Types d’attaques
Les différents types d’attaques peuvent être divisés en deux catégories de base :
- Celles liées à des défauts techniques (faiblesses des contrôles, manque de rigueur dans les développements, faiblesse cryptographique…)
- Celles liées à des défauts logiques (faiblesse de la logique métier de l’application Web).
Il existe de nombreux types de fautes et d’attaques qui les exploitent, et les attaques peuvent également être combinées les unes avec les autres. Les conséquences directes d’une attaque tombent généralement dans les grandes catégories suivantes :
A voir aussi : Quel est le but d'un hacker ?
- Accès illégal à certaines données (vol)
- Modification ou perte de données
- Accès illégal à certaines fonctionnalités du site
- Exécution de certaines actions sur le site pour le compte d’autres utilisateurs
- Implémentation
- Prise de contrôle du serveur web (ou plus)
En poussant plus loin, certains « pivots » peuvent être effectués sur les attaques, et dans les cas les plus graves conduisent à l’accès à la réseau interne, même si le site Web n’est pas hébergé par les serveurs de l’entreprise.
La plupart de ces attaques peuvent passer inaperçues ou être remarquées très rapidement, rester actives ou furtive.
A lire en complément : Comment enlever une adresse mail des indésirables Outlook ?
Impact pour l’entreprise
Le piratage du site peut atteindre l’entreprise ainsi que les utilisateurs du site Web (clients, consommateurs).
Les conséquences exactes dépendront du contexte et de l’activité de l’entreprise elle-même, mais voici encore quelques grandes catégories de conséquences :
Dommages à l’image de l’entreprise (mauvaise publicité, annonce publique de piraterie ou dégradation du site Web de l’entreprise).
- Perte de confiance utilisateurs/clients
- Vol de clients (à la suite d’un vol de données ou d’une redirection d’utilisateur)
- Perte financière directe (p. ex. en raison d’un contournement de la logique opérationnelle, de l’accès aux données/moyens financiers, ou à la suite d’une interruption d’activité)
- Sanctions légales
- Perte de référencement
Dans la mesure où les utilisateurs eux-mêmes sont concernés, il y a aussi beaucoup de risques :
- Vol d’identité (à la fois sur Internet et dans le « monde réel »)
- Vol de données personnelles, y compris les services bancaires et les courriels
- Perte financière
- Prise de contrôle du navigateur Web par un pirate de l’air
- Exécution involontaire de certaines actions sur le site (sur le site piraté ou sur d’autres sites)
- Attachement à un réseau de « zombies »
- Malware
Conséquences juridiques d’une attaque Web
Certains experts en responsabilité juridique seront certainement mieux placés pour expliquer les risques et les limites de la responsabilité. En outre, les responsabilités et les implications varient d’un pays à l’autre.
Envisager le cas de la France , et regardons ce que la CNIL dit en termes de données personnelles, sur la page dédiée à « Vos obligations » :
Le premier article sur la sécurité des données renvoie à l’article 226-17 du Code pénal, qui se réfère lui-même à un certain article 34 « Le contrôleur est nécessaire de prendre toutes les précautions utiles , compte tenu de la nature des données et des risques posés par le traitement, afin de préserver la sécurité des données et, en particulier, d’éviter qu’elles ne soient déformées, endommagées ou que des tiers non autorisés y aient accès. ‘ Le non-respect de ces obligations est passible d’une peine d’emprisonnement de cinq ans et d’une amende de 300 000 euros.
A un niveau supérieur, européen ce, Directive 2013-40/UE du 14 Août 2013 (lien vers le fichier) explicitement la responsabilité de la personne morale en charge du site piraté : « Il est nécessaire de garantir des niveaux appropriés de protection contre les menaces et les vulnérabilités qui peuvent être raisonnablement identifiées ».
Chaque cas est particulier, les conséquences juridiques dépendront bien sûr du dommage exact, des plaintes déposées.
Lorsque vous savez qu’environ 80% des sites Web présentent au moins un défaut majeur, il y a quelque chose à faire froid dans la Retour. Enfin sur une note positive, tout de même, disons qu’il est possible d’améliorer la situation !
- Dans formation des équipes de développement en sécurité , de sorte qu’il fasse partie intégrante des applications, et qu’il ne s’agit pas d’une couche qui est ajoutée une fois le développement terminé.
- Dans effectuer régulièrement des tests d’intrusion, des examens de code, des revues logiques (workflow) et les mises à jour des serveurs/applications/bibliothèques.