La recherche biomédicale s’appuie sur des données sensibles qui peuvent constituer des cibles de choix pour les cyberattaques. En effet, beaucoup des informations utilisées doivent faire l’objet d’une vigilance particulière, qu’il s’agisse de projets de recherche clinique, de données personnelles ou encore de résultats d’analyses. L’exposition à une cyberattaque peut mener à l’altération, au vol ou à la destruction de données de recherche, ce qui, pour le scientifique, peut compromettre des mois, voire des années de travail.
Des attaques ciblant les données, les équipes et les infrastructures
Les cyberattaques peuvent porter sur le siphonnage de données personnelles, par exemple de participants aux études. D’autres, sur les projets de petites équipes dont la recherche à fort potentiel de valorisation laisse entrevoir la perspective de gains financiers importants. Enfin, la cybermalveillance peut mener à la paralysie complète d’infrastructures de recherche, ce qui peut engendrer des coûts économiques considérables. C’est notamment le cas lors d’attaques via rançongiciels, des logiciels qui cryptent l’ensemble des données liées à un réseau informatique afin de les rendre inaccessibles aux utilisateurs sans le versement d’une rançon, par exemple en monnaies crypto.
Ces attaques sont le plus souvent rendues possibles grâce à l’exploitation d’une erreur humaine ou d’une négligence. En effet, même les utilisateurs sensibilisés peuvent se laisser surprendre par un moment d’inattention. Un expéditeur apparemment légitime, ou encore une situation d’urgence simulée, par exemple une demande de paiement rapide en lien avec un logiciel du quotidien, peuvent mener à une compromission des systèmes ou à un détournement de fonds.
Phishing, failles informatiques, dénis de service : des valeurs sûres pour les cybercriminels
Selon le dernier baromètre du Club des experts de la sécurité de l’information et du numérique (Cesin), le volume de cyberattaques reste stable mais leur impact est important : 47% des entreprises interrogées déclarent avoir subi au moins une cyberattaque significative. Le phishing reste le vecteur d’attaque dominant (60%), suivi par l’exploitation de failles (47%) et les dénis de service (41%). Le vol de données (42%) constitue la principale conséquence des attaques. Un vol loin d’être anodin, puisqu’il entraîne une perturbation de la production dans 23% des cas.
Trois exemples concrets
Voici trois incidents récents illustrant les risques auxquels sont exposés les acteurs de la recherche.
Débits frauduleux
La messagerie personnelle d’un responsable de compte sur les réseaux sociaux a été piratée. Les escrocs ont récupéré les identifiants de l’utilisateur et ont pu accéder au compte. Cette prise en main par les hackeurs a permis des débits frauduleux à partir de la carte bancaire qui était enregistrée pour financer des campagnes publicitaires.
Usurpation d’identité
Un escroc a usurpé l’identité d’un créancier d’une fondation de recherche en piratant sa messagerie. Il a sollicité le basculement des paiements vers un autre compte. La boîte mail utilisée par l’escroc étant conforme à celle utilisée lors des précédents échanges, le RIB a été modifié conformément à ses attentes, et le paiement effectué sur le compte frauduleux.
Cyberattaque d’un laboratoire de recherche
L’ensemble des données d’un laboratoire ont été chiffrées via un rançongiciel, et son réseau s’est retrouvé paralysé. Dès la découverte de l’attaque, les serveurs touchés ont été isolés pour limiter la propagation du virus. Un serveur de sauvegarde resté intact a heureusement permis de restaurer les données sans perte majeure d’informations scientifiques.
Se protéger
Pour se prémunir contre ces risques, l’Agence nationale de la sécurité des systèmes d’information (Anssi) et la Direction des systèmes d’information de l’Inserm (DSI) recommandent plusieurs bonnes pratiques, applicables aussi bien dans le cadre professionnel que personnel.
- Choisir des mots de passe robustes et uniques : 12 caractères minimum, alternant minuscules, majuscules, chiffres et caractères spéciaux. Pour s’en souvenir, privilégier une phrase de passe, c’est-à-dire une suite de mots sans lien logique évident. L’utilisation d’un même mot de passe pour plusieurs services est à proscrire. De plus, noter ses mots de passe sur un pense-bête accessible, que ce soit dans un fichier non protégé, une messagerie ou sur un bout de papier, représente un risque majeur. Des gestionnaires de mots de passe certifiés par l’ANSSI, tels que KeePass ou LockPass permettent de stocker, générer et sécuriser les mots de passe de manière fiable.
- Sauvegarder régulièrement ses données : effectuez des sauvegardes fréquentes sur des supports sécurisés ou des espaces de stockage chiffrés et homologués, et méfiez-vous des clouds gratuits.
- Protéger les données sensibles : utilisez une méthode de chiffrement certifiée pour vos données sensibles
- Effectuer des mises à jour régulières : maintenez à jour vos logiciels, systèmes d’exploitation et antivirus pour corriger les failles de sécurité. Certains malwares ne sont toutefois pas toujours détectés, d’où l’importance d’appliquer les bonnes pratiques.
- Se protéger des logiciels malveillants : utilisez des antivirus et des pare-feu à jour. N’utilisez jamais un service ou un équipement inconnu ou abandonné (une clé USB trouvée par exemple).
- Éviter les réseaux Wi-Fi publics ou inconnus : privilégiez les connexions sécurisées ou les réseaux VPN pour vos échanges professionnels. Les connexions au réseau Wi-Fi public peuvent être interceptées. Veillez à ne jamais y réaliser d’opérations à caractère sensible (paiement par carte bancaire, déclaration d’impôts, renseignement d’informations confidentielles, etc.) et si possible utilisez un réseau privé virtuel (VPN).
- Séparer usages professionnels et personnels : n’utilisez pas vos outils numériques personnels à des fins professionnelles, et inversement. Ne connectez pas d’équipements personnels, ou non fournis par votre service informatique, au réseau de votre entité ou à un équipement professionnel (téléphone mobile personnel, clé USB ou gadget électronique offert).
- Télécharger uniquement depuis des sources sûres : privilégiez les sites officiels pour vos applications et logiciels. Soyez vigilant quant à leur authenticité : de faux sites empruntent les logos de sites officiels.
- Accorder le juste niveau de privilèges : attribuez uniquement les autorisations nécessaires pour limiter les risques en cas d’attaque. De la sorte, si un compte est compromis, l’attaquant ne pourra pas accéder à des informations ou des fonctions sensibles pour lesquelles il n’a pas d’autorisation.
- Protéger sa messagerie électronique : soyez vigilant face aux tentatives de phishing. vérifier l’adresse mail de l’expéditeur dans l’en-tête complet du message à réception d’un message douteux ou intrusif. En cas de doute face à la demande, contactez l’expéditeur par un autre moyen (e.g. téléphone) pour vérifier l’authenticité du message. Le compte de l’expéditeur peut avoir été piraté.
- Maîtriser la diffusion de ses informations sur Internet : ne communiquez jamais d’informations sensibles sur des plateformes non sécurisées.
