Le secteur de la vente au détail se prépare à l'assaut de la cybercriminalité des fêtes annuelles

Pour les entreprises du secteur de la vente au détail et de l'hôtellerie, la saison des achats des Fêtes représente la période la plus chargée de l'année, tant pour les ventes que pour la lutte contre les menaces de cybercriminalité.

Cette année n'est pas différente, les entreprises du secteur anticipant que le phishing, la fraude, la collecte d'informations d'identification et le paysage en constante évolution des logiciels malveillants jetteront une ombre sur leur posture de sécurité dans les mois à venir, selon un rapport publié par Retail & Hospitality Information Sharing and Analysis Center (RH-ISAC) cette semaine.

Le rapport 2022 RH-ISAC Holiday Season Threat Trends Summary a interrogé les analystes et les membres du groupe industriel sur leur objectif de sécurité cette saison - qui est définie comme la période entre le 1er octobre et le 31 décembre, lorsque les gens ont tendance à faire leur en ligne magasiner pour des vacances qui sont célébrées dans une grande partie du monde - ainsi que ce qu'ils ont vécu au cours des saisons de vacances précédentes 2020 et 2021. Flashpoint, membre associé du RH-ISAC, a également fourni des recherches et des données pour le rapport.

Alors que de nombreuses menaces qui affligent le secteur sont restées constantes au fil des ans, d'autres évoluent rapidement à mesure que les acteurs de la menace développent de nouveaux logiciels malveillants et exploitent de nouvelles vulnérabilités, posant de nouveaux problèmes et nécessitant à la fois un renforcement et un changement des tactiques de défense à chaque saison.

Hameçonnage et vol d'informations d'identification

Les détaillants ont cité les menaces récurrentes comme leurs plus grandes préoccupations cette année, avec le phishing – qui, selon les organisations, est une préoccupation toute l'année – une préoccupation importante qui reste constante. En 2020, près de 20 % des détaillants ont déclaré que le phishing était la menace la plus fréquemment partagée entre leur échange de membres, Slack, et les principaux membres des listes de diffusion, alors que le nombre était de 16 % en 2021, selon le rapport.

En effet, la saison des fêtes a tendance à apporter une foule de campagnes promotionnelles d'ingénierie sociale visant à tromper les titulaires de compte pour récolter leurs informations d'identification et effectuer d'autres activités néfastes, ont noté les organisations.

Plus préoccupant que le phishing, cependant, est ce qui est souvent le résultat de cette activité de menace : la collecte d'informations d'identification, qui, selon 42 % et 37 %, était la menace la plus partagée en 2020 et 2021, respectivement. Les détaillants s'inquiètent également de l'augmentation par les acteurs de la menace de l'utilisation de voleurs d'informations qui collectent les données des clients sur les forums de hackers, ainsi que de la prise de contrôle des comptes clients qui s'intensifient généralement pendant les vacances.

D'autres types de fraude impliquant des cartes-cadeaux et des cartes de fidélité - les premières permettant aux acteurs de la menace de rester anonymes et donc difficiles à suivre lors de leurs achats - seront au centre de l'attention cette année, ainsi que la fraude liée au retour d'articles qui n'ont pas été achetés légalement.

Paysage en évolution des logiciels malveillants

Le rapport décrit les changements d'une année sur l'autre entre 2020 et 2021 dans les menaces de vente au détail liées aux logiciels malveillants, aux bots et aux vulnérabilités - des résultats qui montrent à quelle vitesse ce paysage de menaces en particulier peut évoluer.

Certaines de ces menaces, telles que QakBot, Emotet, Agent Tesla, et Dridex — restent une préoccupation constante. Cependant, d'autres – comme Log4Shell – émergent rapidement et de manière prévisible, forçant les organisations à pivoter en termes de défense, ont découvert les chercheurs.

Les robots en particulier ont gagné en visibilité en termes d'impact sur les détaillants en ligne, en particulier au cours des deux dernières années, alors que des individus qui ne participaient autrement à aucune activité criminelle ont commencé à explorer des moyens de gagner des revenus supplémentaires en tant que revendeurs d'informations volées sur les forums d'acteurs malveillants, selon au rapport.

