Demandez à un expert en cybersécurité quel est le risque d’être victime d’une cyberattaque et il vous répondra qu’il y a deux types de personnes : celles qui savent qu’elles ont été piratées et celles qui ne le savent pas.
Cet énoncé prend tout son sens pour les familles à valeur nette très élevée, un rapport américain indiquant que 28 % des membres de ce groupe ont été victimes d’une cyberattaque. À mesure que les pirates développent des techniques plus sophistiquées, les personnes fortunées deviennent une cible encore plus importante, explique Larry Zelvin, vice-président à la direction et chef, Unité Crime financier à BMO Groupe financier. Les gens doivent demeurer au fait des menaces en ligne et investir dans une équipe de sécurité bien outillée disposant des technologies appropriées.
Bien que certaines attaques tentent d’embarrasser ou de harceler des gens, ou de leur voler de l’argent, d’autres peuvent perturber les entreprises et les bureaux de gestion familiale parce qu’ils ont des appareils connectés à Internet avec des vulnérabilités en matière de sécurité qui ont maintenant été compromis, explique M. Zelvin. Les groupes criminels et les cyberactivistes peuvent également cibler les familles à valeur nette très élevée parce qu’ils ont des problèmes avec une cause qu’un particulier ou une entreprise qui y est lié soutient.
Peu de gens ont l’expertise de M. Zelvin dans ce domaine. L’ancien officier de marine et aviateur a également occupé plusieurs postes au gouvernement des États-Unis, notamment ceux de directeur général du National Cybersecurity and Communications Integration Center pour le U.S. Department of Homeland Security, de directeur général principal, Intervention pour le National Security Council, The White House, et de directeur général, Homeland Defense Integration, Office of the Secretary of Defense, The Pentagon. Il s’est joint à nous pour un entretien sur les nombreux risques auxquels font face les familles à valeur nette très élevée en ligne et sur la façon d’établir une ligne de défense efficace.
Les personnes à valeur nette élevée sont-elles plus susceptibles d’être ciblées par des rançongiciels?
En termes simples, les clients à valeur nette très élevée ont de l’argent que les malfaiteurs pensent pouvoir voler au moyen de techniques éprouvées. Par exemple, les personnes à valeur nette très élevée peuvent être plus vulnérables à l’intimidation; plusieurs d’entre elles veulent éviter la publicité ou la gêne publique ou privée occasionnée par la prise de contrôle de leurs comptes par un cybercriminel. Dans certains cas, les malfaiteurs utiliseront l’extorsion physique en combinaison avec leurs cybermenaces. Ils enverront des fleurs et des bonbons aux maisons de ces personnes simplement pour qu’elles sachent que les malfaiteurs savent où elles habitent et peut-être leur envoyer un message indiquant qu’elles ont été victimes d’une cyberattaque. Malheureusement, dans de nombreux cas, les particuliers ou les familles ne signalent pas les attaques aux autorités d’une manière qui leur permettrait d’éviter toute attention ou toute publicité.
Puisque de nombreuses attaques ne sont pas signalées, selon vous, combien de personnes à valeur nette élevée ou de bureaux de gestion familiale ont été victimes d’une attaque par rançongiciel?
Il est impossible de le savoir avec certitude. Cependant, j’ai eu le privilège de parler à des clients à valeur nette très élevée partout dans le monde. Chaque fois que je leur ai parlé, presque tout le monde avait une histoire et voulait partager les cyberattaques qu’ils ont subies. Ce n’est pas le cas pour les autres groupes auxquels je parle.
Que diriez-vous à quelqu’un qui craint d’être la cible d’une attaque par rançongiciel?
La première chose à faire est de comprendre l’importance des données et de les protéger. Si vous avez quelque chose d’important pour vous, comme des renseignements financiers ou des photos de famille, protégez-les en utilisant des éléments comme l’infonuagique ou le stockage externe, qui n’est pas aussi vulnérable aux attaques par rançongiciel. Si vous conservez quelque chose sur vos appareils qui vous embarrasserait de quelque façon que ce soit, effacez les données et assurez-vous qu’elles sont vraiment supprimées, car trop souvent, les groupes de rançongiciels utiliseront ces types de renseignements pour vous inciter encore plus à les payer.
Les cabinets d’avocats réputés demeurent une bonne source de conseils sur la façon de se défendre contre les attaques par rançongiciel et d’y réagir, car ils gèrent constamment ce genre de problèmes pour leurs clients. Cela dit, assurez-vous de faire vos recherches sur la personne qui vous conseille en matière de sécurité, car le secteur compte plusieurs organisations qui ne sont pas tout à fait à la hauteur de la tâche, en particulier lorsqu’il s’agit de conseiller les particuliers et les familles à valeur nette élevée et très élevée.
On parle ici de personnes qui ne respectent pas un code éthique. Si vous êtes la cible d’une attaque par rançongiciel et que vous payez la rançon, allez-vous récupérer vos données?
Premièrement, il n’y a aucune garantie de ravoir vos données. Deuxièmement, dans bien des cas, le prix augmente une fois qu’ils savent que vous pouvez payer et vous pourriez également être ciblé de nouveau, car vous êtes perçu comme quelqu’un qui paie. L’une des choses que vous devez garder en tête, en particulier aux États-Unis et dans d’autres pays, est le fait de verser une rançon à un pays ou à une personne sanctionnée par le gouvernement américain. En effet, si celui-ci le découvre, vous pourriez faire l’objet d’une poursuite. Il est toujours sage de consulter un avocat expérimenté avant ou immédiatement après une attaque.
