Introduction
Les données concrètes et les preuves anecdotiques montrent que la principale cause de piratage des entreprises est l'erreur humaine. Recherche collaborative par l'Université de Stanford et la société de sécurité Tessian ont montré que 88 % des violations de données sont causées par des employés qui cliquent sur les e-mails de pirates informatiques parce qu'ils pensaient qu'elles provenaient réellement d'un cadre supérieur de l'entreprise ou d'une source légitime. Considérant que des dizaines d'employés d'une entreprise ont accès à des documents et des données critiques qu'ils pourraient être amenés à partager avec des sous-traitants pour un projet, la possibilité pour les pirates et les ingénieurs sociaux de s'insérer au milieu et de commettre des fraudes augmente de façon exponentielle.
Dans un 2020 interview, Joseph Rigazio, un leader dans l'industrie de la construction et de l'ingénierie, a partagé ses réflexions sur les risques de cybersécurité auxquels sont confrontées les entreprises de construction. L'entretien s'est avéré efficace pour souligner la nécessité pour les constructeurs d'être intégrés à des PKI outils. Joseph a reçu une formation en génie électrique, en économie d'entreprise et en gestion de la construction, a travaillé pendant 21 ans chez Texas Instruments et est actuellement à la tête de Talisen Construction Corporation. Ses idées sont transcrites ci-dessous :
« Un autre domaine du point de vue de la construction, c'est ça... le hameçonnage... l'arnaque... le ransomware... vous enfermer... entrer et voler - il y a du contenu et il y a des informations de contact, donc certaines des choses qui m'empêchent de dormir la nuit, c'est qu'ils sont entrés, maintenant, ils recherchent des documents bancaires et parcourent le flux de travail de votre chaîne de paiement et de réception, où se trouvent ces informations câblées, les numéros EIN de nos fournisseurs, etc. C'est préoccupant. C'est d'un côté, vous savez, obtenez l'argent. Qu'en est-il des dessins et des plans professionnels. Nous avons beaucoup de contenu, c'est-à-dire que nous avons affaire à des clients plus sensibles qui donnent des informations, disons des cartes bancaires. Nous savons où se trouve le coffre-fort, nous connaissons les structures des murs, nous savons comment passer en dessous. Ils sont tous en dessins. Les entreprises de construction sont devenues numériques au cours des 10 dernières années, il y a donc beaucoup de documentation dans nos fichiers qui montre comment ces bâtiments ont été construits.
-Joseph Rigazio
PDG de Talisen Construction Corporation
Les données montrent que les inquiétudes de Rigazio se sont concrétisées au cours de la dernière décennie avec une fréquence alarmante. Selon le cabinet de gestion des risques Marais McLennan, les sociétés d'ingénierie du secteur de la construction sont la prunelle des pirates informatiques, car « relativement peu d'entrepreneurs ont identifié et quantifié de manière approfondie leurs cyber-expositions ou élaboré des plans pour atténuer et/ou transférer ce risque particulier ».
A Enquête complète 2016-2017 by Kroll, une société de solutions numériques de gestion des risques et de l'évaluation, a indiqué que 63 % des personnes interrogées dans le secteur de l'ingénierie, de la construction et des infrastructures avaient été confrontées à un risque de sécurité au cours de l'année écoulée. En ce qui concerne les cyberattaques, l'enquête a montré qu'au cours de l'année écoulée également, plus de 75 % des personnes interrogées ont été confrontées à diverses formes de cyberattaques, notamment le phishing, les virus vers et la suppression de données avec les fichiers clients comme cible centrale.
La section suivante examine des cas historiques récents qui démontrent comment des entreprises d'ingénierie ou de construction ont été violées.
Cas historiques récents de cyberattaques contre des sociétés d'ingénierie
En 2013, les plans du nouveau Le bâtiment de l'Australian Security Intelligence Organization (ASIO) a été volé par le gang de piratage chinois APT3 qui a téléchargé des logiciels malveillants sur l'ordinateur portable d'un employé de l'ASIO. Parmi les contenus critiques volés figuraient le plan d'étage, les systèmes de communication et les systèmes de sécurité. La cyberattaque a retardé la construction du bâtiment et contraint ASIO à envisager une refonte.
En mars 2016, une escroquerie de spear phishing a visé un employé de Turner Construction, l'une des plus grandes entreprises de construction américaines. La personne a fini par envoyer les numéros de sécurité sociale et les adresses des employés actuels et passés au compte de messagerie d'un pirate informatique. Les harponneurs créent de faux comptes de messagerie de personnes dans une entreprise qui occupent des postes clés comme des PDG, puis incitent les employés à envoyer des données confidentielles ou à initier des transactions financières. Les données personnelles recueillies par les pirates peuvent être utilisées dans d'autres transactions frauduleuses telles que se faire passer pour la personne possédant le numéro de sécurité sociale, puis inciter un employé d'une autre entreprise comme une banque à transférer des fonds sur le compte du pirate.
La propre entreprise de Joseph Rigazio a également été victime d'hameçonnage. Dans la même interview de 2020, il a expliqué comment son chef de la comptabilité de projet avait été victime d'une arnaque lorsque la personne pensait que le pirate informatique avec lequel il communiquait par courrier électronique était lui. Lors d'une rencontre au bureau, l'employé de Joseph a mentionné qu'il faisait un suivi de la transaction à laquelle Joseph a répondu par « De quoi parlez-vous? La personne est ensuite devenue blanche après avoir réalisé qu'elle s'était fait arnaquer et que le cybercriminel s'était enfui avec 10,000 XNUMX $.
Ce 2021, un journal de l'industrie de la construction a rapporté que « les cybercriminels sont passés du piratage des informations personnelles. Désormais, l'intelligence d'entreprise, les infrastructures et même les équipements lourds sont des cibles.
L'exemple le plus définitif des risques alarmants de cybersécurité auxquels sont confrontées les sociétés d'ingénierie est probablement celui de mai 2021. attaque ransomware de Colonial Pipeline, un réseau d'oléoducs qui transporte l'essence et le diesel du Texas aux États du sud-est. Les cyber-escrocs, qui seraient le gang d'Europe de l'Est Darkside, ont ciblé les ordinateurs contrôlant le système de pipeline. Ils ont également volé près de 100 Go d'informations à Colonial Pipeline et ont menacé de les divulguer sur Internet si l'entreprise ne payait pas la rançon. Par crainte d'attaques ultérieures et parce qu'ils ont perdu leur capacité à facturer les clients, Colonial Pipeline a décidé de fermer ses opérations et a versé près de 5 millions de dollars à Darkside. Cette attaque de ransomware a affecté les approvisionnements en carburant dans les aéroports et les changements d'horaires de vol et a provoqué des achats de panique.
Dernier mot
Les risques de cybersécurité associés aux travaux d'ingénierie basés sur le numérique ne devraient pas inciter les entreprises à régresser vers une planification et des transactions purement papier.
Alors, comment aider les employés à éviter d'être induits en erreur par des pirates informatiques ? Comment gérons-nous les risques de vol de données lors de l'utilisation d'Internet ? Les faire former par une entreprise de cybersécurité sur les protocoles de sécurité de base est une méthode. Mais afin de vraiment surmonter les limites humaines dans la protection de données précieuses, les sociétés d'ingénierie devraient chercher à investir dans la cybersécurité basée sur le cryptage, ce qui rendra très difficile pour les pirates de voler des informations, même aux travailleurs les moins avertis d'Internet.
Si vous êtes ingénieur ou propriétaire d'une société d'ingénierie, consultez notre article ici qui discute des avantages de PKI technologie pour protéger vos données.
