« La cybercriminalité est devenue une industrie mafieuse » : interview de Marco Salvatore, Cyber Lead chez Aon BeLux

La menace cyber est une réalité industrielle qui concerne toutes les organisations. Entre les attaques "Ransomware as a Service" et les failles de la "supply chain", le secteur de la cyber sécurité belge est sous haute tension. Comment les entreprises peuvent-elles se protéger face à des attaques toujours plus complexes ? Marco Salvatore, Cyber Lead & Broker Financial Lines chez Aon BeLux, décrypte les nouveaux enjeux financiers à l'heure de NIS2 et le rôle de l’assurance cyber dans la gestion des risques pour les organisations.

-Cyber Security News Belgium : En tant qu’expert en gestion des risques chez Aon Belgique et Luxembourg, quelle est votre vision des cyberattaques actuelles ?

Marco Salvatore, Cyber Lead chez Aon BeLux : Ma fonction consiste à comprendre le risque informatique de nos clients et les mesures de sécurité en place pour traduire cela en un profil de risque. Cela nous permet d'aller chercher les meilleures conditions sur le marché de l'assurance, qui a énormément évolué ces dernières années. Je constate que toutes les industries sont désormais visées par les attaques, avec une prédominance des secteurs "Healthcare" (36%) et "Finance & Assurances" (15%). J'observe également que 27% des incidents enregistrés impliquent des vendeurs.

-CSNB : Quelle réalité observez-vous derrière les nouvelles cyberattaques ? 

 Marco Salvatore : Nous faisons face à une véritable industrie du « Ransomware as a Service » (RaaS). C'est un modèle similaire au SaaS dans la mesure où des créateurs développent des plateformes d'attaques et les louent à des groupes de cybercriminels partout dans le monde. Ils améliorent leurs logiciels en continu grâce aux retours d'expérience globaux. Cela ressemble davantage à une organisation mafieuse qu'à un individu dans un grenier. Les incidents les plus fréquemment enregistrés se manifestent par des intrusions du réseau de l'organisation via des attaques de phishing par e-mail (24%).

-CSNB: Combien de temps faut-il généralement pour détecter une intrusion et reprendre le contrôle de son infrastructure IT ?

Marco Salvatore : Nous constatons que les attaquants peuvent être présents dans un système pendant au moins trois jours avant d'être identifiés. Une fois l'analyse « forensique » lancée, il faut compter jusqu'à 26 jours pour obtenir une vue totale de leurs activités. Le danger réside dans les backdoors que les attaquants installent pour revenir discrètement. Tant que ces accès n’ont pas été identifiés et supprimés, on n'est jamais certain qu'ils sont partis.

-CSNB : Parvenez-vous à identifier les attaquants ?

Marco Salvatore : Il est rare d'identifier précisément les criminels. Mais nous parvenons à identifier les groupes grâce à leur "empreinte", c’est-à-dire la manière dont ils pénètrent le système, la gestion des sauvegardes ou le style de la demande de rançon. Aujourd’hui, nous voyons émerger de jeunes acteurs, âgés d’à peine 15 ans, qui agissent pour la simple poussée d'adrénaline. Cela rend la négociation beaucoup moins rationnelle qu'avec des criminels aguerris.

-CSNB : Comment négocie-t-on avec des cybercriminels ? Le profil de l'attaquant change-t-il la donne ?

 Marco Salvatore : Il existe une différence majeure entre les profils. Négocier avec des groupes criminels constitués d’adultes est plus « facile », car il existe un raisonnement logique et un modèle économique compréhensible derrière leurs actions. En revanche, traiter avec des mineurs âges de 15 ou 16 ans, est beaucoup plus complexe. Leur motivation première n'est pas toujours purement financière ; ils agissent souvent pour le « kiff » et l'adrénaline de l'attaque. De plus, ces jeunes hackers maîtrisent parfaitement les nouvelles technologies, comme l'intelligence artificielle, et sont très conscients des méthodes que nous utilisons pour gérer les sinistres. Cela rend les échanges beaucoup moins prévisibles et nettement plus difficiles à mener.

-CSNB : Quel est l'impact financier moyen d'un cyber incident en Belgique ?

Marco Salvatore : Sur la base de notre portefeuille de sinistres, le coût moyen d'un « breach » s'élève à 500.000 euros. Avec de fortes variations selon la taille des entreprises. Pour certaines PME, de tels montants peuvent s’avérer fatal. Nous avons déjà constaté des faillites suite à des attaques.

Pour une entreprise réalisant jusqu’à 5 millions d'euros de chiffre d'affaires, l'accumulation des coûts d’une attaque est dévastatrice. En plus de la demande de rançon, il faut comptabiliser la perte de la base de données, les réclamations des tiers, les pertes d'exploitation ou encore les frais nécessaires à la restauration des données. Heureusement, 85 % des incidents sont généralement résolus en une semaine, avec un impact limité.

Contrairement à ce que l’on pense souvent, les cybercriminels ne ciblent pas uniquement les grandes fortunes. Ils recherchent la rentabilité : une PME, souvent moins protégée, représente une cible plus facile et donc plus « rentable » en termes de temps investi par rapport à la rançon potentielle. Il est donc important de rappeler que les mesures de sécurité ne servent pas seulement à prévenir une attaque, mais elles sont essentielles pour limiter l'impact financier et permettre un retour à la normale plus rapide en cas de sinistre.

-CSNB : Les organisations ne gèrent plus leur informatique en vase clos. Le risque de "supply chain" devient prédominant. Comment cette dépendance envers les prestataires tiers modifie-t-elle le risque cyber et influence-t-elle la stratégie de sécurité des entreprises belges ?

