Cybercriminalité dans les établissements sociaux : comment se prémunir contre les attaques ?

Depuis 2021, la cybercriminalité a explosé. 831 attaques informatiques ont été enregistrées en 2022. Le secteur de l’action sociale n’est pas épargnée. Détenteurs de données personnelles et médicales sensibles, les établissements sociaux et médico-sociaux sont des cibles privilégiées pour les cybercriminels. Les hôpitaux sont aussi touchés. Les intrusions représentent une menace élevée pour la confidentialité des informations. Elles peuvent perturber les services et causer des pertes financières élevées. Pour combattre ses ennemis, il est essentiel de les connaître et d’adopter les bonnes pratiques en matière de sécurité informatique.

Cybercriminalité : connaître les différents types d’attaque

Les cybercriminels ne manquent pas d’imagination pour détourner les systèmes de sécurité informatique et profiter de la méconnaissance ou de la faiblesse des personnes.

Le phishing ou hameçonnage

Le phishing – encore appelé hameçonnage -, reste l’une des techniques d’attaque les plus courantes. Les messageries professionnelles sont aussi touchées.

Le phishing consiste à récupérer des informations personnelles par l’envoi de messages frauduleux à l’effigie d’un organisme connu (banque, services fiscaux, services de livraison, La Poste, Sécurité Sociale,...) En confiance, l’internaute clique sur le lien dans le mail l’invitant à "mettre à jour", "confirmer" ou "modifier" ses informations personnelles, ses coordonnées bancaires ou son mot de passe, permettant ainsi au cybercriminel de les enregistrer.

Le ransomware ou rançongiciel

Le ransomware ou rançongiciel occupe le devant de la scène cybercriminelle depuis 2021.

La technique consiste à crypter les données d’un ordinateur ou d’un système informatique via un logiciel malveillant ou un virus. Le cybercriminel bloque ainsi l’accès aux fichiers et exigent le paiement d’une rançon pour le débloquer.

Un ordinateur peut être infecté suite à l’ouverture d’une pièce jointe, un clic sur un lien malveillant dans un mail, la navigation sur un site compromis ou encore l’intrusion dans le système informatique.

Les attaques par la chaîne d’approvisionnement

Malgré leur baisse en 2022, les attaques ciblant la chaîne d’approvisionnement – ou supply chain – restent menaçantes. Elles infectent les systèmes informatiques en passant par un tiers, notamment les fournisseurs de services logiciels ou les services de cloud externe.

Les attaques par déni de service (DDoS)

Dernier cybercrime le plus courant : le déni de service. Elles ciblent principalement les sites e-commerce ou les institutions mais toutes les structures peuvent être concernées dès lors qu’elles disposent d’une infrastructure réseau avec un accès internet.

Dans l’attaque par déni de service, l’envoi de multiples requêtes saturent le serveur pour le rendre inaccessible. Les cybercriminels peuvent aussi utiliser les failles de sécurité du système pour provoquer une panne ou dégrader le service.

Des conseils pour combattre la cybercriminalité dans les établissements sociaux

Si le risque zéro n’existe pas tant les cybercriminels sont ingénieux, il est possible de réduire la cybercriminalité en déployant des mesures simples, accessibles à tous les établissements sociaux et médico-sociaux. L’agence du numérique a édité un guide à leur intention.

Renforcer la sécurité informatique

Tout contact entre un réseau informatique et l’extérieur ouvre la porte à la cybercriminalité.

La base pour protéger un établissement des cybercrimes ? Activer un pare-feu et déployer un logiciel anti-virus sur les postes de travail. Le pare-feu est la première barrière de protection. Il filtre le trafic en provenance d’internet. L’anti-virus repère, identifie et met en quarantaine les programmes malveillants ou malwares, virus, chevaux de Troie et vers informatiques.

Les cybercriminels exploitent aussi les failles de sécurité des systèmes d’information et des logiciels pour pénétrer les réseaux informatiques. Les mettre à jour régulièrement est une obligation. Les mises à jour permettent d’installer les correctifs de protection fournis par les exploitants et éditeurs de logiciels.

Pour prévenir la menace sur la chaîne d’approvisionnement, un niveau de sécurité informatique élevé doit être exigé dans toute relation avec un tiers, dès lors que des systèmes d’information communiquent ou qu’un logiciel est utilisé. Les contrats confiant la gestion du système d’information de l’établissement social à un prestataire extérieur doivent inclure des clauses garantissant la sécurité maximale du réseau.

Dernière solution facile à mettre en place : l’interdiction des clés USB, supports de transmission des virus.

Sensibiliser et former le personnel

La majorité des attaques informatiques sont permises par une erreur humaine, une inattention ou la méconnaissance.

Sensibiliser et former le personnel des établissements sociaux et médico-sociaux aux bonnes pratiques en matière de sécurité informatique doit être une priorité.

Ne pas ouvrir de pièces jointes ou de mails suspects, ne pas cliquer sur des liens inconnus, ne pas installer soi-même d’applications sur son poste de travail, ne pas rediriger un mail de sa messagerie professionnelle vers sa messagerie personnelle, vérifier l’authenticité des sites : ces gestes sont autant de bons réflexes à adopter pour réduire les risques.

Des études ont montré que la connaissance des mécanismes du phishing permettait de diminuer la réussite des tentatives d’intrusions de 30 à 5 %.

Sécuriser les données

Un établissement social et médico-social aux données protégées est une structure où chaque salarié dispose d’un compte utilisateur dédié, sans disposer de droits d’administration. Les mots de passe sont complexes et robustes et changés régulièrement. L’accès aux logiciels est encadré et strictement réservé aux utilisateurs.

Établir une charte informatique

L’ensemble des bonnes pratiques peut être précisé dans une charte informatique.

Document à valeur juridique, la charte est transmise au salarié à son arrivée dans l’établissement, et annexée au règlement intérieur. Elle précise les conditions d’utilisation de chaque outil et matériel informatique mis à sa disposition, ainsi que les sanctions en cas de non-respect.

La charte informatique donne un cadre, rappelle les règles et protège l’employeur.

La cybercriminalité fait courir des risques majeurs aux établissements sociaux et médico-sociaux. Des actions simples permettent de les réduire. Mais comme le risque zéro n’existe pas, les établissements doivent penser à sauvegarder régulièrement leurs données pour faciliter la reprise des activités opérationnelles en cas d’attaques informatiques.