Ce que 2023 nous a appris sur la sécurité dans le commerce électronique

Il existe un vieil adage dans le monde des affaires : « ce qui nous a menés jusqu'ici ne nous mènera pas plus loin ». Pour rester compétitives, les entreprises doivent constamment s'adapter et évoluer. Il en va de même pour la cybersécurité. Les cybermenaces gagnent en complexité et en ampleur, tandis que les attaquants cherchent de nouveaux moyens de compromettre des données précieuses.

Les cybercriminels ciblent de plus en plus le secteur du commerce de détail

Selon une analyse approfondie du magazine Tech Radar, le secteur du commerce de détail est aujourd'hui l'une des cibles privilégiées des cybercriminels. Une analyse des attaques visant les activités de commerce de détail cette année a mis en évidence plusieurs dangers majeurs, parmi lesquels le vol de données, la compromission de comptes, l'atteinte à la réputation et les interruptions de service.

Certaines menaces sont courantes, comme le skimming numérique et les bots malveillants, tandis que d'autres, comme les attaques de piratage de compte (ATO, Account Takeover) et l'abus de la logique métier, sont de plus en plus fréquentes. Quelles leçons pouvons-nous tirer de l'année 2023 ? Et comment les détaillants peuvent-ils répondre à un paysage de menaces en constante évolution ?

Piratage de compte

L'une des principales menaces pour toutes les activités de commerce de détail cette année a été les attaques de piratage de compte (ATO), dans lesquelles les cybercriminels utilisent des bots automatisés pour tenter de compromettre des comptes en ligne en testant des mots de passe et des identifiants volés. Pour les clients, une attaque ATO réussie peut avoir de graves conséquences financières, tandis que pour les entreprises, elle peut entraîner des risques pour leur réputation et des pertes de chiffre d'affaires.

Les attaques ATO représentent une menace toute l'année, constituant près d'une tentative de connexion sur six. L'activité malveillante est particulièrement intense pendant la période des fêtes. Cette année, le volume des tentatives de connexion malveillantes a augmenté de 85 % pendant le Black Friday, dépassant même la hausse de 66 % de l'année dernière. Et le Black Friday n'est pas le seul moment problématique : le nombre d'attaques ATO a augmenté de 82 % entre octobre 2023 et novembre 2023. Ces chiffres soulignent l'importance, pour les plateformes d'e-commerce et les entreprises, de disposer de défenses permettant d'identifier et d'atténuer le trafic automatisé malveillant susceptible d'être impliqué dans les attaques ATO.

Abus de la logique métier

La logique métier désigne les règles ou les algorithmes qui déterminent la manière dont une application ou un programme fonctionne et interagit avec une base de données. On peut la considérer comme le processus décisionnel d'une application ou d'une API : les scénarios « si » et « alors » conçus pour maximiser le retour sur investissement. Par exemple, un détaillant peut décider que « si » un client commande plus de 200 £ de marchandises, « alors » il bénéficie d'une remise de 20 %. Cette logique conditionnelle permet d'automatiser les décisions de l'entreprise et de les rendre plus efficaces.

Au cours des 12 derniers mois de 2023, les attaques ciblant la logique métier des sites de commerce de détail ont presque doublé, passant de 26 % à 43 %. Les attaques contre la logique métier peuvent être utilisées pour voler de l'argent ou des données sensibles, commettre des fraudes ou simplement semer le chaos en faisant planter une application critique pour l'entreprise. Elles sont de plus en plus prisées des pirates, car elles n'exploitent pas une faille technique, mais abusent d'une fonctionnalité existante de l'application ou du système. Par conséquent, elles ne sont souvent pas détectées par les outils de sécurité traditionnels.

Par exemple, si un détaillant permet à un client d'envoyer des cartes cadeaux numériques à un autre client, les pirates pourraient exploiter une logique défaillante au sein du système pour s'« offrir » à eux-mêmes des milliers d'euros de bons provenant d'un autre compte. Une telle attaque pourrait avoir de graves conséquences, tant pour le consommateur que pour l'entreprise.

Leçons apprises

Faire face à ces deux problématiques, sans parler des nombreuses autres menaces auxquelles les détaillants sont confrontés, nécessite l'implication des deux parties. Pour les consommateurs, il est essentiel d'adopter une bonne hygiène en matière de mots de passe (par exemple, ne pas réutiliser les mêmes mots de passe sur différents sites) afin de réduire les risques d'être victime d'une attaque ATO. De leur côté, les entreprises ont besoin d'une stratégie de défense coordonnée et complète, avec un ensemble de capacités couvrant tous les points d'accès, y compris les sites web, les applications mobiles et les API. Cela signifie aller au-delà d'une simple solution de gestion des bots, en intégrant des outils tels que l'analyse des attaques, la protection côté client et la protection des applications en temps d'exécution (RASP).

Par ailleurs, la responsabilité de la sécurité doit être davantage partagée au sein de l'organisation. Lutter contre l'abus de la logique métier exige que les développeurs et les product owners cartographient et intègrent des mesures de sécurité dès le départ et à chaque étape du processus afin de minimiser les risques potentiels. Cela doit s'accompagner d'audits réguliers et de revues de code pour identifier les éventuels problèmes qui n'auraient pas été détectés initialement. L'identification des vulnérabilités de la logique métier n'est pas un processus « ponctuel » : les mises à jour logicielles se succèdent en permanence et chacune d'elles peut introduire une nouvelle faiblesse dans la logique de l'application.

Que nous réserve le paysage actuel ?

En raison d'un paysage de menaces en constante évolution, la cybersécurité exige une adaptation continue. De nouvelles menaces peuvent émerger du jour au lendemain et devenir des problèmes critiques pour les entreprises. En 2023, les attaques ATO et l'abus de la logique métier ont été deux des principales menaces pour les détaillants. Avec l'adoption croissante de l'IA générative, cette technologie pourrait aider les cybercriminels à adapter leurs attaques. Par conséquent, 2024 pourrait connaître une hausse spectaculaire du volume des attaques, en particulier autour de la logique métier, à mesure que les attaquants entraînent des systèmes d'IA à repérer et à exploiter ces vulnérabilités.