Quelles mesures pouvez-vous prendre pour vous protéger contre une attaque par rançongiciel?
Voici ce que je dis le plus souvent aux gens : prenez votre temps. La façon la plus courante pour les gens d’être victime d’une attaque par rançongiciel est de cliquer sur les liens et d’ouvrir les pièces jointes sans penser réellement aux risques. Vous devez également mettre à jour votre logiciel non seulement sur vos appareils, mais aussi sur les applications que vous utilisez, car les vulnérabilités non corrigées sont souvent exploitées. Faites également preuve de prudence à l’égard de toute personne qui vous demande votre nom d’utilisateur, votre mot de passe, ou un mot de passe ou code d’accès à usage unique. Vous ne devriez jamais les donner à qui que ce soit.
De plus, surveillez vos actions sur les médias sociaux, car c’est là qu’ils chercheront à obtenir vos renseignements personnels. À quoi ressemble votre profil sur les médias sociaux? Soyez prudent, et gardez en tête la possibilité d’une exposition imprévue. De temps à autre (environ une fois par mois), les particuliers et les familles à valeur nette élevée doivent utiliser Google pour faire une recherche les concernant. Par exemple, vous siégez peut-être au conseil d’administration d’un organisme avec ou sans but lucratif qu’une personne n’aime pas. Ils pourraient vous cibler en tant que leader de cet organisme. Les annonces philanthropiques peuvent également être problématiques, car elles mettent en valeur le fait que vous êtes une personne fortunée et qui a peut-être une passion, ce qui pourrait être utilisé pour mieux vous inciter à participer à une fraude.
La plupart des gens connaissent le risque d’ouvrir une pièce jointe infectée dans un courriel. Quelles sont les autres façons d’infecter un ordinateur?
Les enfants utilisent un certain nombre de sites de jeux vidéo sur lesquels on peut trouver des logiciels malveillants; il en va de même pour les sites de contenu pour adultes. Les applications pour les sites obscurs sont souvent chargées de logiciels malveillants, ou de « maliciels ». Pour se défendre contre ces vulnérabilités, certaines personnes à valeur nette élevée et très élevée auront un seul appareil (ordinateur portatif ou tablette) qu’elles utiliseront strictement pour gérer leurs finances. Elles ne l’utiliseront pas pour autre chose – consulter les courriels, naviguer sur le Web ou vérifier des résultats sportifs, par exemple. Cette technique réduit au minimum le risque de cliquer sur un lien ou un site Web ou d’ouvrir un courriel avec une pièce jointe qui peut infecter votre ordinateur.
Les criminels utilisent les robots et l’automatisation pour détecter les vulnérabilités depuis des années, mais c’était avant que l’intelligence artificielle (IA) devienne plus accessible. Celle-ci ouvrira-t-elle la voie à une autre forme de cybercriminalité?
Absolument. L’IA facilitera la tâche aux malfaiteurs qui ont peu de connaissances techniques et de compétences en matière d’attaques par rançongiciel. Elle leur permettra d’effectuer leurs activités facilement, rapidement et avec compétence.
L’intelligence artificielle peut imiter votre voix et votre image. Combien de temps faudra-t-il avant que nous commencions à voir ce genre d’attaques?
Elles se produisent déjà. Le terme de la cyberindustrie est « hypertrucage ». Si une vidéo ou un extrait de votre voix se retrouve sur Internet, il faut à une équipe inexpérimentée quatre ou cinq heures pour créer une représentation vidéo ou vocale très crédible de votre personne qui peut tromper même le membre de votre famille le plus proche.
Existe-t-il un moyen de s’en protéger?
À mesure que les « hypertrucages » prendront de l’ampleur, nous devrons trouver des solutions de sécurité techniques et non techniques qui n’existent pas aujourd’hui. À l’heure actuelle, la meilleure défense est d’utiliser des codes personnels qui ne sont partagés qu’avec des conseillers bancaires de confiance et des membres de la famille qui ne se trouvent pas sur Internet. Ces codes constitueraient une dernière vérification pour confirmer que votre image ou votre voix est bien la vôtre lorsque des transactions financières de personne à personne sont effectuées. J’ai parlé à des personnes à valeur nette élevée qui utilisent déjà des codes de confiance et qui disent que cette approche leur donne un bien plus grand sentiment de sécurité.
Que peut faire BMO pour aider les clients de la Gestion privée à lutter contre les cybermenaces et les autres menaces à la sécurité?
BMO a une section sur son site Web qui présente les plus récentes techniques et méthodes utilisées par les attaquants, ainsi que les meilleures pratiques recommandées du secteur, afin d’aider les particuliers et les organisations à réfléchir à la meilleure façon de se protéger contre les menaces à la sécurité.
Même si tout cela est un peu effrayant et inquiétant, au bout du compte, vous devez vivre votre vie et en profiter. Vous devez simplement faire attention et réfléchir à ce que vous faites et à la façon dont vous le faites, puisqu’il y aura toujours des gens qui voudront profiter de vous et de votre argent.
