Par Malaïka Ogandaga
Lors de son atelier-conférence intitulé Enjeux de cybersécurité – Le monde de l’Éducation n’y échappe guère, M. Jean-Philippe Racine, président du Groupe Cyberswat, a présenté un aperçu global des menaces de sécurité pour le monde de l’éducation, notamment dans le contexte du travail à distance.
Un faux sentiment de sécurité:
Beaucoup de personnes et d’organismes ont un faux sentiment de sécurité et de croyances à propos de la sécurité de leurs données.
J’ai délégué mon informatique à un fournisseur, ce n’est plus ma responsabilité
Toutes mes informations sont dans le cloud, c’est mon fournisseur qui gère ça.
M. Racine nous rappelle que ce n’est pas parce que nos données sont hébergées par des fournisseurs de service qu’elles sont protégées. Il faut aussi distinguer la sécurité du fournisseur de la sécurité de l’organisation. Deux organisations peuvent utiliser le même fournisseur mais ne pas avoir les mêmes configurations de sécurité. Des chercheurs ont consulté les prix demandés pour nos données, dans le dark web index. Une carte de crédit avec une limite de 5000$ coûterait environ 120$! Un passeport? De 100 à 3800$! Nos données valent beaucoup plus qu’on ne le pense!
Les types de cyberattaques:
M. Racine nous présente ensuite quelques types de cyberattaques auxquels nous sommes susceptibles.
- Le hacktivisme aussi appelé cyberactivisme au Québec.
- Le cyberespionnage qui a souvent lieu entre pays ou entre entreprises
- Le loup solitaire ou un individu qui agit plus par intérêt, par défi ou pour se faire une réputation. Par exemple, un étudiant qui pourrait manipuler les données d’une institution pour garantir l’obtention d’un diplôme.
Le crime organisé s’en mêle aussi avec une recrudescence d’engagement au cours des dernières années. Et les brèches de sécurité peuvent également provenir des employés ou même des clients: un courriel envoyé par erreur, un ancien employé insatisfait.
Le déni de service (simulation du trafic sur un site internet causant une saturation et l’inaccessibilité du site) constitue un autre type d’attaque qui pourrait survenir. Celui-ci est susceptible d’affecter les institutions éducatives et d’empêcher la prestation de cours à distance. Les employés n’ont malheureusement pas de pouvoir sur ce type d’attaque. L’hameçonnage ou phishing est un deuxième type d’attaque. Il s’agit de l’usurpation d’identité d’une personne ou d’une entreprise. Les fraudeurs tentent de capturer vos données en envoyant un courriel d’hameçonnage comprenant peu de texte pour vous inciter à cliquer sur des liens ou des pièces jointes. Le courriel reste la première porte d’entrée pour ce type d’attaques.
M. Racine présente par la suite une série d’exemples de courriels suspects, de messages textes et de liens qui devraient, si vous en recevez, sonner l’alarme.
Le dernier type d’attaque présenté par M. Racine, est le rançongiciel en anglais ransomware. Le rançongiciel consiste à prendre en otages les données d’un individu ou d’un organisme. Cela peut prendre jusqu’à dix jours à une compagnie pour s’en remettre. Selon le Centre canadien pour la cybersécurité, le nombre de demandes a connu une recrudescence marquée en début de pandémie, en raison de l’utilisation accrue du numérique dans notre quotidien.
Les conseils à suivre pour se protéger de telles attaques
M. Racine nous rappelle de faire attention à nos mots de passe: avoir des mots de passe différents pour le travail et pour la vie personnelle. Ne pas partager nos mots de passe avec nos collègues et éviter l’utilisation de comptes génériques. Il conseille aussi de mettre en place un système d’authentification à deux facteurs. Le courriel ne devrait pas non plus être utilisé pour partager des informations personnelles. Pour ce faire, il faut lui préférer d’autres solutions selon notre contexte (sharepoint, team drive, etc). Les téléphones exigent aussi une attention particulière, car ils constituent un point d’accès de données.
Avant d’utiliser un nouvel outil infonuagique gratuit, il faut veiller à impliquer notre équipe informatique afin que des spécialistes évaluent la fiabilité de l’outil. Si vous êtes en mode télétravail, il vous faut aussi penser à protéger vos données de la maison: quels types de protocole réseau utilisez-vous? Quand avez- vous changé le mot de passe de votre internet sans fil pour la dernière fois? Est-il assez complexe? Votre routeur est-il à jour? Effectuez une mise à jour régulière de votre équipement de travail.
Pour tester si vos données sont compromises
Le site Internet Have I Been Pwned? créé par Troy Hunt, est une référence lorsqu’il est question de savoir si vous avez été victime d’une fuite de données.
Outils pour sauvegarder et sécuriser vos mots de passe:
En cas d’attaques rançongiciels: n’éteignez pas votre ordinateur! Débranchez-le plutôt du réseau. Ceci protégera la scène du crime et permettra aux spécialistes de mieux comprendre la nature de l’attaque et l’ampleur des dommages.
La cybersécurité est un processus continu
M. Racine conclut sa présentation en disant que « La cybersécurité est un processus continu. Vous devez être vigilant à tout moment, autant dans votre vie professionnelle que personnelle » .
