ou un utilisateur, voler des informations ou de l'argent de sociétés ou personnes physiques, sur tout support connecté à internet, par email (hameçonnage), sur un site web ou encore une application, sur appareil mobile (smartphone, tablette, ordinateur portable) ou PC de bureau. 

Certaines concernent uniquement les services de l'entreprise comme l'attaque DDoS qui envoie des milliers de requêtes pour provoquer un "déni de service" et rendre un site inaccessible, mais la plupart touchent l'utilisateur plus personnellement.

Il peut donc s'agir de cyberattaque pour subtiliser vos identifiants, vos informations bancaires, les données comptables de votre société (pour les revendre à la concurrence par exemple), ou encore vos coordonnées personnelles et utiliser votre adresse IP pour agir illégalement. C'est d'autant plus grave dans le milieu de la comptabilité, où votre entreprise est visée, avec des risques d'usurpation d'identité désastreux : fausse déclaration d'impôt, récupération des coordonnées de vos clients, manipulation de vos comptes, récupération de vos données bancaires... 

Néanmoins certains types de cyberattaque sont très difficiles à identifier car il s'agit de tromper votre confiance, ou au contraire, subtiliser votre identité et tromper la confiance d'une entreprise ou d'autres utilisateurs. 

Quel est le but d'une cyber attaque : exemples de motifs

La motivation derrière une cyberattaque est la plupart du temps de voler quelque chose à la cible bien entendu mais il n'est pas toujours question d'argent. Voici quelques unes des raisons pour lesquelles vous pouvez être victime d'une cyberattaque, ransomware, malware, ou autre logiciel malveillant : 

• La vente de coordonnées : Il s'agit de récupérer un maximum d'adresse email, carte de crédit, numéros de téléphone, et même adresses postales, et les revendre à des sociétés peu scrupuleuses pour leur marketing par exemple
• La vente de données professionnelles : le pirate informatique peut chercher à récupérer des données plus complexes que vos infos personnelles comme vos données comptables, vos documents professionnels, ou autre fichiers confidentiels, une nouvelle fois pour les vendre au plus offrant
• La demande de rançon : dans certains cas, il ne s'agit pas de revendre vos données à un tiers mais de demander une rançon ("ransomware"), ce qui est une pratique plus courante pour les entreprises victimes d'une faille de sécurité
• La vengeance : il existe des cas particuliers de cyberattaques qui ne consistent qu'à se venger d'une entreprise ou une personne en particulier, souvent réalisée ou commanditée par un ancien employé ou ancien contact qui souhaite rendre ses données publiques
• La faillite d'une entreprise : certaines cyberattaques sont simplement motivées par l'envie de détruire la réputation d'une entreprise et de ses services, comme une attaque DDoS ou "déni de service" qui peut paralyser un site commercial ou un réseau social

Quel est le type de cyberattaque le plus courant aujourd'hui : les vecteurs d'attaque

Lorsqu'il s'agit de données comptables, il peut y avoir plusieurs manières pour un pirate informatique d'obtenir vos informations. Tout d'abord, il peut se faire passer pour une société que vous connaissez (Gmail, La Poste, votre expert-comptable...) par l'intermédiaire d'un mail au ton très urgent qui vous demande de cliquer sur un lien pour assurer votre "sécurité". Cliquer sur un lien de ce type peut avoir plusieurs résultats : arriver sur une page demandant vos identifiants de connexion (déguisée comme une page que vous connaissez) ou lancer le téléchargement d'un logiciel malveillant (malware, ransomware...) sur votre ordinateur. 

N'oubliez jamais qu'AUCUNE société ne vous demandera de donner vos identifiants de connexion et surtout votre mot de passe par l'intermédiaire d'un e-mail, à moins que vous ayez vous même demandé le changement d'un mot de passe par exemple. Soyez toujours vigilant, et allez directement sur le site du compte concerné SANS passer par le lien de l'e-mail, pour vérifier si tout est OK. 

Mais s'il réussit à s'infiltrer dans le système ou juste à récupérer votre adresse, il peut aussi se faire passer pour votre expert-comptable ou un tiers de confiance par e-mail et vous demander des documents justificatifs sur votre compta ou celle de votre entreprise.

