Calculer le véritable coût d'une cyberattaque est difficile. Aucune n'est identique, et les entreprises réagissent différemment. Pourtant, il est important de rapporter cela avec autant de détails que possible pour représenter fidèlement l'image complète de ce qui se passe lorsque cela arrive à votre entreprise.
Subir une attaque s'accompagne généralement de conséquences très importantes. Prendre des mesures préventives doit être une priorité pour toute entreprise qui mène des activités et possède des données en ligne.
Coûts financiers
La raison la plus évidente pour laquelle une entreprise s'inquiète des cyberattaques est probablement les coûts financiers qu'elles entraînent. Nous examinerons cela aussi en détail que possible, en commençant par les coûts directs.
Amendes et frais juridiques
Les frais juridiques et les amendes viennent d'abord à l'esprit. Les réglementations comme le RGPD, HIPAA, PCI DSS sont le plus souvent violées, avec des amendes importantes en conséquence.
En 2018, British Airways a reçu une amende de 183 millions de livres sterling, réduite par la suite à 20 millions de livres sterling. Lisez l'histoire complète ici. Et très récemment, Kaiser Permanente a violé les règles HIPAA, ce que nous avons rapporté ici. Dans ces deux cas, les données des utilisateurs ont été exfiltrées via le côté client, ce qui aurait pu être détecté et empêché.
Mais Meta mène actuellement le peloton en matière d'amende record. En mai 2023, le DPC irlandais a infligé à Meta Ireland une amende de 1,2 milliard d'euros pour violation du RGPD. La sanction concerne les transferts de données de l'UE/EEE vers les États-Unis sans garanties de confidentialité suffisantes.
Perte de revenus
Les temps d'arrêt pendant une attaque peuvent paralyser les opérations commerciales, entraînant des pertes de revenus importantes. Le rapport IBM sur le coût d'une violation de données 2023 a révélé que le coût moyen d'une violation de données est de 4,45 millions de dollars, la perte d'activité représentant la plus grande part de ce coût.
Ce chiffre augmente de quelques centaines de milliers chaque année, et ce n'est que la moyenne.
Dans l'attaque Polyfill récente, Google a cessé de diffuser des publicités sur les sites Web contenant le script malveillant. Cela a mis la pression sur les propriétaires de sites en supprimant leurs revenus publicitaires afin de les forcer à retirer les scripts.
Google envoie maintenant un avertissement concernant le chargement de JS tiers depuis des domaines comme polyfill.io bootcss.com bootcdn.net & staticfile.org qui peuvent faire des choses désagréables à vos utilisateurs si votre site utilise du JS provenant de ces domaines.
— Michal Špaček (@spazef0rze)
Inutile de dire que c'était une excellente réaction de la part de Google. Mais cela a également endommagé les revenus publicitaires du site jusqu'à ce qu'ils prennent des mesures, ce qui est un coût qu'ils ont subi.
Indemnisation des clients
Lorsque les clients sont impactés, ils intentent souvent à juste titre des poursuites pour obtenir une indemnisation. En 2019, Equifax a accepté un règlement de près de 700 millions de dollars pour les enquêtes fédérales et étatiques sur une violation affectant environ 150 millions de personnes, avec 425 millions de dollars du règlement allant directement aux consommateurs impactés.
Dommages à la réputation
La réputation est un actif inestimable, et une cyberattaque endommage gravement la confiance. La couverture médiatique négative exerce une pression supplémentaire sur les entreprises qui traversent une attaque et ses conséquences. Même si Marriott a enregistré des bénéfices en 2018, il est juste de supposer qu'ils ont reçu quelques réservations de moins après leur violation de données de 2018 qui a affecté 500 millions de clients.
Ou rappelez-vous quand Yahoo a divulgué deux violations importantes et leur prix d'acquisition a été réduit de 350 millions de dollars.
Nous ne considérons souvent que l'impact immédiat, mais il y a aussi un impact à long terme. Les calculer est presque impossible, mais le scandale Cambridge Analytica de 2018 sert d'exemple parfait.
