En bref : chiffrer la facture totale après une brèche
- La rançon est le moindre : La ligne rançon est le chiffre ennuyeux. Amendes réglementaires, hausses d'assurance, churn, perte de partenaires, coût d'opportunité et traînée de réputation sont la vraie facture, et les finances les sous-estiment toutes jusqu'au jour où cela arrive.
- Prévenir coûte moins : Meta Ireland a écopé de 1,2 milliard d'euros au titre du RGPD. Norsk Hydro a perdu 71 millions de dollars la première semaine de son ransomware. Cambridge Analytica a totalement fermé. Les dépenses d'infrastructure de Royal Mail ont augmenté de 5,6 % l'année suivant l'attaque. Prévenir coûte un ordre de grandeur de moins.
- Construisez l'argumentaire : Avant votre prochaine discussion budgétaire sur la sécurité, chiffrez vos trois principaux scripts tiers comme s'ils étaient le point d'entrée. Si les finances répondent en haussant les épaules à la question « à quoi ressembleraient l'amende, le churn et la reconstruction d'infrastructure », vous tenez votre argumentaire.
Peu de temps ? Découvrez le blocage de Magecart et de skimmers dans le navigateur de cside. Elle couvre tout ce qui suit en un seul déploiement.
Calculer le véritable coût d'une cyberattaque est difficile. Aucune n'est identique, et les entreprises réagissent différemment. Pourtant, nous rapportons cela avec autant de détails que possible pour représenter fidèlement l'image complète de ce qui se passe lorsque cela arrive à votre entreprise.
Subir une attaque s'accompagne généralement de conséquences très importantes. Prendre des mesures préventives doit être une priorité pour toute entreprise qui mène des activités et possède des données en ligne.
Coûts financiers
La raison la plus évidente pour laquelle une entreprise s'inquiète des cyberattaques est probablement les coûts financiers qu'elles entraînent. Nous examinerons cela aussi en détail que possible, en commençant par les coûts directs.
Amendes et frais juridiques
Les frais juridiques et les amendes viennent d'abord à l'esprit. Les réglementations comme le RGPD, HIPAA, PCI DSS sont le plus souvent violées, avec de lourdes amendes en conséquence.
En 2018, British Airways a reçu une amende de 183 millions de livres sterling, réduite par la suite à 20 millions de livres sterling. Lisez l'histoire complète ici. Et très récemment, Kaiser Permanente a violé les règles HIPAA, ce que nous avons rapporté ici. Dans ces deux cas, les données des utilisateurs ont été exfiltrées via le client, ce qui aurait pu être détecté et empêché.
Mais Meta mène actuellement le peloton en matière d'amende record. En mai 2023, le DPC irlandais a infligé à Meta Ireland une amende de 1,2 milliard d'euros pour violation du RGPD. La sanction concerne les transferts de données de l'UE/EEE vers les États-Unis sans garanties de confidentialité suffisantes.
Perte de revenus
Les temps d'arrêt pendant une attaque peuvent paralyser les opérations commerciales, entraînant des pertes de revenus importantes. Le rapport IBM sur le coût d'une violation de données 2023 a révélé que le coût moyen d'une violation de données est de 4,45 millions de dollars, la perte d'activité représentant la plus grande part de ce coût.
Ce chiffre augmente de quelques centaines de milliers chaque année, et ce n'est que la moyenne.
Dans l'attaque Polyfill récente, Google a cessé de diffuser des publicités sur les sites Web hébergeant le script malveillant. Cela a mis la pression sur les propriétaires de sites en leur retirant leurs revenus publicitaires afin de les forcer à retirer les scripts.
Google envoie maintenant un avertissement concernant le chargement de JS tiers depuis des domaines comme polyfill.io bootcss.com bootcdn.net & staticfile.org qui peuvent faire des choses désagréables à vos utilisateurs si votre site utilise du JS provenant de ces domaines.
, Michal Špaček (@spazef0rze)
Inutile de dire que c'était une excellente réaction de la part de Google. Mais cela a aussi endommagé les revenus publicitaires du site jusqu'à ce qu'il agisse, ce qui constitue un coût qu'il a subi.
Indemnisation des clients
Lorsque les clients sont impactés, ils intentent souvent à juste titre des poursuites pour obtenir une indemnisation. En 2019, Equifax a accepté un règlement de près de 700 millions de dollars pour les enquêtes fédérales et étatiques sur une violation affectant environ 150 millions de personnes, dont 425 millions de dollars du règlement allant directement aux consommateurs impactés.
