Réduire les risques de cybersécurité de la chaîne d'approvisionnement - 12 conseils pratiques pour les entreprises manufacturières | Numériser, optimiser et automatiser votre approvisionnement

Le secteur manufacturier a subi une pression accrue du fait d'attaques mondiales de cybersécurité, qui ont entraîné l'arrêt de la production et la fermeture d'usines.

Dans l'environnement actuel, il est important de garantir un niveau de sécurité élevé pour réduire le risque d'interruption des opérations. Ces perturbations peuvent avoir un impact monétaire et de marque massif.

Dans le numéro d'aujourd'hui, nous allons jeter un coup d'œil à :

Le type courant de cyberattaques dans l'industrie manufacturière.
Deux études de cas illustrant de telles attaques dans le secteur industriel (c'est-à-dire l'hydraulique et la défense).
12 conseils pratiques sur la meilleure façon de protéger votre entreprise manufacturière.
Plus d'informations pour améliorer les compétences de votre entreprise en matière de cybersécurité.The common type of cyber attacks in manufacturing.

Si vous êtes un gestionnaire, un contributeur individuel dans votre chaîne d'approvisionnement ou un dirigeant inquiet de la possibilité d'une cyberattaque, ce billet est pour vous !

3 Types courants de cyberattaques dans l'industrie manufacturière

Il existe quelques types d'attaques de cybersécurité qui peuvent paralyser votre chaîne d'approvisionnement et dont vous devez être conscient. Voici les trois types d'attaques les plus courants dont vous avez peut-être entendu parler récemment dans l'actualité et qui visent des entreprises du secteur manufacturier.

Rançongiciel

Un rançongiciel est un type de logiciel malveillant qui détourne et bloque des fichiers ou des systèmes, empêchant les utilisateurs d'y accéder. En utilisant le cryptage, il prend les fichiers et les systèmes en otage. En théorie, lorsque la victime paie le montant de la rançon, elle reçoit la clé de décryptage, libérant ainsi les fichiers ou systèmes bloqués. Ces logiciels malveillants ou le code malveillant sont généralement livrés par le biais d'une pièce jointe à un courriel, qui, une fois téléchargée, exécute le code malveillant et crypte les fichiers jusqu'au paiement de la rançon (qui n'est pas garanti).

Ce type d'attaque est particulièrement important dans les secteurs qui doivent communiquer en permanence avec leurs partenaires, ce qui est le cas de l'industrie manufacturière, où plus de 50 % de la production est externalisée.

Phishing

Les courriels de phishing sont une technique d'ingénierie sociale visant à manipuler les utilisateurs pour qu'ils donnent des informations confidentielles. Ces types de courriels sont généralement basés sur des principes tels que l'urgence (par exemple, "L'offre ne dure qu'une heure, dépêchez-vous de cliquer sur le lien") ou l'autorité (par exemple, le service juridique vous demande votre date de naissance, votre NAS...).

La plupart des courriels de vos employés étant disponibles dans des listes qui peuvent être achetées, il s'agit d'une menace qui ne peut être endiguée que par une discipline adéquate des employés et une hygiène de sécurité (nous y reviendrons dans les sections suivantes).

Credential stuffing

Le "Credential stuffing" est un type d'attaque par force brute sur les mots de passe où l'attaquant tente d'obtenir l'accès à un compte en utilisant une liste de noms d'utilisateur et de mots de passe couramment utilisés. Cette liste d'informations de connexion est généralement collectée lors de violations de données ou volée via des escroqueries par phishing.

Disposer d'une bonne politique de sécurité applicable et d'un calendrier de rotation des mots de passe est d'une grande aide pour ce type d'attaque. Vous trouverez plus de conseils sur la manière de définir une telle politique dans une section ultérieure.

Jetons un coup d'œil à deux études de cas illustrant l'impact réel d'un ransomware sur des entreprises manufacturières.

