Plus d'un milliard de données volées en 2014

L'année 2014 s'illustrera comme une année record en matière d'infractions informatiques. Plus d'un milliard (1,023 précisément) de données ont été perdues ou volées au cours de l'année passée. Sont considérées comme données les informations propres à l'identité personnelle ou bancaire ainsi que les identifiants d'accès. C'est ce qui ressort du Breach Level Index 2015 qui, sous l'égide de Gemalto et avec le soutien de SafeNet, compile dans une base de données éponyme l'ensemble des informations communiquées à partir des rapports publics de sécurité. Rapporté à une échelle de temps plus palpable, plus de 2,8 millions de données sont ainsi affectées quotidiennement ou, encore, 32 par seconde.

Le nombre de données touchées à littéralement explosé de 78% l'année dernière en regard des 575 millions de pertes d'information enregistrées en 2013. En comparaison, les 1?540 violations de réseaux d'entreprises constatés l'année dernière feraient presque pâle figure s'ils n'avaient, eux aussi, connu une croissance vertigineuse de 43% comparés aux 1?056 intrusions de 2013.

Voir aussi notre infographie : Vol de données, 2014 année de tous les records

Les milieux financiers et le commerce de détail sont les principaux secteurs affectés par les attaques en 2014. Leurs volumes de données perdues comptent pour 20% et 55% respectivement de l'ensemble des pertes. Des chiffres qui trouvent leur concrétisation dans les affaires Home Depot (109 millions de données dérobées), Ebay (83 millions) ou encore le peu médiatisé AliExpress (300 millions), côté commerce. Dans le secteur financier, les attaques contre JP Morgan Chase (83 millions de données concernées), Korean Credit Bureau (104 millions) ou encore HSBC en Turquie (2,7 millions) concentrent les principales violations enregistrées.

Les entreprises de l'IT en progrès

L'industrie IT ne s'en sort pas trop mal d'autant que ce petit monde comprend les plates-formes de média sociaux, cibles habituelles des cybercriminels. Avec 134 intrusions pour 96,5 millions de données dérobées, le secteur n'est impliqué que dans 9 % des violations de données (contre 11% en 2013 et un volume de données dérobées bien supérieur). « Peut-être que les entreprises de technologie sont plus proactives quand il s'agit de déployer des outils de sécurité visant à protéger leurs réseaux et données », suggère les auteurs du Breaches Level Index. Cela reste néanmoins en moyenne plus élevé que les 5% qui affectent chacun des secteurs de l'éducation et des gouvernements, ou encore des 3% propres aux entreprises de la santé.

A noter que, malgré l'intérêt grandissant porté aux protections par cryptage des données, celles-ci sont encore loin d'être généralisées. Seules 58 attaques ont concerné des données chiffrées, totalement ou partiellement. Soit moins de 4% des incidents.

Les vols de données par secteurs industriels

Sous l'angle régional, l'Amérique du Nord constitue incontestablement la première cible mondiale. Avec 1?164 incidents constatés, le continent réunit les trois-quarts (76%) des intrusions systèmes pour 390 millions d'enregistrements perdus (38%). Soit moins que les 545 millions de données perdues en Asie-Pacifique qui n'a pourtant connu «?que?» 129 incidents. Soit 8% du total. Entre les deux, l'Europe, avec 190 violations, concentre 12% des intrusions pour 79 millions de données impliquées. L'Amérique latine (1% des incidents) et l'Afrique-Moyen-Orient (3%) sont faiblement concernés à ce jour.

Les Etats de plus en plus impliqués

L'étude nous apprend également que si la majorité (55%) des violations s'explique par des intrusions extérieures (15% pour celles issues de l'intérieur d'une organisation) et que 25% sont dues à des pertes accidentelles, les attaques orchestrées par des Etats constituaient 4% des incidents en 2014. Un taux certes faible, mais en croissance significative par rapport au 1% de 2013. L'attaque en fin d'année contre le studio Sony Pictures par la Corée du Nord (aux dires du gouvernement américain) en constitue une symbolique illustration.

Les pertes de données par types d'attaques ou incidents.

Enfin, si les vols d'identités explosent (avec 54% des cas contre 20% en 2013), ceux des données financières régressent (17% contre 50% un an auparavant). La volonté de nuire prend également du galon (10% contre 1% en 2013).

Au final, le rapport se montre relativement pessimiste face à la croissance des intrusions et leur succès. Selon ses auteurs, les méthodes visant à sécuriser la périphérie du système et la prévention des intrusions ne répondent plus aux besoins de protection actuels. « Il est évident qu'une nouvelle approche de sécurisation de la donnée est nécessaire si les organisations veulent conserver l'avantage sur les attaquants et mieux se protéger contre les intrusions dans le futur », formule le rapport. Pour ses auteurs, les entreprises doivent évoluer du modèle de prévention des intrusions vers celui de l'acceptation, en sécurisant les données et non plus leur périmètre dans un monde où le Cloud, la virtualisation et la mobilité multiplient les surfaces d'attaques. Cette méthodologie fait appel au chiffrement des données ainsi qu'au contrôle des accès via l'authentification des utilisateurs. Une évolution nécessaire pour ne pas faire de 2015 une nouvelle année record.

Lire également
Cyberattaque à 300 millions de dollars contre les établissements bancaires
La perte de données a coûté 30 milliards d'euros en 2014 en France
Protection des données : carton jaune foncé pour Orange