La popularité des outils numériques et des systèmes connectés a également entraîné une augmentation des cyberattaques contre les entreprises au Canada et dans le monde. Voici ce que les concessionnaires d’automobiles doivent savoir sur ces attaques et sur la façon de protéger leur concession.
En 2017, une entreprise sur 5 (21 %) au pays a signalé des incidents liés à la cybersécurité dans ses opérations, selon Statistique Canada.
Un certain nombre de ces incidents ont empêché les employés d’effectuer leur travail quotidien, entraîné des coûts additionnels de réparation et de récupération de données, provoqué une perte de revenus et, même, porté atteinte à la réputation de l’entreprise. Pire encore, le nombre d’incidents augmente et est sur le point d’avoir des répercussions sur les concessions d’automobiles à différents niveaux, selon David Masson, directeur régional pour le Canada chez Darktrace.
« Les concessionnaires d’automobiles détiennent beaucoup de renseignements personnels et beaucoup de données. Ils ont des données sur leurs clients et sur les véhicules qu’ils vendent, ils ont des systèmes de gestion de la relation client (CRM) qui jouent un rôle très important dans la gestion de leur entreprise », a déclaré M. Masson. « À bien des égards, les données sont monnaie courante, et c’est pourquoi certaines personnes les recherchent. Elles tentent de les voler et de les vendre; et, parfois, elles essayent de vous empêcher d’y avoir accès. »
« À bien des égards, les données sont monnaie courante, et c’est pourquoi certaines personnes les recherchent. »
— David Masson, directeur régional pour le Canada, Darktrace
David Masson a mentionné que ces pirates informatiques peuvent faire des ravages sur votre réseau en quelques secondes, bien qu’il faille souvent une centaine de jours pour que quelqu’un remarque que quelque chose ne va pas — et dans certains cas, cela peut prendre des années.
Types de cyberattaques
La manipulation de données
Il existe de nombreuses formes de cyberattaques, mais la manipulation de données numériques est en train de prendre de l’ampleur : modification ou altération de l’intégrité de vos données, qu’il s’agisse de votre système de gestion de la relation client (CRM), de la formule d’établissement des prix, des renseignements sur le véhicule ou autre. M. Masson a déclaré qu’il s’agissait d’une attaque très insidieuse et dérangeante, mais qui pourrait facilement vous faire perdre confiance en votre système.
L’hameçonnage
L’hameçonnage est un type d’attaque d’ingénierie sociale. Selon Jean-Philippe Racine, président du groupe québécois CyberSwat, il s’agit des cyberattaques les plus courantes et les plus souvent utilisées pour dérober des données aux utilisateurs, notamment des identifiants de connexion, des numéros de cartes de crédit ainsi que d’autres données confidentielles.
« Cela se produit lorsqu’un pirate, se faisant passer pour une personne de confiance, persuade une victime d’ouvrir un courrier électronique, un message instantané ou un message texte », a déclaré M. Racine. « C’est souvent la première étape d’une attaque. »
M. Racine dit que de nombreuses petites et moyennes entreprises estiment que leurs renseignements ne sont pas assez précieux pour être volés par les pirates, mais elles se trompent. « Les cyberattaques, pour la plupart, sont automatisées et ciblent des entreprises de façon aléatoire. Ça pourrait être vous. »
Un récent sondage de l’Autorité canadienne pour les enregistrements Internet (ACEI) concernant la cybersécurité des petites et moyennes entreprises canadiennes a révélé que 32 % ont déclaré que leurs utilisateurs avaient divulgué à leur insu des renseignements sur des tactiques d’hameçonnage au cours de la dernière année.
Le vol de données à caractère personnel destinées à la vente sur le marché noir numérique est un autre type d’attaque qui peut ressembler à de l’hameçonnage mais qui peut être classé différemment.
«Les numéros de sécurité sociale, les noms, les adresses, les numéros de téléphone et les numéros de permis de conduire sont des renseignements que les concessionnaires utilisent pour financer une voiture. Ces renseignements sont très précieux pour les pirates », a déclaré Jean-Philippe Racine. « S’ils piratent le site web ou les serveurs internes d’un concessionnaire et volent les données personnelles d’un client, ils peuvent vendre ces données sur le dark web ou les utiliser directement pour identifier les voleurs. »
Un renseignement du genre pourrait se vendre entre 60 et 80 $ US sur le dark web, selon un article publié en novembre 2017 par PC Magazine.
