Face à l'augmentation des risques de pannes, que peuvent faire les entreprises pour gérer les répercussions en matière de cybersécurité, telles que le phishing et l'ingénierie sociale ?
Par Kate O'Flaherty
En octobre, Amazon Web Services (AWS) a été touché par l'une des pannes les plus importantes en années. Bien que la panne elle-même ait causé des perturbations majeures, elle a conduit à avertissements que des adversaires menaient des cyberattaques pour exploiter le chaos qui régnait durant l'incident.
Les pannes se sont multipliées à un rythme effréné ces deux derniers mois. Azure de Microsoft a ensuite subi une attaque similaire, une semaine seulement après AWS. Puis, en novembre, le fournisseur d'infrastructure Cloudflare a été durement touché par une attaque. coupure de courant qui a paralysé de nombreux sites web et applications, offrant ainsi aux attaquants davantage d'opportunités de frapper.
La panne d'AWS et d'autres incidents similaires depuis montrent comment les perturbations chez les fournisseurs peuvent rapidement engendrer des risques pour les clients, tels que le phishing et l'ingénierie sociale. Face à l'augmentation du risque de pannes, comment les entreprises peuvent-elles gérer cette menace ?
Les attaquants exploitent la confusion
Les pannes attirent les cybercriminels car elles sèment la confusion parmi les utilisateurs et les organisations, une situation qu'ils peuvent exploiter pour mener des attaques. Pour les utilisateurs finaux, les pannes sont « désorientantes et ne permettent pas d'obtenir de réponses immédiates », souligne Richard Jones, vice-président Europe du Nord chez Confluent.
Cet environnement permet aux cybercriminels de prospérer, en exploitant la vulnérabilité de leurs victimes et leur besoin d'informations, explique-t-il. « Si vous êtes client d'une organisation qui utilise AWS pour son application et que vous ignorez pourquoi votre compte courant est soudainement inaccessible, vous êtes beaucoup plus susceptible de tomber dans le piège d'une tentative d'hameçonnage visant à vous soutirer vos informations personnelles. »
Lors de la panne d'AWS d'octobre 2025, des criminels ont rapidement commencé à usurper l'identité d'AWS et des services affectés, en envoyant des courriels et des SMS promettant de « rétablir l'accès » ou de « compenser l'indisponibilité », explique Bruce Jenkins, RSSI chez Black Duck. IO.
Suite à une panne, les entreprises sont souvent la cible de courriels frauduleux prétendant provenir d'un fournisseur de services cloud ou d'une équipe d'assistance informatique, explique Ross Brewer, vice-président de Graylog EMEA. Ces courriels incitent les utilisateurs à « revalider leur compte immédiatement » ou à « télécharger un correctif urgent » lorsque le service légitime est dégradé.
Ces « arnaques basées sur l'urgence » utilisent une image de marque convaincante et des adresses falsifiées, exploitant l'anxiété des utilisateurs et leur désir de solutions rapides, explique Jenkins. « Des schémas similaires ont été observés en 2021. » Facebook et Azure des pannes, au cours desquelles des attaquants ont envoyé de faux messages d'assistance ou de fausses invites de récupération de compte.
Pour ne rien arranger, le chaos engendré par une panne peut être aggravé par les équipes informatiques qui, dans leur empressement à rétablir les services, risquent d'affaiblir involontairement les défenses. Cela peut les amener à désactiver des contrôles de sécurité ou à étendre les autorisations, explique Jenkins.
Visibilité de la chaîne d'approvisionnement et gestion des dépendances
Face à l'augmentation des risques de pannes, les organisations doivent désormais se préparer aux répercussions qui peuvent se produire lorsqu'un tiers de confiance tombe en panne.
Pour éviter que des attaquants n'en profitent, les organisations ont besoin d'une visibilité accrue sur leurs systèmes. chaîne d'approvisionnement et les dépendances liées au cloud. Cela signifie « cartographier les services critiques, identifier la région cloud dans laquelle ils se trouvent et repérer les points de défaillance uniques », selon Brewer.
Maintenir une cartographie des dépendances à jour et réaliser des exercices de simulation de scénarios, notamment en se posant des questions telles que « Que se passe-t-il si notre plateforme cloud principale tombe en panne ? », sont essentiels et devraient faire partie intégrante des activités de l'entreprise. plan de résilience, conseille Jenkins.
La mise en place de systèmes redondants, tels que des architectures multicloud ou multirégionales, peut atténuer les risques, mais toutes les charges de travail ne l'exigent pas, explique Jenkins. « Les contrats doivent inclure des accords de niveau de service (SLA) clairs et des exigences en matière de plans de contingence, et les fournisseurs doivent être classés par niveau de criticité. »
Communication claire et opportune
Si une panne de service vous affecte, une communication claire et rapide est essentielle pour empêcher les adversaires d'exploiter la confusion des utilisateurs afin d'orchestrer des attaques.
