Chaque année, la période estivale modifie profondément le fonctionnement des entreprises.
Effectifs réduits, télétravail depuis les lieux de vacances, reports de certains projets ou encore multiplication des remplacements temporaires créent un contexte particulier. Si ces ajustements sont naturels, ils constituent également un terrain favorable aux cyberattaques.
C’est le message porté par Fidens by TVH Consulting qui alerte sur un phénomène encore largement sous-estimé : les cybercriminels profitent des périodes de congés pour cibler des organisations moins vigilantes et plus lentes à réagir.
Un constat d’autant plus préoccupant que, selon les données du World Economic Forum relayées par la DGSI, 95 % des violations de données trouvent leur origine dans une erreur humaine.
Une statistique qui rappelle que la cybersécurité repose autant sur les technologies que sur les comportements des collaborateurs.
L’été, une période de vulnérabilité pour les entreprises
Contrairement aux idées reçues, les cyberattaques ne ralentissent pas pendant les vacances. Elles tendent même à gagner en efficacité.
Les raisons sont multiples. Les équipes informatiques fonctionnent souvent avec des effectifs réduits, les centres opérationnels de sécurité assurent un service dégradé et certaines opérations de maintenance sont repoussées à la rentrée.
Dans le même temps, les habitudes de travail évoluent : davantage de connexions à distance, utilisation de réseaux Wi-Fi publics, recours à des équipements personnels ou encore collaborateurs moins familiers des procédures internes.
Pour les attaquants, cette combinaison représente une véritable fenêtre d’opportunité.
« Les cybercriminels ne prennent pas de vacances. Ils attendent celles des autres.
Laurent Galvani, Expert Cybersécurité GRC chez Fidens by TVH Consulting.
Chaque été, nous constatons les mêmes vulnérabilités : des équipes réduites, des procédures moins rigoureuses et une vigilance qui diminue.
Cette combinaison offre aux attaquants le contexte idéal pour s’introduire discrètement dans les systèmes d’information.
La cybersécurité doit rester une priorité, même lorsque les bureaux se vident. »
Des équipes IT moins disponibles, des attaques plus difficiles à contenir
Premier facteur de risque identifié : la réduction des ressources disponibles au sein des équipes informatiques.
Durant l’été, les délais de détection et de traitement des incidents peuvent s’allonger de manière significative. Une intrusion qui serait normalement identifiée en quelques heures risque ainsi de passer inaperçue pendant plusieurs jours.
Ce délai supplémentaire offre aux attaquants un avantage considérable. Ils disposent de davantage de temps pour explorer le système d’information, élever leurs privilèges, exfiltrer des données sensibles ou préparer le déploiement d’un ransomware avant même que l’entreprise ne détecte leur présence.
Plus la réaction est tardive, plus les conséquences financières, opérationnelles et réglementaires peuvent être importantes.
Le facteur humain reste le maillon faible
La technologie n’est pourtant pas le principal point de faiblesse.
Comme le rappellent les chiffres du World Economic Forum, la grande majorité des incidents de sécurité trouvent leur origine dans une erreur humaine : clic sur un lien frauduleux, divulgation involontaire d’informations, validation d’une demande inhabituelle ou utilisation d’un mot de passe insuffisamment sécurisé.
La période estivale accentue naturellement ce phénomène.
Les collaborateurs en remplacement maîtrisent parfois moins bien les procédures internes, certains responsables sont absents et les équipes doivent gérer davantage d’urgences avec moins de ressources.
Autant d’éléments qui favorisent les attaques d’ingénierie sociale.
Les fraudes au président restent notamment particulièrement efficaces pendant les congés.
Les cybercriminels exploitent l’absence des dirigeants ou des responsables financiers pour envoyer de faux ordres de virement présentés comme urgents.
Les demandes inhabituelles de modification de coordonnées bancaires, les validations d’accès sensibles ou les sollicitations financières de dernière minute figurent parmi les scénarios les plus fréquemment observés.
Un phishing qui suit l’actualité… et les vacances
Les campagnes de phishing évoluent constamment pour gagner en crédibilité. L’été ne fait pas exception.
Les cybercriminels adaptent leurs messages aux préoccupations saisonnières afin d’augmenter leur taux de réussite.
Les faux courriels peuvent ainsi évoquer des réservations d’hôtel, des locations de vacances, des billets d’avion à tarif réduit ou encore des concours liés aux festivals et événements sportifs.
D’autres campagnes usurpent l’identité d’organismes officiels en diffusant de fausses alertes météo, des notifications concernant la canicule ou encore des annonces de primes exceptionnelles.
L’objectif reste identique : pousser la victime à cliquer sur un lien malveillant, télécharger une pièce jointe infectée ou communiquer ses identifiants de connexion.
Cette contextualisation rend les attaques beaucoup plus crédibles et explique pourquoi les campagnes estivales affichent souvent de bons résultats.
Le télétravail élargit encore la surface d’attaque
Les nouveaux usages professionnels constituent également un facteur de risque supplémentaire.
Le télétravail depuis un lieu de vacances est désormais largement entré dans les habitudes. Mais travailler depuis un hôtel, une résidence secondaire ou un espace de coworking implique souvent des connexions réalisées sur des réseaux moins sécurisés que ceux de l’entreprise.
À cela s’ajoute parfois l’utilisation d’ordinateurs personnels ou de smartphones non administrés par les équipes IT.
Ces accès distants multiplient les points d’entrée potentiels pour les attaquants alors même que les équipes chargées de la supervision sont moins nombreuses.
Autre difficulté : certaines entreprises choisissent de reporter les mises à jour critiques ou les opérations de maintenance afin de limiter les interruptions de service pendant les congés. Ce choix peut laisser des vulnérabilités connues exploitables pendant plusieurs semaines.
Anticiper plutôt que subir
Face à cette situation, Fidens by TVH Consulting recommande d’intégrer pleinement la période estivale dans la stratégie de cybersécurité de l’entreprise plutôt que de la considérer comme une parenthèse.
Plusieurs actions peuvent être mises en œuvre avant les départs en congés :
- préparer un plan de continuité spécifique à la période estivale avec des procédures d’escalade clairement définies ;
- sensibiliser les collaborateurs aux risques de phishing, de fraude au président et d’ingénierie sociale avant les vacances ;
- renforcer les procédures de validation pour les opérations financières et les demandes d’accès sensibles ;
- appliquer l’ensemble des correctifs de sécurité critiques avant les congés ;
- sécuriser les accès distants grâce au VPN, à l’authentification multifacteur (MFA) et à une politique stricte concernant les équipements personnels.
Ces mesures permettent de limiter significativement les risques sans modifier en profondeur l’organisation de l’entreprise.
Faire de la préparation un réflexe
La cybersécurité ne connaît pas de saison creuse. Les congés d’été constituent au contraire un moment où la combinaison d’effectifs réduits, d’accès distants plus nombreux et d’une vigilance parfois relâchée augmente sensiblement l’exposition des organisations.
La bonne nouvelle est que ces risques sont désormais bien identifiés. Les entreprises qui anticipent cette période en renforçant leurs procédures, en sensibilisant leurs collaborateurs et en maintenant un niveau élevé de protection technique limitent fortement leur surface d’attaque.
À l’heure où l’erreur humaine demeure l’origine de la quasi-totalité des violations de données, la préparation des départs en vacances ne relève plus uniquement de l’organisation des ressources humaines : elle s’impose désormais comme un véritable enjeu de cybersécurité…