Étude de cas n° 1 : 35 sites mondiaux d'une entreprise de fabrication soumis à un rançongiciel

Incident : À la fin du mois de janvier 2021, près de 35 sites mondiaux de Palfinger ont fait l'objet d'une attaque par ransomware. Peu après la révélation de l'attaque, les actions de l'entreprise, cotée à la bourse de Vienne depuis 1999, ont chuté d'environ 4 %. Les activités de l'entreprise, telles que les systèmes de communication par courrier électronique, les systèmes ERP, etc. ont été interrompues pendant une dizaine de jours. L'entreprise a dû payer une rançon afin de se libérer de l'attaque, le montant de la rançon payée n'a pas été divulgué. L'attaque n'a pas été tracée car elle provenait du Darknet.

(A propos de l'entreprise : Il s'agit d'une société autrichienne qui fabrique des machines de manutention hydrauliques telles que des grues de chargement, des hayons élévateurs, des grues maritimes, etc.)

Conseils de prevention:

Ne téléchargez pas de pièces jointes provenant de destinataires inconnus ou de destinataires connus, si vous n'attendiez pas de pièce jointe de leur part. Effectuez toujours une double vérification auprès du destinataire connu par différents moyens.
Faites des sauvegardes régulières de vos données afin de réduire les problèmes liés à la perte de données.
Mettez à jour vos logiciels car ils peuvent contenir des correctifs de sécurité pour les vulnérabilités connues de la version existante du logiciel.
Désactivez les macros des pièces jointes aux courriels, car lorsque l'utilisateur ouvre la pièce jointe, elle exécute un code intégré, qui peut infecter le système.
Avant de cliquer sur un lien, vérifiez qu'il n'y a pas de fautes de frappe et que vous pouvez vous rendre par vous-même à la destination souhaitée.
Évitez de brancher des périphériques USB inconnus.

Références sur l'attaque:

Étude de cas n° 2 : un fournisseur de composants électroniques pour la défense a souffert du ransomware Ryuk

Ryuk s'est largement propagé par le biais d'e-mails contenant des liens ou des pièces jointes infectés. Il s'agissait de l'un des ransomwares les plus coûteux, car le montant de la rançon demandée était très élevé pour libérer les systèmes de l'attaque, par rapport aux autres ransomwares.

Il avait la capacité de détecter et de crypter les lecteurs et les ressources du réseau. En outre, il est capable de supprimer les instantanés de sauvegarde des données créés sur les systèmes d'extrémité Windows, ce qui rend impossible la récupération des données si la restauration du système Windows pour les utilisateurs est désactivée. Une certaine version de ce malware a également été utilisée pour voler le fichier dont le nom/contenu contenait certains mots-clés comme agent, personnel, caché, tribunal, etc. Cette version du malware recherche les types de fichiers liés au code source C++, aux documents Word/excel, aux PDF, aux fichiers image JPG et aux portefeuilles de crypto-monnaies.

Incident : En 2020, Electronic Warfare Associates (EWA) a également été touché par le ransomware Ryuk. Les données des serveurs web de l'entreprise ont été cryptées. Même après une semaine, lorsque l'entreprise a fermé ses serveurs Web infectés, des traces ont été relevées dans les résultats de recherche Google en cache, à savoir des fichiers cryptés et des notes de rançon.

(À propos de l'entreprise : Il s'agit d'un fournisseur d'équipements électroniques pour des clients tels que le ministère de la Défense des États-Unis, le ministère de la Sécurité intérieure, etc.)

Conseils de prévention:

Ne téléchargez pas de pièces jointes provenant de destinataires inconnus ou de destinataires connus, si vous n'attendiez pas de pièce jointe de leur part. Effectuez toujours une double vérification auprès du destinataire connu par différents moyens.
Faites des sauvegardes régulières de vos données pour réduire les problèmes en cas de perte de données.
Mettez à jour vos logiciels car ils peuvent contenir des correctifs de sécurité pour les vulnérabilités connues de la version existante du logiciel.
Désactivez les macros des pièces jointes aux courriels, car lorsque l'utilisateur ouvre la pièce jointe, elle exécute un code intégré, ce qui peut infecter le système.
Avant de cliquer sur un lien, vérifiez qu'il n'y a pas de fautes de frappe et que vous pouvez vous rendre par vous-même à la destination souhaitée.

Références:

Ce sont des exemples très effrayants qui peuvent toucher n'importe quelle entreprise qui n'a pas mis en place de bonnes habitudes de sécurité. Plus la surface exposée à l'attaquant est grande, plus les chances que ce type d'attaque devienne une réalité sont élevées.

