Messageries instantanées : des outils vulnérables aux cyberattaques

Les logiciels collaboratifs sont un levier clé pour la communication et la productivité. Depuis le début de la pandémie, les technologies de communication collaborative – telles que Slack, Skype for Business, ou encore Teams – ont été massivement adoptées au sein des entreprises. Les employés y ont recours pour passer des appels vidéo, partager des documents, ainsi que pour s’envoyer des messages instantanés et des mèmes humoristiques. Selon un rapport récent de Market Research, le marché des outils dédiés à la collaboration devrait ainsi atteindre 45 milliards de dollars d’ici à 2025.

Cependant, cet usage accru s’accompagne d’un risque accru. Il existe ainsi plusieurs vulnérabilités de sécurité liées aux messageries instantanées ; mais également des mesures préventives que les administrateurs système peuvent déployer, afin d’éviter que les données sensibles de leur organisation ne tombent entre de mauvaises mains.

Le partage de données en interne

Les plateformes de messagerie instantanée permettent à des collègues de s’échanger des fichiers en un temps record, ce qui est certes pratique, mais pas toujours sécurisé. Certains utilisateurs partagent inévitablement des informations sensibles avec des individus qui ne devraient pas y avoir accès.

Pour limiter ce risque, il est nécessaire de bloquer la communication entre certains employés, ou certaines équipes. Une autre solution consiste à autoriser la communication, mais à désactiver la fonctionnalité de partage de fichiers. Néanmoins, cette méthode est inefficace dès lors que des salariés copient-collent des informations sensibles d’un document dans une fenêtre de discussion.

Une autre possibilité consiste à configurer les paramètres « Data Loss Prevention » (DLP) afin de détecter et de bloquer le partage lorsqu’un contenu sensible spécifique est décelé dans un message ; un numéro de sécurité sociale ou de carte de paiement par exemple.

Le partage de données avec des invités

Ces logiciels offrent également la possibilité aux salariés de partager des informations avec des acteurs externes à l’entreprise, tels que des fournisseurs et des clients. L’objectif peut être d’échanger des documents, de participer à des conversations, ainsi que d’émettre et de recevoir des appels avec des invités externes à l’organisation. Si cette fonctionnalité facilite les collaborations, elle accroît cependant le risque de voir des données sensibles partagées à mauvais escient.

Là encore, les outils de DLP se montrent pertinents. Microsoft Teams, par exemple, permet de marquer les documents à chiffrer, afin que seuls certains collaborateurs puissent les déchiffrer et les ouvrir. Les employés peuvent alors partager librement des documents avec l’extérieur sans risquer que les mauvaises personnes n’y accèdent. De plus, en raison de la sensibilité des données partagées via ces plateformes, il est important de vérifier les identités des interlocuteurs à chaque échange pour s’assurer que ces identités n’ont pas été compromises.

Le moyen le plus simple d’y parvenir consiste à déployer l’authentification multifacteurs (MFA). Il est également possible d’implémenter des solutions de détection d’attaques pour les systèmes d’authentification, notamment Azure AD et Active Directory. Cela aidera à vérifier que les interlocuteurs sont légitimes. En effet, de nombreux utilisateurs sont désormais (trop) confiants lorsqu’ils discutent sur un outil de communication collaboratif en raison du déploiement massif de ces programmes depuis le début de la pandémie.

Le phishing

Les plateformes de messagerie instantanée s’appuient sur des techniques de marketing éprouvées : au-delà d’une certaine durée d’inactivité, la plupart d’entre elles envoient un e-mail rappelant aux utilisateurs qu’il y a des messages auxquels ils n’ont pas encore répondu. Ces e-mails incluent également un lien vers le logiciel.

Cependant, certains cybercriminels parviennent à compromettre ces e-mails. L’équipe informatique doit donc informer régulièrement les salariés de l’entreprise de l’existence de ce risque, et les former à identifier ces activités malveillantes. Cela est pourtant souvent négligé, alors que l’amélioration de la sécurité en ligne de l’organisation et la bonne gestion de son système informatique en dépendent.

Autres mesures de protection

Il est recommandé d’utiliser non seulement les fonctionnalités offertes par les messageries instantanées, mais également d’effectuer un suivi des activités sur la plateforme. A cette fin, l’outil de surveillance devrait être le même que celui utilisé pour gérer le reste des activités survenant dans l’écosystème informatique. Les équipes IT pourront in fine catégoriser les données de façon cohérente, tout en améliorant la détection et la réponse aux menaces. Enfin, une solution dédiée à l’audit les aidera aussi à déceler l’activité d’acteurs externes, à détecter des activités suspectes afin d’éviter de possibles violations de données, à mener l’enquête en cas d’incidents, et à démontrer aux auditeurs la conformité aux législations en vigueur.

Enfin, il est important de s’assurer que la plateforme hébergeant les solutions de collaboration est sécurisée. Les fournisseurs communiquent assez bien sur les éventuelles failles de sécurité et les correctifs disponibles. Il faut néanmoins prendre la peine de garder un œil sur la publication de ces bulletins et s’assurer de la correction rapide des vulnérabilités en question, afin que les cybercriminels ne puissent avoir le temps d’en tirer profit.

Lorsque les équipes IT implémentent des contrôles de sécurité, ils doivent garder à l’esprit que les salariés utilisent les messageries instantanées afin d’être facilement en relation avec d’autres individus. Mais si les outils de sécurité en place gênent leur productivité selon eux, les utilisateurs risquent de se tourner vers des logiciels extérieurs à l’environnement informatique de l’entreprise, ce qui accroîtra considérablement les risques. Il est donc préférable de chercher à atteindre un équilibre entre sécurité et productivité, en définissant des règles qui soient raisonnables ; en d’autres termes, qui conviennent à la fois aux équipes informatiques et aux salariés des entreprises.