Marco Salvatore : Ce changement de paradigme représente effectivement le risque majeur dans les années à venir. Même si une entreprise est bien protégée en interne, elle dépend de prestataires tiers (logiciels de visioconférence Teams, fournisseurs IT, etc.). Si l'attaquant pénètre un fournisseur, il peut accéder aux clients. C'est un risque systémique.

Le risque lié à la « supply chain » est un défi sécuritaire majeur. Cette vulnérabilité découle de l'interdépendance technologique croissante des infrastructures. Une entreprise peut sécuriser sa son périmètre interne, mais si le prestataire ou le fournisseur est compromis, elle subit mécaniquement l'attaque.

Dès lors, la stratégie de sécurité des entreprises belges doit impérativement évoluer vers des audits des prestataires. Il devient crucial d'interroger les fournisseurs sur leurs propres mesures de sécurité, une pratique encore trop peu répandue en Belgique où le focus reste majoritairement interne.

-CSNB : Certains experts prônent un retour à une informatique "on-premise" pour plus de sécurité. Est-ce la solution miracle ?

Marco Salvatore : C'est une possibilité, mais elle n'est pas applicable à toutes les sociétés. Plutôt que de revenir en arrière, je conseille de se concentrer sur la gestion des prestataires. Il faut instaurer des clauses contractuelles strictes pour auditer la sécurité des fournisseurs IT. C'est une étape cruciale que beaucoup d'entreprises négligent encore aujourd'hui.

-CSNB : Face à une attaque, les entreprises doivent-elles payer la rançon demandée ?

Marco Salvatore : C'est un dilemme stratégique. Environ 80 % des entreprises refusent de payer par principe. Mais, pour les autres, il s’agit d’un choix opérationnel sensible. Quand une multinationale est victime d’une attaque qui paralyse l'ensemble des lignes de production, provoquant une interruption totale de ses activités, l'impact opérationnel se double d’un enjeu financier colossal : un arrêt de la production peut coûter des millions d'euros par jour. Le dilemme stratégique du paiement de la rançon devient un choix critique : subir des pertes financières massives chaque jour dans l’attente d'une solution technique hypothétique.

-CSNB : Comment les entreprises peuvent-elles mieux gérer la communication de crise auprès de leurs parties prenantes après une cyberattaque ?

Marco Salvatore : La clé est la préparation en amont. Il faut avoir défini, avant que l'incident n'arrive, qui prend les décisions et comment la communication sera gérée. Lors d'un sinistre, nous mettons en place un « call de crise » incluant un gestionnaire de crise, souvent un bureau d'avocats spécialisé. Ces processus doivent être testés dans le meilleur des mondes pour éviter l'improvisation, car plus les structures sont préparées, plus vite l'entreprise pourra s'en sortir.

-CSNB : Quel est votre regard sur le niveau de cyber sécurité dans nos administrations publiques ?

 Marco Salvatore : C'est un tableau contrasté. Le secteur public souffre souvent de la lenteur des procédures d'acquisition : le temps d'implémenter une solution, elle est déjà obsolète. De plus, le manque de ségrégation des réseaux est critique. Si vous infiltrez un service mineur, comme une bibliothèque communale, vous avez souvent accès à l'ensemble du réseau municipal, y compris les données sensibles.

-CSNB : Les particuliers sont-ils aussi vulnérables que les entreprises face à ces nouvelles techniques ?

Marco Salvatore : Absolument. L'idée que seules les personnes âgées sont visées est un mythe. Avec l'intelligence artificielle, les campagnes de phishing sont devenues linguistiquement et graphiquement parfaites. J'ai vu des cas où des employés ont falsifié des notes de frais en recréant des captures d'écran bancaires ultra-réalistes. Aujourd'hui, tout le monde peut se faire berner, même des experts patentés.

-CSNB : Quels sont les critères spécifiques que vous utilisez pour définir le profil de risque cyber d'une entreprise avant de négocier une assurance ?

Marco Salvatore : Nous ne nous basons pas sur un budget arbitraire. Nous utilisons nos plateformes analytiques pour comprendre le risque réel. Nous examinons les mesures de sécurité déjà en place chez le client et évaluons le potentiel impact financier selon différents scénarios : léger, moyen ou catastrophique. C'est sur cette base que nous transférons le risque vers le marché de l'assurance, plutôt que de simplement chercher une police correspondant à une somme d'argent définie.

-CSNB : Constatez-vous une évolution positive grâce aux nouvelles réglementations, comme NIS2 ou DORA ?

 Marco Salvatore : Oui. Elles sont les véritables catalyseurs de cette transition. Ces législations obligent les entreprises à repenser leur infrastructure et à renforcer leur sécurité de manière structurelle. Cela favorise naturellement l'adoption de solutions locales, qui sont souvent plus conformes aux exigences de résilience et de souveraineté imposées par le régulateur. Mais nous n'en sommes qu'au début. Ces règlementations ciblent d'abord les grandes institutions et les infrastructures critiques. Tout le défi consistera à étendre cette culture de la sécurité à l'ensemble du territoire.

-CSNB : Quel conseil donneriez-vous aux organisations belges pour mieux se préparer au risque d’une attaque ?

Marco Salvatore : Je conseillerais de ne pas définir pas la police d'assurance uniquement sur un budget arbitraire. Analysez d'abord votre risque réel. Parfois, il est plus judicieux d'investir ces fonds dans le durcissement technique (firewalls, EDR, VPN). Surtout, testez, testez et testez encore. Faites appel à des hackers éthiques pour éprouver vos systèmes et préparez vos processus de crise avant que l'incident ne survienne. Quand l'attaque arrive, c'est le chaos total. Dès lors, avoir une structure préparée devient votre meilleur atout !