Chez Dougs, c'est simple : nous ne passons JAMAIS par les e-mails pour échanger avec nos clients, qu'il s'agisse de documents ou informations confidentielles. Tout passe par votre outil de gestion comptable sécurisé. Nous sommes conscients qu'une faille de sécurité, c'est une atteinte à votre vie privée, votre entreprise, mais aussi une atteinte à la réputation de notre service d'expertise comptable en ligne. 

Exemples de cyberattaques en France et à l'étranger dans l'actualité

Le risque de cyberattaque n'est pas un mythe, elles arrivent régulièrement dans les pays occidentaux où les systèmes de sécurité sont très souvent informatisés. Ces attaques ne sont pas toujours mises en avant par les grands médias, d'où une méconnaissance du grand public de ces risques. Nous avons sélectionné deux exemples pour illustrer la récente vague de cyberattaques de pirates informatiques.

Cyberattaque en hôpital : le CHU de Rennes

Le 21 Juin 2023, le CHU de Rennes a détecté une intrusion dans son système informatique, au départ sans savoir si des données de patients ou d’employés ont été récupérées. Un mois plus tard, des données personnelles, documents financiers, et informations relatives au personnel de l'hôpital ont fuité sur le "dark web" (Les sites illégaux et difficiles d'accès de l'internet). Certains employés de l'hôpital ont même reçu un mail des hackers demandant une rançon et menaçant la publication de leurs données. 

Le site de l'hôpital est resté inaccessible pendant des semaines, mais surtout, les informations de patients et personnels ont été mises en vente, ce qui peut rapporter aux criminels plusieurs dizaines de milliers d'euros. Sans compter que l'objectif d'un acheteur de données, généralement un autre hacker, est de profiter de ces données à long terme, à travers l'usurpation d'identité de patients et professionnels de santé. 

La cyberattaque de Las Vegas

Le 15 septembre 2023, on apprend que 2 casinos de Las Vegas en Arizona ont connu l'un après l'autre une fuite d'argent et de données de leurs clients suite à une cyberattaque majeure. Il s'agit du Caesars Palace et le MGM Grand, deux établissements mythiques de la capitale du jeu d'argent, complètement paralysés par une bande de hackers nommés Scattered Spider. A la clé : des pertes financières immenses (15 millions de dollars), une confusion totale (paralysie des ascenseurs, distributeurs de billets, et serrures digitales des chambres du MGM Grand) et 6 téraoctets de données (6000 Go) volées.

Le secret des hackers ? Se faire passer pour quelqu'un d'autre par mail (phishing) et au téléphone (vishing, un nouveau type de cyberattaque), et provoquer l'erreur humaine, ce qu'on appelle une "menace interne". Une nouvelle démonstration qu'une vulnérabilité même minime de la sécurité peut avoir des résultats catastrophiques, et les grandes entreprises ne sont pas épargnées.

Comment Dougs protège vos données des cyberattaques ? 

Dougs considère la sécurité des données et la prévention des cyberattaques comme une mission primordiale dans le cadre de sa relation client. Voilà pourquoi, pour assurer la prévention de cyberattaque, il existe de nombreuses barrières qui protègent vos données, que ce soit lors d'échanges avec les équipes comptables, juridiques, fiscalistes, social, ou lorsque vous ajoutez des documents comptables par l'intermédiaire de l'application Dougs. 

Dans le détail : 