Les faux logiciels de décodage et de protection
D’après l’enquête menée par l’ACEI, 19 % des entreprises ont été touchées par un tel logiciel de décodage et de protection.
Jean-Philippe Racine décrit ce type de logiciel comme une attaque qui n’affecte pas la confidentialité de l’information, mais plutôt sa disponibilité. En d’autres termes, les concessionnaires devraient payer une rançon aux pirates s’ils veulent récupérer leurs données.
« Il existe de nombreuses formes d’attaques d’hameçonnage, mais l’une d’entre elles est liée aux cartes-cadeaux. »
— Sean Thomas, VP Technologie à la sécurité des concessionnaires des architectes de solutions, A&R Solutions
« Lors d’une attaque d’hameçonnage ou lorsqu’elle navigue sur le web, une personne pourrait ouvrir un fichier contenant un virus; ce virus chiffrera toutes les données de l’entreprise et demandera une rançon », a déclaré M. Racine. « Le concessionnaire n’aura que trois choix : restaurer ses données à partir d’une sauvegarde, essayer de les déchiffrer ou payer la rançon. »
Le problème, a-t-il déclaré, c’est que le déchiffrement des données n’est pas toujours possible, et le concessionnaire peut découvrir que sa stratégie de sauvegarde ne lui permet pas de récupérer toutes les données.
En règle générale, les entreprises de cybersécurité ne recommandent pas de payer la rançon; cependant, la seule option consiste parfois à la payer de toute façon. M. Racine a déclaré que certaines entreprises ont dû redémarrer à zéro après avoir perdu toutes leurs données. Le problème avec cette option, c’est qu’elle permet aux pirates de recevoir plus d’argent qu’ils peuvent ensuite investir en recherche et développement (R & D), ce qui leur donne la possibilité de mieux attaquer les entreprises.
Le faux logiciel de décodage et de protection est l’une des formes les plus populaires de cyberattaques et est considéré comme un problème majeur pour tous les types d’entreprises, y compris les concessionnaires d’automobiles.
Les cartes-cadeaux, les transferts électroniques et les courriels
Selon Sean Thomas, vice-président Technologie à la sécurité des concessionnaires des architectes de solutions chez A & R Solutions, il existe de nombreuses formes d’attaques d’hameçonnage, mais l’une d’entre elles est liée aux cartes-cadeaux.
Dans ce cas, le pirate informatique communiquera directement avec un vendeur, bien informé du moment où ils sont en poste, et enverra un courrier électronique à cette personne prétendant être un employé de la concession. Ensuite, ils leur demandera de prendre des cartes-cadeaux iTunes.
La situation serait la suivante : « Hé, peux-tu me procurer cinq cartes-cadeaux pour une promotion que nous organisons ? Nous allons les donner », a déclaré M. Thomas. Et puis, environ 10 minutes plus tard, il lui répondra par courrier électronique (le représentant) : « Hé, j’en ai vraiment besoin maintenant. Nous venons de vendre deux voitures. Pouvez-vous gratter l’arrière, prendre une photo et la renvoyer par courriel ? »
Cela peut sembler marginal au début, mais quand les cartes coûtent entre 200 et 500 dollars, le montant peut monter rapidement. M. Thomas dit qu’il avait commencé à voir ce problème prendre forme dans les concessions il y a plus de six mois, et que ces incidents rappellent que les pirates considèrent les concessions comme un fruit bien mûr à cueillir.
Cela est dû aux nouveaux changements dans l’industrie et à un manque de formation appropriée. Si le concessionnaire ne dispose pas du budget nécessaire pour investir dans les mesures de sécurité de son département des technologies de l’information, il peut être une cible facile.
