Le Mexique apparaît généralement aux premières places du classement mondial où se produisent davantage de cyberattaques. Ce n’est pas quelque chose d’exclusif au Mexique, la région latino-américaine en général subit une augmentation accélérée des violations informatiques, le phishing et les ransomwares étant les plus récurrents et les plus nocifs pour les entreprises. Selon T-Systems Mexico, 25 % des entreprises mexicaines ont déjà été victimes de ransomwares.
« Il n’a jamais été aussi facile et moins cher de cyberattaquer quelqu’un que maintenant », a averti Theresa Payton, la première femme CIO de la Maison Blanche des États-Unis, le 31 août de l’année dernière depuis Mexico. À cette occasion, il a également déclaré que le Mexique figurait parmi les dix premiers pays au monde avec le plus de cyberattaques. Comme si cela ne suffisait pas, aujourd’hui plus besoin d’être un hacker pour commettre une cyberattaque.
Les pirates qui proposent des services d’abonnement aux rançongiciels font des études de marché pour identifier les entreprises les plus vulnérables et dont ils peuvent extraire le plus d’argent avec le moins de risques possible. Les grandes entreprises peuvent payer une extorsion pour récupérer des informations volées sans exposer leur continuité, mais dans le cas d’une startup, d’une petite ou moyenne entreprise, cela pourrait être leur anéantissement.
Les entreprises en sont de plus en plus conscientes et agissent en conséquence. Selon la deuxième édition de l’enquête annuelle sur la cybersécurité de la MX Internet Association, présentée ce mercredi lors d’une conférence de presse virtuelle, « les entreprises perçoivent un environnement de risque beaucoup plus élevé en matière de cybersécurité ».
Mais ils ont déjà pris des mesures à ce sujet. « Plus de 80 % des entreprises se considèrent comme suffisamment préparées à cet égard », a déclaré Pablo Corona, vice-président de Digital Health de la MX Internet Association et directeur général de NYCE. Cela signifie que les entreprises ont combattu leurs mauvaises habitudes en matière de cybersécurité telles que le manque d’investissement, de campagnes de sensibilisation ou de benchmarking sur le sujet.
« 63,5 % des organisations au Mexique ont déclaré être extrêmement ou raisonnablement préparées en matière de cybersécurité », a déclaré Pablo Corona. Dans le même temps, ils ont augmenté le nombre de cyberattaques dans le pays. L’hameçonnage à lui seul, une technique d’ingénierie sociale utilisée par les cybercriminels pour obtenir des informations sensibles et usurper l’identité, a augmenté de 20 % entre 2021 et 2022.
Les données trouvées par l’enquête de la MX Internet Association indiquent que « au cours des 18 derniers mois, 81% [de las empresas] a détecté et contenu avec succès les attaques de ransomwares, qui continuent de croître et constituent l’une des plus grandes menaces pour les entreprises, de nombreuses attaques de phishing étant liées à des attaques de ransomwares. Au moins 8 % des organisations interrogées ont été victimes d’attaques réussies de ransomwares.
Environ 2% des entreprises violées par des cyberattaques de rançongiciels ont dû payer la rançon pour les informations, selon Pablo Corona lors de la présentation de l’Enquête annuelle sur la cybersécurité dans sa deuxième édition. Le coût moyen pour une petite ou moyenne entreprise (PME) est de 2 millions de pesos, en plus de l’atteinte à la réputation qui, a-t-il souligné, est inquantifiable et se traduit par une perte de clients et de crédibilité.
« Les pertes sont directement liées aux incidents en tant que tels, d’autres à l’indemnisation de l’incident et aux pertes subies par l’organisation après l’incident, par exemple la perte d’utilisateurs et de crédibilité. Ceux-ci sont difficiles à quantifier. Mais une vulnérabilité régulière pour une organisation de taille moyenne coûte plus de 2 millions de pesos pour être corrigée, pour une organisation plus grande, l’investissement augmente proportionnellement à la taille de l’entreprise », a commenté Corona.
Et des exemples existent. En mai 2022, myNurse, une startup américaine de soins de santé à distance, a annoncé la cessation de ses activités après avoir signalé une cyberattaque qui a exposé les informations personnelles de ses utilisateurs. Antécédents médicaux et traitements, données financières, noms, numéros de téléphone, dates de naissance, tout a fuité et l’atteinte à la réputation de l’entreprise a été telle qu’elle a dû fermer.
Contrairement aux États-Unis, où les entreprises doivent signaler publiquement les cyberattaques qu’elles subissent (ce qui est également arrivé à Uber), au Mexique, elles ne sont pas tenues de le faire. Ce n’est que lorsque des données personnelles sont violées que les organisations doivent informer les propriétaires de ces données, ou que les sociétés cotées en bourse doivent informer leurs actionnaires et autres partenaires impliqués des violations informatiques.
Selon l’enquête de la MX Internet Association, 87,1 % des entreprises mexicaines ont mis en place des politiques de cybersécurité et des logiciels antimalware ; 85,5% ont lancé des campagnes de sensibilisation de leurs collaborateurs sur la sécurité de l’information et 82,3% ont commencé à utiliser des équipements de protection contre les intrusions tels que pare-feu ou IDS. L’adoption de normes de sécurité de l’information s’est également développée, la norme ISO/IEC 27001 étant la plus connue.