Lors de la panne d'AWS, les premières mises à jour de statut semblaient accuser un retard par rapport aux signalements des utilisateurs. De nombreux clients entreprises ont jugé les informations « rares et génériques », explique Jenkins. « AWS a finalement publié un rapport détaillé. » Autopsie et des excuses, le manque de mises à jour rapides et transparentes pendant la phase aiguë a laissé un vide comblé par les spéculations et les tentatives d'hameçonnage. »
Bien que cela puisse s'avérer complexe, la meilleure pratique consiste à identifier les problèmes rapidement, à fournir des mises à jour factuelles régulières et à proposer des consignes de sécurité, explique-t-il. « La transparence d'AWS après l'incident a été saluée, mais la communication en temps réel pendant la panne aurait pu être améliorée. »
Pourtant, pour le fournisseur de services cloud et l'entreprise cliente, la communication peut s'avérer complexe lors d'une panne, en raison de l'incertitude qui en découle. « D'un côté, on souhaite partager un maximum d'informations, mais de l'autre, on ne veut pas induire les clients en erreur en leur fournissant des informations qui s'avèrent erronées au fil de l'évolution de la situation », explique James Kretchmar, vice-président senior et directeur technique du groupe technologies cloud chez Akamai Technologies. « Trouver le juste équilibre peut s'avérer délicat. »
Toutefois, la transparence est essentielle, affirme Kretchmar : « Elle permet de tenir les clients informés et réduit les risques d’exploitation de l’incertitude par les pirates. Un simple message du type “nous sommes conscients du problème, voici les éléments concernés et où trouver des informations fiables” peut éviter la panique et empêcher la propagation de fausses alertes. L’objectif est de communiquer régulièrement, même sans avoir toutes les réponses. »
Bonne gouvernance et gestion des risques
L'incident AWS et ses répercussions en cascade mettent également en lumière les principes fondamentaux d'une bonne gouvernance et d'une gestion efficace des risques. Les pannes du cloud mettent ces principes à l'épreuve, explique Jenkins. « La responsabilité des risques liés aux tiers doit incomber à la direction et au conseil d'administration, avec une définition claire des stratégies de gestion des risques liés au cloud. »
Dans ce cadre, une planification rigoureuse des mesures d'urgence et de continuité des activités est essentielle, notamment des plans explicites en cas de panne des fournisseurs et des tests de scénarios réguliers, explique Jenkins.
Selon Kretchmar, un processus de gestion des incidents robuste garantit une réponse efficace aux problèmes. Il recommande notamment de définir des seuils d'escalade, d'établir des canaux de communication clairs et de mettre en place des procédures éprouvées.
Les cadres réglementaires tels que le Loi sur la résilience opérationnelle numérique, Réseau et systèmes d'information 2 et ISO 27036 Ces mesures peuvent s'avérer utiles. Elles reconnaissent les risques en imposant une résilience opérationnelle renforcée et une gouvernance des risques fournisseurs plus efficace, selon Simon Pamplin, directeur technique de Certes. « En substance, elles exigent une assurance continue, une planification des mesures d'urgence et la capacité de démontrer que l'entreprise peut résister à une perturbation majeure causée par un tiers. »
Par ailleurs, ISO / IEC 27001 Jenkins explique que cela intègre la sécurité des fournisseurs, la continuité des activités et la gestion des incidents dans les systèmes de gestion de la sécurité de l'information.
Se préparer aux pannes futures
À mesure que les services numériques deviennent plus interconnectés et dépendants des grands fournisseurs de services cloud, les pannes resteront inévitables. Cela signifie que les attaquants exploiteront de plus en plus les défaillances systémiques, explique Brewer.
Compte tenu de ces éléments, les responsables informatiques doivent cartographier les dépendances, mettre en place une redondance pour les services critiques et exécuter régulièrement des exercices de simulation de crise, explique Jenkins. « Les plans de communication de crise doivent être prêts, avec des modèles de messages clairs et des canaux de communication externes. La surveillance doit s'appuyer sur plusieurs sources et les contrats avec les fournisseurs doivent inclure des engagements en matière de résilience. »
Parallèlement, Jenkins prévient que la sécurité ne doit pas être sacrifiée au profit de la rapidité lors des pannes. « Il est essentiel de consigner et d'examiner les modifications d'urgence. La formation des utilisateurs doit aborder les arnaques liées aux pannes, et l'analyse post-incident doit favoriser l'amélioration continue. »