Dommages à la réputation
La réputation est un actif inestimable, et une cyberattaque endommage gravement la confiance. La couverture médiatique négative exerce une pression supplémentaire sur les entreprises qui traversent une attaque et ses conséquences. Même si Marriott a enregistré des bénéfices en 2018, il est raisonnable de supposer qu'ils ont reçu un peu moins de réservations après leur violation de données de 2018 qui a affecté 500 millions de clients.
Ou rappelez-vous quand Yahoo a divulgué deux violations importantes et que leur prix d'acquisition a été réduit de 350 millions de dollars.
Nous ne considérons souvent que l'impact immédiat, mais il y a aussi un impact à long terme. Les calculer est presque impossible, mais le scandale Cambridge Analytica de 2018 en est un exemple parfait.
Les retombées de ce scandale ont été massives et ont fait la une des chaînes d'information du monde entier pendant des semaines. Cambridge Analytica a ensuite annoncé qu'elle cesserait toutes ses opérations en raison de dommages à sa réputation si graves qu'ils ont fait fuir pratiquement tous ses clients et fournisseurs.
Perturbation opérationnelle
Les temps d'arrêt sont un autre résultat immédiat d'une cyberattaque. L'attaque par ransomware contre Norsk Hydro en 2019 a entraîné un coût estimé de perturbation opérationnelle de 71 millions de dollars la première semaine seulement. Dans cet exemple, 35 000 employés ont vu leurs fichiers, serveurs et PC verrouillés. Les équipes informatiques et de sécurité doivent changer de priorité et répondre à la violation, retardant d'autres projets. Souvent, des équipes externes sont sollicitées pour aider à résoudre le problème, ce qui fait encore augmenter les coûts.
Paiement de la rançon
Dans ce même exemple de Norsk Hydro, les attaquants ont laissé une note disant :
« Le prix final dépend de la rapidité avec laquelle vous nous contactez. » et ont demandé à être payés en Bitcoin.
Norsk Hydro a plutôt choisi de restaurer ses données via des serveurs de sauvegarde fiables.
Mais Travelex, un bureau de change basé à Londres, a été ciblé par le groupe de ransomware « Sodinokibi » la veille du Nouvel An 2019. Les attaquants ont chiffré les données de Travelex et ont initialement exigé 6 millions de dollars.
Le fichier readme laissé sur leurs systèmes disait :
« C'est juste des affaires. Nous ne nous soucions absolument pas de vous ni de vos données, sauf pour en tirer un bénéfice. Si nous ne remplissons pas notre travail et nos engagements, personne ne coopérera plus avec nous. Ce n'est pas dans notre intérêt. Si vous ne coopérez pas avec notre service, cela ne nous importe pas. Mais vous perdrez votre temps et vos données, car nous seuls détenons la clé privée. En pratique, le temps est bien plus précieux que l'argent. »
Après négociations, ils ont payé une rançon de 2,3 millions de dollars pour retrouver l'accès à leurs fichiers. Les attaquants ont fourni la clé permettant de résoudre le chiffrement, et Travelex a repris ses opérations.
Mises à niveau technologiques et d'infrastructure
Après avoir été ciblée par le groupe de ransomware « LockBit » en janvier 2023, Royal Mail, au Royaume-Uni, a fait face à de graves perturbations opérationnelles. L'attaque a particulièrement impacté son centre de distribution mondial de Heathrow, qui traite presque tout le courrier entrant et sortant du Royaume-Uni, entraînant le chaos.
Pour remédier à l'attaque et renforcer sa sécurité, Royal Mail a dépensé environ 10 millions de livres sterling au cours des six mois suivants pour mettre à niveau son infrastructure à la suite de l'attaque. Cela a été rapporté comme une augmentation annuelle de 5,6 % des coûts d'infrastructure pour l'entreprise.
Coûts cachés supplémentaires
Outre les coûts évidents mentionnés ci-dessus, la plupart des articles rapportant les coûts totaux après une cyberattaque omettent presque toujours d'inclure les éléments suivants :
Augmentation des primes d'assurance
Les primes d'assurance cyber peuvent augmenter considérablement après une attaque. Selon le rapport Cyber Insurance Seeing Influx of Newcomers as Risk Awareness Grows, 77 % des répondants au sondage ont connu des hausses de primes annuelles, largement dues à une augmentation des réclamations liées aux violations de données et autres incidents cyber.