Les retombées de ce scandale ont été massives et ont fait la une des chaînes d'information du monde entier pendant des semaines. Cambridge Analytica a ensuite annoncé qu'elle cesserait toutes ses opérations en raison des dommages à la réputation si graves qu'ils ont chassé pratiquement tous ses clients et fournisseurs.
Perturbation opérationnelle
Les temps d'arrêt sont un autre résultat immédiat d'une cyberattaque. L'attaque par ransomware contre Norsk Hydro en 2019 a entraîné un coût estimé de perturbation opérationnelle de 71 millions de dollars la première semaine seulement. Dans cet exemple, 35 000 employés ont vu leurs fichiers, serveurs et PC verrouillés. Les équipes informatiques et de sécurité doivent changer de priorité et répondre à la violation, retardant d'autres projets. Souvent, des équipes externes sont sollicitées pour aider à résoudre le problème, ce qui fait encore augmenter les coûts.
Paiement de la rançon
Dans ce même exemple de Norsk Hydro, les attaquants ont laissé une note disant :
"Le prix final dépend de la rapidité avec laquelle vous nous contactez." et ont demandé à être payés en Bitcoin.
Norsk Hydro a plutôt choisi de restaurer ses données via des serveurs de sauvegarde fiables.
Mais Travelex, un bureau de change basé à Londres, a été ciblé par le groupe de ransomware 'Sodinokibi' le soir du Nouvel An 2019. Les attaquants ont chiffré les données de Travelex et ont initialement exigé 6 millions de dollars.
Le fichier readme laissé sur leurs systèmes disait :
"C'est juste des affaires. Nous ne nous soucions absolument pas de vous ou de vos détails, sauf pour obtenir des avantages. Si nous ne faisons pas notre travail et nos responsabilités - personne ne coopérera avec nous. Ce n'est pas dans notre intérêt. Si vous ne coopérez pas avec notre service - pour nous, cela n'a pas d'importance. Mais vous perdrez votre temps et vos données, car nous seuls avons la clé privée. En pratique, le temps est beaucoup plus précieux que l'argent."
Après négociations, ils ont payé une rançon de 2,3 millions de dollars pour retrouver l'accès à leurs fichiers. Les attaquants ont donné la clé pour résoudre le chiffrement, et Travelex a repris ses opérations.
Mises à niveau technologiques et d'infrastructure
Après avoir été ciblée par le groupe de ransomware 'LockBit' en janvier 2023, Royal Mail du Royaume-Uni a fait face à de graves perturbations opérationnelles. L'attaque a particulièrement impacté leur centre de distribution mondial de Heathrow, qui traite presque tout le courrier entrant et sortant du Royaume-Uni, entraînant le chaos.
Pour remédier à l'attaque et renforcer leur sécurité, Royal Mail a dépensé environ 10 millions de livres sterling au cours des six mois suivants pour mettre à niveau leur infrastructure suite à l'attaque. Cela a été rapporté comme une augmentation annuelle de 5,6 % des coûts d'infrastructure pour l'entreprise.
Coûts cachés supplémentaires
Outre les coûts évidents mentionnés ci-dessus, la plupart des articles rapportant sur les coûts totaux après une attaque de cybersécurité omettent presque toujours d'inclure les éléments suivants :
Augmentation des primes d'assurance
Les primes d'assurance cyber peuvent augmenter considérablement après une attaque. Selon le rapport Cyber Insurance Seeing Influx of Newcomers as Risk Awareness Grows, 77 % des répondants au sondage ont connu des hausses de primes annuelles, largement motivées par une augmentation des réclamations liées aux violations de données et autres incidents cyber.
Non-paiement de l'assurance
Bien qu'il ne s'agisse pas d'une cyberattaque, le récent débâcle de Crowdstrike semble également causer des problèmes d'assurance importants. Ils étaient responsables de la création de nombreux dommages, mais comme il ne s'agissait pas d'une cyberattaque, les compagnies d'assurance hésitent à payer.