« Les cyber-attaques, pour la plupart, sont automatisées et ciblent des entreprises de façon aléatoire. Ça pourrait être vous. »
— Jean-Philippe Racine, président, CyberSwat Group
Les autres formes de cyberattaques de la catégorie sous-hameçonnage comprennent les transferts électroniques et les courriels. « Les transferts électroniques ne sont rien pour les pirates informatiques; alors, c’est facile pour eux », a déclaré M. Thomas. « L’autre chose qui s’améliore, c’est l’écriture et la grammaire des courriels d’hameçonnage. »
Auparavant, c’était souvent une personne qui parlait plus ou moins bien anglais; mais M. Thomas a expliqué que la structure de la grammaire et de la phrase est maintenant sans faille — ce qui peut faire paraître le courriel fiable.
À partir des données d’un groupe de taille moyenne composé de 500 utilisateurs sur une période de 30 jours, comprenant 975 000 courriels reçus et 135 000 courriels envoyés, M. Thomas a découvert :
Cyberattaques
- Logiciel malveillant trouvé et retiré (109) Courriel avec une pièce jointe comportant un logiciel malveillant
- Prévention du coulage de données (33) Employé, malintentionné ou non, qui a envoyé de l’information sensible dans un courriel non chiffré
- Courriels frauduleux (extérieurs) (5112) Courriels frauduleux et qui ne vient pas de l’endroit d’où il semble venir
- URL malveillantes (731) Courriel qui contient une adresse qui se révèle malicieuse (logiciel, site, document)
- Usurpation de l’identité utilisateur (1243) Courriel dans lequel une personne prétend être quelqu’un d’autre
- Attaques d’hameçonnage (3318) Courriel dans lequel une personne tente d’avoir accès au système de l’entreprise ou à un compte individuel
- Usurpation de l’identité de la marque (10) Courriel dans lequel une personne prétend représenter une marque (Microsoft, par exemple)
- Usurpation de l’identité de domaine (1) Courriel dans lequel une personne prétend envoyer le courriel à partir d’un domaine précis, mais l’envoie d’un autre
Comment protéger votre concession
Il existe de nombreuses méthodes que les concessionnaires peuvent utiliser pour protéger leurs concessions des cyberattaques :
- Ne partagez pas de données confidentielles sur vos clients, comme le numéro de sécurité sociale, les renseignements sur le permis de conduire et d’autres renseignements par courrier électronique. (CyberSwat)
- Mettez à jour votre système, en particulier si votre concession utilise de vieux ordinateurs ou des ordinateurs qui ne sont pas à jour, notamment au chapitre des systèmes d’exploitation, des navigateurs et des logiciels. (CyberSwat)
- Restreignez l’utilisation des logiciels et configurez les droits administratifs pour vous assurer que rien n’est installé sur votre ordinateur sans autorisation. (Darktrace)
- Créez un mot de passe difficile à trouver, demandez à vos employés de faire de même et conseillez-leur de cesser de réutiliser les mêmes mots de passe sur plusieurs sites. (Darktrace)
- Assurez-vous que votre personnel sait quoi faire s’il a des doutes sur un courrier électronique reçu, sur la gestion des pièces jointes, sur le fonctionnement du système de messagerie et sur le fonctionnement des ordinateurs. (Solutions A & R)
- Assurez-vous que l’adresse de courriel est la bonne. La personne a-t-elle une signature ? Si c’est le cas, cette signature est-elle dans la demande de virement bancaire ? La signature indique-t-elle, par exemple : « Bonjour Timothy » lorsque l’employé ou le client vous appelle habituellement Tim ? (Solutions A & R)
Les concessionnaires qui utilisent Microsoft Office 365 disposent également de nombreuses fonctionnalités, notamment l’anti-hameçonnage, l’anti-pourriel, l’anti-logiciel malveillant, etc. Les concessionnaires peuvent également installer un pare-feu et un logiciel bloquant les virus, les logiciels espions et les attaques d’hameçonnage et bloquer l’accès aux sites restreints au moyen de filtres internet.
Il est également important de créer une politique stricte à la concession afin de s’assurer que personne n’utilise le Wi-Fi public et d’introduire un protocole de rapports internes pour alerter l’entreprise des pourriels ou des courriels d’hameçonnage en cours de diffusion. Surtout, les experts recommandent aux concessionnaires de consulter un professionnel et de discuter de la manière de disposer des données tangibles et intangibles.
