Les fabricants ont été la cible privilégiée des cyberattaques mondiales au cours des quatre dernières années. Le secteur était également le premier en termes de rançongiciels en 2024, selon Données IBMAinsi, lorsque Jaguar Land Rover (JLR) a annoncé avoir été victime d'extorsionnistes numériques début septembre, cela n'a pas constitué une grande surprise. Mais cela a rappelé à point nommé l'impact potentiellement critique de telles attaques sur la continuité des activités.
Les équipes de sécurité devraient profiter de cette occasion pour convaincre le conseil d’administration d’investir davantage dans la cyber-résilience.
Les retombées continuent
Le Royaume-Uni a été secoué cette année par une série d'attaques de cyberextorsion. Elles semblent toutes provenir d'un groupe informel d'acteurs malveillants anglophones, appelés Scattered Spider, Shiny Hunters et désormais Scattered Lapsus$ Hunters. Il y a d'abord eu le raid contre des distributeurs comme M&S et Co-op. Puis, une campagne visant la chaîne d'approvisionnement a ciblé des instances Salesforce. Puis, une série d'attaques similaires visant des clients Salesforce, ciblant leur intégration Salesloft Drift, a suivi. Le groupe est désormais apparemment se vantant sur sa chaîne Telegram d'avoir piraté JLR.
La manière exacte dont cela a été fait n'est pas encore confirmée, bien que certains rapports mentionnent l'exploitation d'une vulnérabilité de SAP NetWeaver. Un bug critique du logiciel a été corrigé par SAP en avril, et connu pour avoir été utilisé par des groupes de rançongiciels, dont le code d'exploitation est accessible au public. Au-delà des tactiques, techniques et procédures (TTP), nous savons précisément quels sont les enjeux pour JLR.
Dès le premier jour, l'entreprise a admis que ses activités de vente et de production avaient été gravement perturbées. Une semaine plus tard, JLR révélait : « Certaines données ont été affectées et nous informons les autorités de régulation compétentes. » Le personnel des sites de Solihull, Halewood, Wolverhampton et hors du Royaume-Uni étant toujours dans l'impossibilité de travailler. c'est estimé que les retombées pourraient coûter à JLR jusqu'à 5 millions de livres sterling par jour en pertes de bénéfices.
Sans parler de l’impact sur une chaîne d’approvisionnement étendue qui dépend de JLR pour sa subsistance. Les syndicats ont appelé pour le soutien du gouvernement après (lire ici) Certains fournisseurs sont menacés de faillite. Pour couronner le tout, septembre est l'un des mois les plus chargés de l'année pour les constructeurs automobiles et leurs partenaires, car il coïncide avec la sortie des nouvelles plaques d'immatriculation. JLR a retardé la réouverture de ses installations à plusieurs reprises. Au moment de la rédaction de cet article, la dernière interruption de production prolongerait l'arrêt jusqu'au 1er octobre.
Ce que signifie la résilience
Tout cela devrait mettre en lumière des enseignements importants quant à la nécessité pour les organisations de se concentrer sur l'amélioration de leur cyber-résilience. Qu'est-ce que la résilience ? Selon le NIST, c'est la capacité à « anticiper, résister, se rétablir et s'adapter » aux cyberattaques. Cela implique de mettre en place les meilleures pratiques pour réduire les possibilités d'accès des acteurs malveillants aux réseaux et ressources critiques, mais aussi pour que l'organisation puisse se rétablir rapidement et poursuivre ses activités normalement, même en cas de faille.
Tim Grieveson, RSSI de ThingsRecon, affirme que pour y parvenir, les responsables de la sécurité doivent d'abord comprendre les fonctions clés de leur organisation et les systèmes associés. Cela leur permettra de prioriser les investissements en fonction de leur impact sur l'entreprise.
Au lieu d'utiliser un jargon technique comme les "scores de vulnérabilité", les RSSI devraient traduire le cyber-risque en termes financiers, compréhensibles par le conseil d'administration et la direction. Cela pourrait impliquer de présenter le coût potentiel des interruptions de service, des pertes de données ou des amendes réglementaires », explique Grieveson à ISMS.online.
La stratégie d'un RSSI doit également partir du principe qu'une faille de sécurité n'est pas une question de "si", mais de "quand". Cela permet de passer de la construction d'un mur infranchissable à la mise en place d'un système capable d'absorber, de résister et de se rétablir rapidement d'une attaque.
Les RSSI doivent également comprendre l'importance de la formation continue des employés afin de développer une culture de sécurité. « Cela permet à chaque employé de devenir un acteur de la défense de la sécurité et lui apprend à reconnaître et à signaler les menaces potentielles comme les tentatives de phishing », explique-t-il.
Cependant, même avec la meilleure formation, des failles de sécurité peuvent survenir. C'est là qu'interviennent les tests selon des scénarios prédéfinis, selon William Wright, PDG de Closed Door Security.
« Quelle est la situation la plus défavorable ? Si une telle situation se présente, l'organisation peut-elle s'en remettre ? Sinon, quelles sont les lacunes et comment les atténuer ? Cette évaluation doit couvrir tous les actifs internes et externes. Par exemple, quel impact les failles de sécurité chez les fournisseurs peuvent-elles avoir sur mes opérations ? Toutes les attaques ne sont pas directes », explique-t-il à ISMS.online.
« Dans ces environnements, lorsque cela est possible, tous les scénarios d'attaque disposeront d'un manuel d'atténuation prêt à l'emploi et répété, tandis que des sauvegardes seront toujours en place pour limiter l'impact opérationnel des attaques. »
Le Zero Trust peut également être un moyen utile de réfléchir au renforcement de la résilience, ajoute Grieveson.
« Une approche Zero Trust part du principe que le réseau est déjà compromis et exige que chaque utilisateur, appareil et application soit vérifié avant d'accorder l'accès », explique-t-il. « Cela est particulièrement pertinent pour les fabricants qui s'appuient souvent sur un mélange d'anciens systèmes technologiques opérationnels et d'une informatique plus récente. »
Les normes peuvent aider
Grieveson ajoute que les normes de bonnes pratiques telles que ISO 27001 et SOC2 peuvent également contribuer à renforcer la résilience en mettant en place un cadre structuré pour la gestion de la sécurité de l’information.
« Ils offrent des attentes concrètes sur ce à quoi ressemble une bonne chose, qui va au-delà de la simple prévention des attaques », conclut-il.
Au lieu de considérer la sécurité comme un exercice réactif consistant à cocher des cases, elle encourage les entreprises à adopter une approche proactive et orientée métier, avec la gouvernance, les processus et les contrôles nécessaires pour prévenir les attaques et garantir la survie et la reprise rapide de l'entreprise en cas de faille inévitable.
