Virus : 6 conseils pour protéger votre smartphone pro

Il y’a quelques jours, McAfee a publié son dernier rapport portant sur les menaces pesant sur les appareils mobiles. Selon les experts et chercheurs de l’une des entreprises leader du marché mondial en matière de cyber sécurité, de plus en plus d’applications factices vont faire leurs apparitions pour infecter les smartphones et les tablettes Android cette année. Selon eux, il y’a déjà eu une augmentation de 650 % du nombre d’applications mobiles factices entre juin et décembre 2018. Les fausses applications, comme la version gratuite du très célèbre jeu « Fortnite » pour smartphone, a très vite été installée sur de nombreux smartphones pour ensuite usurper l’identité de leur propriétaire en collectant des données personnelles telles que leurs identifiants de compte bancaire, le numéro de compte, leurs codes PIN…

Selon McAfee, les Trojan “Financials” sur smartphone ont connu un développement de l’ordre de 200 % entre juin et septembre 2018. Ces applications contiennent des malwares qui dérobent les données bancaires de leur victime afin d’accéder à leurs comptes pour ensuite prélever un maximum d’argent.

Mais bien que cela soit un coup dur pour la victime, dans certains cas, les informations collectées sur le téléphone peuvent avoir encore plus de valeur : les mots de passe ou tokens pour accéder au réseau de l’entreprise par exemple. Et c’est là que la situation s’envenime !

Étant donné que les hackers ont besoin d’une ouverture, ou faille, pour pénétrer un système ou un réseau, trouver cette dernière en piratant le smartphone d’un employé est l’un moyens les plus efficaces pour infiltrer une entreprise. Une fois que les hackers sont sur le réseau, l’entreprise est totalement exposée. Ce n’est plus qu’une question de minutes avant que le hacker ne vole des données confidentielles (comme de nouveaux projets ou produits à vendre au concurrent le plus offrant), il peut aussi placer et exécuter des logiciels malicieux comme des ransomwares, qui vont chiffrer les données, ou cacher un logiciel de cryptomining.

Peu importe les intentions criminelles du hacker, une fois qu’il a accédé au réseau, il peut exercer toute sorte d’activité. C’est pourquoi il est important que cela n’arrive jamais dans votre entreprise. Voici quelques conseils pour protéger les appareils mobiles de vos employés face aux hackers :

• Les employés doivent être conscient que leurs appareils mobiles sont de parfaites portes d’entrée au réseau de l’entreprise. Il faut également former ces derniers à la protection des données lors de l’utilisation d’appareils mobiles aussi bien personnels que professionnels,

• L’entreprise doit instaurer des règles concernant l’utilisation d’appareils mobiles au sein de la compagnie, particulièrement sur leurs accès au réseau,

• Il doit y avoir une limite définie entre l’utilisation privée et professionnelle des appareils. Les applications qui sont utilisées dans le cadre professionnel ne devraient jamais être utilisées à des fins privées. En particulier le téléchargement ou la mise en ligne de données via des applications privées devrait être formellement interdit. Pour cela vous pouvez mettre en place un système de centralisation de toutes les applications disponibles sur les appareils mobiles de l’entreprise ( Mobile Application Management, MAM),

• Tous les appareils mobiles utilisés dans une entreprise doivent être sous la supervision d’une administration spécifique dédiée à la gestion des appareils mobiles. L’administrateur peut alors mettre en place les patch et mesures de sécurité nécessaires via un déploiement unique. Pour résumer : il est capable de gérer tous les appareils depuis son bureau. Les smartphones ou tablettes qui sont utilisées par des invités ne devraient être autorisées qu’à travers un réseau sécurisé spécialement prévu à cet effet, qui donne accès à un réseau internet limité mais surveillé en temps réel afin qu'aucun programme malveillant ne puisse se propager dans l'entreprise,

• Tout appareil mobile utilisé par l’entreprise doit être enregistré dans une base de données et cette dernière doit être mise à jour régulièrement. Aussi une documentation détaillant chaque produit et son statut actuel - qui est le fabricant et quel type de produit, quel OS, quelles mises à jour et patch ont été installées, quel est le numéro de téléphone ainsi que toutes autres informations spécifiques à l’appareil. Enfin : La remise de l'appareil à un employé doit être accompagnée par la signature de ce dernier,

• Si l’appareil mobile est utilisé pour un usage privé et professionnel, ce qui est notamment le cas pour certains cadres, des mesures spéciales doivent être prises. Il existe plusieurs possibilités pour en répartir l’usage : L’un est de fournir une application de stockage spéciale.De nombreuses applications sont disponibles sur le marché comme AirWatch Container de VMware, Sophos Mobile Control 6.0 ou Container Station pour QNAP NAS. Dans cet espace de stockage l’application peut fonctionner comme elle le souhaite , mais elle est incapable de se connecter à des liens extérieurs sans notification. Cela prévient également la copie ou le transfert de données via copier-coller vers une application privée et non sécurisée comme WhatsApp.Si une application de stockage n’est pas envisageable, les applications et programmes qui ne doivent pas être utilisées par l’employé doivent être accessibles uniquement par authentification, et ce, par un administrateur. Les téléchargements et transferts de données doivent toujours se faire via un VPN. Pour plus de sécurité, vous pouvez bloquer et interdire les applications non autorisées.

Rappelez-vous : même si vous appliquez ces 6 conseils, ce n’est pas pour autant que vous êtes intouchable. Ce ne sera jamais le cas car les pirates -quel que soit leurs motivations- cherchent constamment un meilleur moyen d’exploiter les failles de votre réseau. Si vous êtes touché par une attaque, informez votre supérieur hiérarchique, et si vous avez besoin d’une récupération de données après ransomware, contactez un spécialiste de la récupération de données comme Ontrack.