Cybersécurité : les identités machines sont sources de faiblesses

Les accès au système d’information reposent sur une gestion des identités. Un pirate peut certes utiliser des failles techniques pour accéder au SI mais il peut aussi simplement compromettre une identité pour obtenir ses accès. Or de telles identités ne correspondent pas nécessairement uniquement à des personnes mais aussi à des machines, des objets connectés. CyberArk vient de publier une étude pointant les dangers liés à ces identités qui se multiplient.

Ainsi, l’année dernière, 93 % des entreprises ont subi au moins deux compromissions d’identité. Neuf entreprises sur dix ont été victimes d’une compromission d’identité couronnée de succès suite à une attaque par hameçonnage classiques ou par téléphone (« vishing »). Selon les répondants à l’étude, la première cause de prolifération des identités est la multiplication de celles affectées aux machines. Et ces identités sont jugées particulièrement susceptibles d’être usurpées. 55 % des entreprises françaises définissent un utilisateur à privilèges comme « uniquement humain » (61 % au niveau mondial) et 43 % accordent des privilèges à la totalité de leurs identités humaines et machines contre 38 % pour le reste du monde.

Multiplication des difficultés, addition de l’IA

Et les choses ne sont pas prêtes de s’arranger : 47 % des répondants français sont convaincus que le nombre d’identités créées va tripler au cours des 12 prochains mois (la moyenne sur l’ensemble des répondants est une croissance d’un facteur 2,4). Parmi les difficultés que l’étude remonte, la multiplication des recours aux services cloud n’est pas à négliger : au cours des douze prochains mois, 70 % des entreprises françaises feront appel à trois fournisseurs au moins de services cloud.

Pour tenter de répondre à ces défis, 99 % des entreprises françaises et mondiales ont adopté des outils assistés par l’IA dans le cadre de leurs initiatives de cyberdéfense. Mais 95 % des répondants français pensent que les outils assistés par IA vont créer un cyber-risque supplémentaire pour leur entreprise au cours de l’année à venir. L’IA est aussi une manière d’accroître la pertinence des phishings, notamment via deepfake. A ce sujet, l’optimisme ressortant de l’étude peut étonner : plus de 70 % des personnes interrogées sont convaincues que leurs employés sont capables d’identifier les « deepfakes » imitant des dirigeants de leur entreprise.