Qu’est-ce que l’exfiltration de données ?

Bien que souvent utilisés de manière interchangeable, les concepts de fuite de données, de violation de données et d’exfiltration de données sont différents, même s’ils sont liés.

La fuite de données est l’exposition accidentelle de données sensibles. La fuite de données peut résulter d’une vulnérabilité technique ou d’une erreur de procédure.

Une violation de données est un incident de sécurité qui entraîne un accès non autorisé à des informations confidentielles ou sensibles. Une personne qui ne devrait pas avoir accès à des données sensibles y accède.

L’exfiltration de données est l’acte concret qui consiste à voler les données. Toute exfiltration de données nécessite une fuite ou une violation de données, mais toutes les fuites ou violations de données ne conduisent pas à une exfiltration de données. Par exemple, un acteur malveillant peut choisir de chiffrer des données, dans le cadre d’une attaque par ransomware, ou de les utiliser pour pirater le compte de messagerie d’un dirigeant. Il n’y a pas d’exfiltration de données tant que les données ne sont pas copiées ou déplacées vers un autre dispositif de stockage sous le contrôle de l’attaquant.

La distinction est importante. Une recherche Google sur les « coûts d’une exfiltration de données » révèle généralement des informations générales sur les coûts des violations de données, mais très peu sur les coûts de l'exfiltration des données. Ces coûts comprennent souvent le paiement de rançons importantes afin d'empêcher la vente ou la diffusion des données exfiltrées, ainsi que de nouvelles rançons pour prévenir d’éventuelles attaques ultérieures.

Généralement, l'exfiltration de données est causée par :

• Un attaquant extérieur, tel qu’un pirate informatique, un cybercriminel, un ennemi étranger ou un autre acteur malveillant.
   

• Une personne interne négligente, telle qu’un employé, un partenaire commercial ou un autre utilisateur autorisé qui expose par inadvertance des données en raison d’une erreur humaine, d’un manque de jugement (par exemple, en se laissant piéger par une tentative d’hameçonnage) ou par méconnaissance des contrôles, des politiques et des bonnes pratiques de sécurité. Par exemple, un utilisateur qui transfère des données sensibles sur une clé USB, un disque dur portable ou un autre appareil non sécurisé représente une menace.

Dans des cas plus rares, la cause est une menace interne malveillante, c’est-à-dire un acteur malveillant disposant d’un accès autorisé au réseau, tel qu’un employé mécontent.

Pour les particuliers, les données volées par exfiltration peuvent avoir des conséquences coûteuses telles que l’usurpation d’identité, la fraude à la carte de crédit ou à la banque, le chantage ou l’extorsion. Pour les organisations, en particulier dans les secteurs hautement réglementés tels que la santé et la finance, les conséquences sont infiniment plus lourdes. Voici des exemples de ce qui peut se produire :

• L’interruption des opérations résultant de la perte de données critiques
   

• La perte de la confiance des clients ou d’activité
   

• La compromission de secrets commerciaux, tels que des développements/inventions de produits, du code d’application unique ou des processus de fabrication
   

• Des amendes, des frais et d’autres sanctions réglementaires sévères pour les organisations tenues par la loi d’adhérer à des protocoles et des mesures de précaution stricts en matière de protection des données et de la confidentialité lorsqu’elles traitent les données sensibles de leurs clients
   

• Les attaques ultérieures rendues possibles par les données exfiltrées

Il est difficile de trouver des rapports ou des études sur les coûts directement imputables à l’exfiltration de données, mais les incidents d'exfiltration de données augmente rapidement. Aujourd’hui, la plupart des attaques par ransomware sont des attaques à double extorsion : le cybercriminel chiffre les données de la victime et les exfiltre. Ensuite, le cybercriminel demande une rançon pour les débloquer (afin que la victime puisse reprendre ses activités) et une autre rançon pour empêcher la vente ou la diffusion des données à des tiers.

En 2020, les cybercriminels ont exfiltré des centaines de millions de fichiers clients rien que chez Microsoft et Facebook. En 2022, le groupe de pirates informatiques Lapsus$ a exfiltré 1 téraoctet de données sensibles du fabricant de puces Nvidia et a divulgué le code source de la technologie de deep learning de l’entreprise. Si les pirates sont intéressés par l’argent, les sommes à gagner dans l’exfiltration de données doivent être considérables et de plus en plus conséquentes.

Les organisations utilisent une combinaison de bonnes pratiques et de solutions de sécurité pour prévenir l’exfiltration de données.

Formation de sensibilisation à la sécurité. L’hameçonnage étant un vecteur d’attaque très courant pour l’exfiltration de données, former les utilisateurs à reconnaître les arnaques peut contribuer à bloquer les tentatives d’exfiltration de données des pirates informatiques. Former les utilisateurs aux bonnes pratiques en matière de télétravail, d’hygiène des mots de passe, d’utilisation d’appareils personnels au travail et de traitement/transfert/stockage des données d’entreprise peut aider les organisations à réduire le risque d’exfiltration de données.

Gestion des identités et des accès (IAM). Les systèmes IAM permettent aux entreprises d’attribuer et de gérer une identité numérique unique et un ensemble unique de privilèges d’accès pour chaque utilisateur sur le réseau. Ces systèmes rationalisent l'accès pour les utilisateurs autorisés tout en empêchant les utilisateurs non autorisés et les pirates informatiques d'y accéder. L’IAM peut combiner des technologies telles que :

• L’authentification multifacteur (qui nécessite un ou plusieurs identifiants de connexion en plus d’un nom d’utilisateur et d’un mot de passe).
   

• Le contrôle d’accès basé sur les rôles (RBAC) : les autorisations d’accès sont basées sur le rôle de l’utilisateur dans l’organisation.
   

• L’authentification adaptative : demande aux utilisateurs de s’authentifier à nouveau lorsque le contexte change (par exemple, lorsqu’ils changent d’appareil ou tentent d’accéder à des applications ou à des données particulièrement sensibles).
   

• La connexion unique : un schéma d’authentification qui permet aux utilisateurs de se connecter à une session une seule fois en utilisant un ensemble unique d’identifiants de connexion, et d’accéder à plusieurs services connexes sur site ou dans le cloud au cours de cette session sans avoir à se connecter à nouveau.

La prévention des pertes de données (DLP). Les solutions de DLP surveillent et inspectent les données sensibles dans n’importe quel état (au repos (stockage), en mouvement (déplacement sur le réseau) et en cours d’utilisation (traitement)) à la recherche de signes d’exfiltration, et bloquent l’exfiltration en conséquence. Par exemple, la technologie de DLP peut empêcher les données d’être copiées vers un service de stockage dans le cloud non autorisé, ou d’être traitées par une application non autorisée (par exemple, une application qu’un utilisateur télécharge sur le Web).

Les technologies de détection et de réponse aux menaces. Une catégorie croissante de technologies de cybersécurité surveille et analyse en permanence le trafic du réseau de l’entreprise et l’activité des utilisateurs. Ces technologies aident les équipes de sécurité surchargées à détecter les cybermenaces en temps réel ou quasi réel et à y répondre avec un minimum d’intervention manuelle. Ces technologies sont les suivantes : 

1. Systèmes de détection d’intrusion (IDS)
2. Systèmes de prévention des intrusions (IPS)
3. Gestion des informations et des événements liés à la sécurité (SIEM)
4. Logiciel d'orchestration, automatisation et réponse aux incidents de sécurité (SOAR)
5. Détection et réponse des terminaux (EDR)
6. Solutions de détection et de réponse étendues (XDR)