• Notre Responsable de la Sécurité des Systèmes d'information de Dougs établi, implémente, maintien, surveille et tient à jour notre Politique de Sécurité de l'information
• Tout le personnel de Dougs est régulièrement formé et sensibilisé aux risques de sécurité
• Certains membres du personnel de Dougs ont accès aux données qui nous sont confiées, et sont tenus au secret professionnel par clause spécifique de leur contrat de travail
• Les données de nos clients sont quotidiennement sauvegardées et répliquées à plusieurs endroits pour assurer leur disponibilité
• Les données personnelles de nos clients sont chiffrées chaque fois qu’elles sont transmises à Dougs via la technologie TLS/SSL pour assurer leur confidentialité
• Dougs s'appuie sur des fournisseurs de services leaders du secteur pour la gestion des serveurs, de l'hébergement et des infrastructures, certifiés par les principales normes internationales telles que ISO 27001, et sont audités chaque année par des organismes indépendants
• Nous disposons d'une infrastructure haute disponibilité certifiée et d'un plan de reprise d'activité documenté, testé au moins annuellement
• La sécurité de l’application est régulièrement testée, à l'aide de tests de pénétration informatique, par des tiers hautement qualifiés
• Toute vulnérabilité détectée est corrigée dans le cadre de notre processus itératif d’amélioration continue

Que faire en cas d'attaque informatique ? Comment se protéger ? 

Se protéger des cyberattaques n'est pas aussi compliqué qu'on peut le penser pour les clients ou utilisateurs d'un service : il suffit de prendre des précautions au quotidien dans votre utilisation d'internet. En effet, la cybersécurité est plus une question de prévention que de réaction : une fois la faille trouvée (attaque DDoS, logiciels malveillants, chevaux de troie sous forme de malware/ransomware...) il est souvent trop tard pour empêcher la fuite de données ou l'usurpation d'adresse IP. La cybersécurité passe par des solutions de protection du côté des entreprises, mais aussi quelques réflexes à prendre pour assurer votre cybersécurité : 

• Utiliser un mot de passe complexe et séparé de vos informations personnelles : utiliser des caractères en majuscule ET minuscule, des caractères spéciaux (exemple : !@#-%$^), une longueur minimum de 12 caractères et éviter totalement les références à un chiffre facilement récupérable (date de naissance, numéro de compte...)
• Vérifier l'adresse de provenance d'un e-mail : en quelques secondes, vous pouvez voir si cet e-mail de votre banque, opérateur téléphonique ou service public est réel, il suffit de chercher le dernier contact que vous avez eu avec l'organisme par mail (ou le copier sur Google), si vous n'êtes pas certain, préférez aller sur le site concerné SANS cliquer sur un lien de l'e-mail (c'est ce qu'on appelle l'hameçonnage), et utiliser vos identifiants de connexion pour voir s'il y avait une réelle urgence
• Ne jamais envoyer d'information bancaire ou comptable par email : de nos jours, les sociétés de confiance qui vous demandent un RIB ou autre document bancaire/comptable le font directement sur leur site, jamais par e-mail, car leur plateforme est plus sécurisée que votre boîte e-mail
• Eviter les réseaux Wifi publics, et ne jamais consulter des données sensibles en étant connecté à un Wifi qui n'est ni personnel ni professionnel, vos données peuvent être récupérées facilement par détournement de session (Hijacking)
• Vérifier les avis sur les sites sur lesquels vous faites vos achats, pour connaître leurs solutions de protection
• Vérifier que vos pare-feux sont actifs et sur Windows et Mac, qui vous avertissent lorsque vous ouvrez un fichier suspect

Mais la cybersécurité est d'abord dépendante des sites auxquels vous faites confiance pour vos achats ou abonnements. E-commerces, banques, établissements publics, par l'intermédiaire d'un site web ou une application, tous doivent offrir des solutions de protection et faire face aux menaces internes. Cela peut être une clé unique pour chaque connexion, une protection contre les connexions depuis une nouvelle IP, et plus globalement un travail continu pour prévenir les menaces internes, protéger les données, le système informatique, leurs serveurs. 

Quelle assurance contre les cyberattaques ? 

Il existe des assurances "cyber-risques" à souscrire si votre entreprise possède des données très précieuses et susceptibles d'être la cible de hackers. Les tarifs sont néanmoins très fluctuants : ils commencent à quelques centaines d'euros avec une protection minimale des données, et vont jusqu'à 50 000€ pour les couvertures les plus complètes. Et même si l'assurance répare votre préjudice financier, le préjudice à votre réputation (si vous êtes une entreprise) ou votre vie privée (si vous êtes un client/utilisateur) reste un problème qui ne peut être résolu qu'avec une bonne prévention en cybersécurité.