Les cyberattaques sont-elles vraiment plus nombreuses, ou simplement plus visibles ?
La question revient à chaque nouvelle affaire médiatisée : les attaques informatiques se multiplient-elles réellement, ou les médias et les entreprises leur accordent-ils simplement plus d'attention ? La réponse tient aux deux phénomènes à la fois, et il est difficile de les démêler.
Plusieurs facteurs rendent les incidents plus visibles. Les obligations de notification se sont renforcées dans de nombreux pays, ce qui pousse les organisations à rendre publics des événements qui seraient restés confidentiels auparavant. La dépendance croissante aux services numériques fait aussi qu'une même attaque touche davantage d'usagers, donc davantage de témoins.
Il reste que certaines tendances sont documentées par les autorités et les éditeurs de logiciels de sécurité : progression des rançongiciels, recours à des prestataires spécialisés par les groupes criminels, exploitation plus rapide des failles connues. Ces observations convergent, même si les chiffres varient fortement selon les sources et les méthodes de comptage.
« Je n'ai rien à cacher » : une hypothèse qui résiste mal à l'examen
L'idée que seules les personnes ayant quelque chose à dissimuler seraient concernées par les fuites de données repose sur une méprise. La plupart des attaques ne visent pas des individus pour ce qu'ils sont, mais pour ce qu'ils permettent d'atteindre : un accès à un compte professionnel, un contact dans un carnet d'adresses, une adresse électronique revendable.
Un compte de messagerie personnel sert souvent de clé de récupération pour d'autres services. Sa compromission peut ouvrir l'accès à des comptes bancaires, à des espaces de stockage ou à des profils professionnels. La valeur d'une cible se mesure donc rarement à la sensibilité de son contenu, mais aux rebonds qu'elle autorise.
Les données personnelles ont par ailleurs une valeur marchande durable. Des informations apparemment banales, comme un nom, une date de naissance et une adresse, suffisent à construire des tentatives d'usurpation ciblées. Le préjudice n'est pas toujours immédiat : il peut se manifester des mois plus tard.
Les mises à jour corrigent des failles, elles ne suffisent pas à protéger
L'installation régulière des correctifs est souvent présentée comme la mesure de sécurité principale. Elle est effectivement essentielle : une part importante des intrusions exploite des vulnérabilités dont le correctif est disponible mais n'a pas été appliqué. Cela ne dispense pas de comprendre ce que la mise à jour ne couvre pas.
Un système à jour reste vulnérable aux attaques qui n'exploitent aucune faille logicielle. L'hameçonnage en est l'exemple le plus courant : le message frauduleux ne casse rien, il convainc. Un correctif ne protège pas contre un mot de passe communiqué à un site imitant une page de connexion, ni contre un fichier exécuté volontairement.
La mise à jour a aussi ses angles morts pratiques. Les appareils anciens ne reçoivent plus de correctifs, et certains logiciels métier restent figés pour des raisons de compatibilité. Dans ces cas, la protection repose sur d'autres mesures : cloisonnement du réseau, limitation des droits, surveillance des accès.
Ce qui réduit réellement la surface d'attaque
Plutôt qu'une liste de recommandations générales, il est plus utile de raisonner en termes de surface d'attaque, c'est-à-dire l'ensemble des points par lesquels une intrusion peut se produire. Chaque compte, chaque appareil connecté, chaque service tiers ajoute un point d'entrée potentiel.
Quelques principes structurent cette réduction :
- Séparer les usages : un mot de passe distinct par service, et une authentification à deux facteurs sur les comptes qui la proposent, en particulier la messagerie principale.
- Limiter les droits : un compte utilisateur ordinaire pour la navigation et le courrier, les droits d'administration réservés aux tâches qui l'exigent.
- Réduire les accès tiers : retirer les applications connectées devenues inutiles et vérifier périodiquement les appareils autorisés sur un compte.
- Prévoir la perte : sauvegardes régulières, conservées hors ligne ou sur un support déconnecté, et procédure de récupération testée.
Ces mesures ne sont pas équivalentes selon les situations. Une petite structure sans administrateur dédié tirera davantage de la sauvegarde et de la double authentification que d'un audit technique complexe. Un particulier très exposé, par exemple parce qu'il gère des fonds ou des données de tiers, aura intérêt à pousser plus loin la séparation des usages. Pour aller plus loin : Journée d'étude près de La Rochelle.
La réaction après l'incident compte autant que la prévention
Une part des dommages ne vient pas de l'intrusion elle-même, mais de la manière dont elle est découverte et traitée. Un délai long avant la détection aggrave la propagation. Une réaction désordonnée, comme le rétablissement précipité d'un système sans identification de la cause, peut exposer à une seconde compromission.
Les autorités publient des recommandations de conduite à tenir, et plusieurs services d'assistance existent pour les particuliers comme pour les organisations. Les connaître avant d'en avoir besoin évite de chercher l'information au pire moment.
Il faut enfin reconnaître les limites de la prévention. Aucune organisation ni aucun particulier ne peut garantir l'absence d'incident. L'objectif réaliste est de rendre l'attaque plus coûteuse, de détecter plus tôt et de limiter les conséquences. Les discours promettant une protection totale relèvent du marketing, pas de la sécurité.