Dans la prochaine section, nous examinerons quelques conseils afin de renforcer la sécurité de votre organisation manufacturière et de prévenir les perturbations de la chaîne d'approvisionnement !

Conseils de sécurité

Conseil n°1 : Mots de passe
Créez des mots de passe forts et faciles à retenir : Créez un mot de passe à partir de votre phrase/paroles de chanson préférée qui est facile à retenir, et créez un modèle significatif comprenant des lettres et des chiffres sur votre clavier pour des substitutions uniques. Assurez-vous que les mots de passe sont composés d'un mélange correct, d'au moins 8 caractères, évitez d'utiliser des mots courants (par exemple admin) et des substitutions (par exemple '@' pour 'a'), faites une rotation des mots de passe au moins tous les 6 mois, ne réutilisez pas les mots de passe, utilisez des gestionnaires de mots de passe.

Conseil n° 2 : Prévention de l'appel vishing (voix + phishing)

Les choses à retenir lorsque vous recevez un appel de vishing (voice+phishing) : Ne répondez pas à une question en appuyant sur des boutons, raccrochez si vous pensez qu'il s'agit d'un faux appel, et n'appelez pas le numéro de rappel fourni, mais allez plutôt sur le site web officiel pour obtenir le numéro, ne fournissez jamais d'informations sensibles par téléphone, puis vérifiez toujours personnellement auprès de l'agence ou du service concerné et vérifiez également le numéro pour voir si quelqu'un l'a déjà signalé comme étant malveillant.

Conseil n° 3 : Réparation des appareils

Étapes à suivre avant de confier votre appareil à un réparateur : sauvegardez vos données, déconnectez-vous de vos comptes en ligne, verrouillez vos dossiers personnels si vous n'en avez pas besoin, supprimez les données effacées, effacez les données sensibles comme les mots de passe enregistrés, l'historique du navigateur, etc.

Conseil n° 4 : Sauvegarder vos données

Faites des sauvegardes appropriées : Effectuez régulièrement des sauvegardes de vos données, créez plus d'une copie de vos données, stockez-les dans des endroits différents, utilisez une convention de dénomination standard afin de pouvoir identifier facilement les fichiers, décider quels fichiers doivent être sauvegardés, etc.

Conseil n° 5 : Protection des informations sensibles

Protégez les informations sensibles lorsque vous travaillez dans des lieux publics : ne laissez pas vos appareils sans surveillance, ne laissez pas les mots de passe écrits dans un endroit accessible, les impressions contenant des informations sensibles doivent être retirées des imprimantes immédiatement, évitez d'utiliser le WiFi public pour les transactions critiques, utilisez un VPN lorsque vous vous connectez à des comptes critiques, accédez à des sites web authentiques "https", ce qui signifie que le canal est crypté et dispose d'un certificat valide, etc.

Conseil n°6 : Vous avez cliqué sur le lien malveillant... et maintenant ?

Étapes à suivre si vous cliquez sur un lien malveillant : prenez d'abord une grande respiration...

Ensuite, déconnectez l'appareil d'Internet, scannez l'appareil, utilisez un autre appareil pour modifier les informations d'identification, activez l'AMF, sauvegardez les données hors ligne, supprimez l'e-mail dans lequel le lien a été reçu pour ne pas l'ouvrir par erreur.

Conseil n° 7 : lecture de codes QR

Conseils pour scanner un code QR : Utilisez une application de lecture/numérisation de code QR qui affiche l'URL complète du site Web lié au code QR, vérifiez l'URL du site une fois que l'application vous y a envoyé, vérifiez que l'entreprise et l'URL correspondent, désactivez tous les paramètres qui vous amènent automatiquement aux sites numérisés, examinez le code QR pour voir s'il y a des signes de manipulation ; semble-t-il que quelqu'un ait placé quelque chose dessus ? Etc

Conseil n° 8 : Naviguer en toute sécurité sur Internet

Pratiquez une navigation web sûre : Ne cliquez pas sur les publicités, utilisez des bloqueurs de publicité. Évitez de cliquer sur des liens qui semblent douteux, vérifiez les fautes de frappe et ne faites pas confiance aux liens raccourcis. Interagissez avec des sites authentiques bien connus. Soyez prudent avec les téléchargements en ligne.