"Ces" bousculades secondaires "soutiennent un écosystème déjà florissant dans lequel les acteurs ont scalpé des produits à forte demande pour les vendre à des marges élevées", selon le rapport. "L'utilisation de l'automatisation pour prendre en charge cette activité entraîne des effets secondaires négatifs importants sur le back-end et peut même entraîner des perturbations de type DDoS."

Les changements d'une année à l'autre de l'activité des logiciels malveillants et des bots reflètent la rapidité avec laquelle ce paysage de menaces en particulier peut changer. Par exemple, en 2020, le Cheval de Troie bancaire Emotet et son chargeur étaient les principales menaces de logiciels malveillants partagées par les détaillants - 15% et 8%, respectivement - tandis que le cheval de Troie d'accès à distance (RAT) AgentTesla a obtenu 4% des mentions globales.

En 2021, cependant, AgentTesla a pris une plus grande importance, avec 16 % de mentions par les détaillants, tandis qu'Emotet a pratiquement disparu des babillards électroniques, ont déclaré les répondants. De plus, le désormais tristement célèbre Débâcle de Log4j apparaît comme une menace, avec 16 % des mentions par les entreprises du commerce de détail et de l'hôtellerie.

Les détaillants disent qu'ils s'attendent à ce que l'activité de logiciels malveillants et de bots la plus répandue cette saison des fêtes provienne de QakBot, Emotet, Agent Tesla et Dridex, selon le rapport.

Les changements dans l'activité des menaces jusqu'à présent cette année incluent une augmentation des sites Web d'imposteurs et des tentatives de phishing émergentes qui sont soit axées sur les produits, soit personnifiées par des cadres. Ce dernier reflète une augmentation des attaques d'ingénierie sociale qui visaient à collecter des informations d'identification et à contourner l'authentification multifacteur, selon les détaillants.

Défenses du commerce de détail et de l'hôtellerie

En raison de la diversité des menaces que le secteur de la vente au détail et de l'hôtellerie s'attend à voir pendant la saison des achats des Fêtes, les tactiques de défense qu'ils prévoient d'adopter cette année sont également variées et doivent englober à la fois une approche macro et micro pour comprendre leurs ennemis, ont-ils rapporté.

"Les membres ont déclaré se concentrer sur la compréhension des tactiques très spécifiques que les fraudeurs et les acteurs de la menace utilisent dans les chaînes de destruction pour améliorer les efforts de détection et d'atténuation", selon le rapport. "La compréhension des grandes tendances dans le paysage des menaces et de leur fonctionnement dans les environnements membres a permis aux analystes de créer des efforts d'alerte, de détection et d'atténuation plus efficaces."

L'une des tactiques qu'ils adoptent consiste à travailler en étroite collaboration avec leurs départements de service client respectifs, en partie en fournissant aux représentants du service client une formation sur les menaces. Ils maintiennent également des services de protection de la marque pour aider à éliminer les sites d'imposteurs malveillants, ainsi qu'à instituer des groupes de travail internes sur la fraude pour contrer les menaces.

En ce qui concerne le personnel, les détaillants et les fournisseurs d'hôtels citent la cohérence comme clé, avec la nécessité de s'assurer que ceux qui travaillent directement pour détecter les menaces ont l'expérience et les connaissances appropriées pour réagir. Les entreprises affirment qu'elles pourraient mettre en œuvre des gels de changement, des ajustements de personnel ou d'autres changements opérationnels pour se préparer à la saison, y compris une amélioration de la détection des terminaux et des opérations de l'équipe rouge pour valider les problèmes de menace et mettre en évidence les domaines à améliorer, selon le rapport.

Parmi les outils et pratiques que les entreprises trouvent particulièrement utiles pour renforcer la sécurité pendant les fêtes : les principales plateformes de renseignements sur les menaces des fournisseurs et les flux de renseignements sur les cybermenaces ; Ressources communautaires et plateformes de partage RH-ISAC ; politiques et plans mis à jour; et des partenariats avec des associations de cybersécurité et des organisations à but non lucratif de premier plan pour un contexte de recherche supplémentaire sur les menaces.