Assurances qui ne paient pas
Bien qu'il ne s'agisse pas d'une cyberattaque, la récente débâcle de Crowdstrike semble également causer des problèmes d'assurance importants. L'entreprise était à l'origine de nombreux dommages, mais comme il ne s'agissait pas d'une cyberattaque, les compagnies d'assurance hésitent à payer.
Si quelqu'un se demande où en est l'assurance cyber sur CrowdStrike - j'ai des amis chez 3 assureurs différents, et ils disent tous qu'ils ne couvriront pas les réclamations car elles sont en dehors de la police. - Kevin Beaumont (@GossiTheDog)
Ces assurances ne sont pas infaillibles, ce qui laisse parfois les entreprises seules face à la facture. Un procès est presque certainement en cours pour récupérer les coûts et pertes subis contre Crowdstrike.
Pertes de revenus à long terme
L'attrition des clients suite à une violation peut entraîner une baisse des revenus à long terme. Aux États-Unis, PCI Pal rapporte que 83 % des consommateurs affirment qu'ils cesseront de dépenser auprès d'une entreprise pendant plusieurs mois immédiatement après une violation de sécurité, et plus d'un cinquième (21 %) des consommateurs affirment qu'ils ne reviendront jamais vers une entreprise après une violation.
Baisse du cours de l'action
Les entreprises cotées en bourse voient souvent leur cours de bourse chuter après une violation. En octobre 2023, Okta a divulgué une violation de données qui, combinée à la réponse tardive d'Okta, a entraîné une baisse notable de son cours de bourse. Suite à la divulgation, le cours de l'action d'Okta a chuté de près de 12 % alors que les investisseurs réagissaient à la nouvelle et aux implications potentielles à long terme de problèmes de sécurité répétés.
Et, pour revenir à l'exemple de Crowdstrike, l'action de Crowdstrike a chuté drastiquement, effaçant des millions de dollars de valeur sur le papier.
Relations avec les fournisseurs et partenaires
Bien que les exemples rapportés soient rares, il n'est pas difficile d'imaginer que les partenaires et fournisseurs cherchent de nouvelles opportunités lorsqu'une entreprise est attaquée.
Coûts d'opportunité
Les coûts d'opportunité surviennent lorsque les équipes doivent changer de priorité pour gérer la violation et aider à sécuriser l'entreprise après l'attaque. Cela prend du temps aux employés, et implique souvent des ressources supplémentaires qui peuvent freiner l'innovation et le progrès, en plus d'augmenter simplement les coûts mensuels liés aux outils ajoutés.
Vol de propriété intellectuelle
En 2011, le plus gros client d'AMSC, Sinovel Wind Group, a obtenu illégalement le code source d'AMSC pour son logiciel d'éoliennes. Le tribunal a enquêté sur cette affaire et a conclu :
« Plutôt que de payer AMSC pour plus de 800 millions de dollars de produits et services qu'elle avait accepté d'acheter, Sinovel a plutôt monté un plan pour voler effrontément la technologie d'éoliennes propriétaire d'AMSC, causant la perte de près de 700 emplois et de plus d'un milliard de dollars de capitaux propres des actionnaires chez AMSC, »
Le véritable coût d'une cyberattaque
Calculer le véritable coût d'une cyberattaque est difficile, car chaque incident et chaque réponse varient. L'image complète va au-delà des pertes financières immédiates : une cyberattaque peut être dévastatrice pour les finances, la réputation, les opérations et la viabilité à long terme.
Pour avoir une idée des coûts réels, Accenture estime que le coût de la cybercriminalité dans le monde atteindra 10,5 billions de dollars en 2025. Elle a également observé une augmentation de 200 % des niveaux de perturbation dans ce domaine entre 2017 et 2022.
La cybersécurité mérite une attention au sens le plus large.
Les mesures préventives devraient être une priorité absolue pour toute entreprise. C'est pourquoi nous avons développé notre approche pour arrêter les attaques de scripts tiers 0-day. En comprenant ces impacts, nous espérons apporter une motivation supplémentaire pour anticiper tout problème potentiel.
Ne soyez pas l'histoire, vous pouvez commencer avec cside gratuitement dès aujourd'hui.