Conseil n° 9 : à propos de la mise à jour des applications

Mettez vos applications à jour dès qu'elles sont publiées. Elles contiennent en effet des correctifs de sécurité pour les vulnérabilités connues des versions existantes. Si elles ne sont pas corrigées, il y a des chances que les cybercriminels les exploitent pour atteindre leurs intentions malveillantes.

Conseil n°10 : Installation des logiciels

Lors de l'installation d'un logiciel, ne vous contentez pas de cliquer sur "Suivant"... "Terminer". Suivez attentivement les étapes d'installation pour savoir quels paquets seront installés ou quelles autorisations sont requises/demandées. En option, choisissez une installation personnalisée pour afficher les détails.

Conseils n°11 : Courriels Phishing

Faites attention aux courriels de phishing : Ne faites jamais confiance aux e-mails du domaine public ; les entreprises authentiques ont leur propre domaine ; vérifiez la structure des e-mails (orthographe, police de caractères, etc.) ; vérifiez toujours deux fois avant de télécharger des pièces jointes si vous ne vous y attendiez pas ; soyez créatif dans vos réponses aux questions de sécurité car elles constituent une couche de sécurité supplémentaire ; utilisez une réponse difficile à deviner et qui n'est pas disponible sur les médias sociaux, Vous pouvez utiliser une fausse réponse ou une chaîne aléatoire. Évitez de cliquer sur le lien d'une tâche lorsque vous pouvez vous rendre à destination par vous-même, car il s'agit de l'une des techniques d'hameçonnage les plus courantes : "Une tâche vous est assignée", car un attaquant peut facilement reproduire les modèles d'e-mail de ces utilitaires.

Les courriels de phishing présentent des caractéristiques telles que l'urgence ou l'émotion (par exemple, "l'offre ne dure qu'une heure, cliquez sur le lien"), l'autorité ou la confiance (par exemple, le service juridique vous demande votre numéro d'identification personnel ou votre numéro d'assurance sociale) ou la preuve sociale (par exemple, une faute de frappe dans le nom de l'entreprise).

Conseils #12 Protection contre les ransomwares

Protégez-vous contre les ransomwares : évitez de télécharger des pièces jointes si vous ne vous y attendiez pas, vérifiez toujours deux fois avec le destinataire sur différents supports, effectuez des sauvegardes régulières de vos données, maintenez vos applications à jour, inspectez les liens avant de cliquer - si possible, rendez-vous par vous-même sur la page souhaitée, avant de cliquer sur les liens, vérifiez s'il n'y a pas de fautes de frappe ou rendez-vous par vous-même à la destination, désactivez les macros des pièces jointes car lorsqu'un utilisateur ouvre la pièce jointe, elle exécute le code qui y est intégré, etc.

Les prochaines étapes ?

La sécurité est un sujet qui devrait être présent dans tous les esprits au sein de l'entreprise. Il est de la responsabilité de tous les membres du personnel de s'assurer qu'ils suivent les meilleures pratiques afin de ne pas devenir eux-mêmes un vecteur d'attaque d'ingénierie sociale.

Voici quelques ressources supplémentaires que vous pouvez utiliser pour renforcer la sécurité de votre entreprise de fabrication :

Meilleures pratiques générales

Il s'agit d'attaques spécifiques, c'est-à-dire d'attaques courantes à l'origine de violations.

Si vous recherchez un partenaire de confiance dans le domaine de la chaîne d'approvisionnement, avec une approche du développement logiciel axée sur la sécurité, contactez notre équipe !

Nous avons développé un logiciel d'e-procurement qui a été testé avec succès à plusieurs reprises avec nos partenaires fabricants et qui a la confiance des leaders de l'aérospatiale, de l'automobile et de l'industrie minière.

Nous sommes également certifiés SOC 2 Type 1 et nous sommes en passe d'obtenir notre certification Type 2 d'ici la fin de l'année ! Pour en savoir plus sur les raisons pour lesquelles la sécurité est importante pour nous cliquez ici.

Passez une bonne journée et soyez prudents !