Si quelqu'un se demande où en est l'assurance cyber sur CrowdStrike - j'ai des amis dans 3 assureurs différents, et ils disent tous qu'ils ne couvriront pas les réclamations car elles sont en dehors de la police.— Kevin Beaumont (@GossiTheDog)
Ces assurances ne sont pas infaillibles, laissant les entreprises avec la facture dans des cas comme celui-ci. Un procès est presque certainement en cours pour récupérer les coûts et pertes subis contre Crowdstrike.
Pertes de revenus à long terme
L'attrition des clients suite à une violation peut entraîner une baisse des revenus à long terme. Aux États-Unis, PCI Pal rapporte que 83 % des consommateurs affirment qu'ils cesseront de dépenser auprès d'une entreprise pendant plusieurs mois immédiatement après une violation de sécurité, et plus d'un cinquième (21 %) des consommateurs affirment qu'ils ne reviendront jamais à une entreprise après une violation.
Baisse du cours de l'action
Les entreprises cotées en bourse voient souvent leur cours de bourse chuter suite à une violation. En octobre 2023, Okta a divulgué une violation de données qui, couplée à la réponse tardive d'Okta, a entraîné une baisse notable de leur cours de bourse. Suite à la divulgation, le cours de l'action d'Okta a chuté de près de 12 % alors que les investisseurs réagissaient à la nouvelle et aux implications potentielles à long terme de problèmes de sécurité répétés.
Et, pour revenir à l'exemple de Crowdstrike, l'action de Crowdstrike a chuté drastiquement, effaçant des millions de valeur sur papier.
Relations avec les fournisseurs et partenaires
Bien que les exemples rapportés soient rares, il n'est pas difficile d'imaginer que les partenaires et fournisseurs cherchent de nouvelles opportunités lorsqu'une entreprise est attaquée.
Coûts d'opportunité
Les coûts d'opportunité surviennent lorsque les équipes doivent changer de priorité pour gérer la violation et aider à sécuriser l'entreprise après l'attaque. Cela prend du temps aux employés, et souvent des ressources supplémentaires qui pourraient entraver l'innovation et le progrès, ainsi qu'augmenter simplement les coûts mensuels des outils ajoutés.
Vol de propriété intellectuelle
En 2011, le plus gros client d'AMSC, Sinovel Wind Group, a obtenu illégalement le code source d'AMSC pour le logiciel d'éolienne. Le tribunal a enquêté sur cette question et a conclu :
"Plutôt que de payer AMSC pour plus de 800 millions de dollars de produits et services qu'elle avait accepté d'acheter, Sinovel a plutôt concocté un plan pour voler effrontément la technologie d'éolienne propriétaire d'AMSC, causant la perte de près de 700 emplois et plus d'un milliard de dollars en capitaux propres des actionnaires chez AMSC,"
Le véritable coût d'une cyberattaque
Donc, calculer le véritable coût d'une cyberattaque est difficile, car chaque incident et réponse varie. Mais il est crucial de comprendre l'image complète au-delà des pertes financières immédiates. Les répercussions d'une cyberattaque peuvent être dévastatrices, affectant non seulement les finances mais aussi la réputation, les opérations et la viabilité à long terme.
Pour avoir une idée des coûts réels, Accenture estime que le coût de la cybercriminalité dans le monde atteindra 10,5 billions de dollars en 2025. Elle a également observé une augmentation de 200 % des niveaux de perturbation dans ce domaine de 2017 à 2022.
Nous pensons qu'il est juste de dire que l'attention doit être portée à la cybersécurité au sens le plus large.
Les mesures préventives devraient être une priorité absolue pour toute entreprise. C'est pourquoi nous avons développé notre approche pour arrêter les attaques de scripts tiers 0-day. En comprenant les impacts, nous espérons que cela servira de motivation supplémentaire pour anticiper tout problème potentiel.
Ne soyez pas l'histoire, vous pouvez commencer avec cside gratuitement dès aujourd'hui.
