Dans un nouveau rapport sur l’exposition de l’industrie mondiale de la cybersécurité sur le Dark Web cette année, une société mondiale de sécurité des applications, ImmuniWeb, a révélé que 97% des principales entreprises de cybersécurité ont des fuites de données ou d’autres incidents de sécurité exposés sur le Dark Web, alors qu’en moyenne, plus de 4000 informations d’identification volées et autres données sensibles sont exposées par entreprise de cybersécurité.

Même l’industrie de la cybersécurité elle-même n’est pas à l’abri de ces problèmes, comme l’ont démontré les recherches d’ImmuniWeb.

Les principales conclusions de la recherche concernant l’exposition des principales sociétés mondiales de cybersécurité sur le Dark Web sont les suivantes:

• 97% des entreprises ont des fuites de données et d’autres incidents de sécurité exposés sur le Dark Web.
• 631512 incidents de sécurité vérifiés ont été détectés, dont plus de 25% (soit 160529) de ceux classés comme un niveau de risque élevé ou critique + contenant des informations hautement sensibles telles que des informations d’identification en clair ou des informations personnelles, y compris des données financières ou similaires. Par conséquent, en moyenne, 1586 informations d’identification volées et autres données sensibles sont exposées par entreprise de cybersécurité. Plus d’un million d’incidents non vérifiés (1 027 395) ont également été découverts au cours des recherches d’ImmuniWeb, et seuls 159 462 ont été estimés à faible risque.
• 29% des mots de passe volés sont faibles, les employés de 162 entreprises réutilisent leurs mots de passe – l’étude a révélé que 29% des mots de passe volés sont faibles, avec moins de huit caractères ou sans lettres majuscules, chiffres ou autres caractères spéciaux et que les employés de 162 entreprises (environ 40) réutiliser des mots de passe identiques sur différentes violations Cela augmente le risque d’attaques de réutilisation de mot de passe par des cybercriminels.
• Des e-mails professionnels ont été utilisés sur des sites de rencontres pornographiques et pour adultes – les violations par des tiers représentaient un nombre considérable d’incidents, car la recherche d’ImmuniWeb a révélé 5 121 informations d’identification qui avaient été volées sur des sites Web piratés de pornographie ou de rencontres pour adultes.
• 63% des sites Web des entreprises de cybersécurité ne sont pas conformes aux exigences PCI DSS – ce qui signifie qu’ils utilisent des logiciels vulnérables ou obsolètes (y compris des bibliothèques et des frameworks JS) ou n’ont pas de pare-feu d’application Web (WAF) en mode de blocage.
• 48% des sites Web des sociétés de cybersécurité ne sont pas conformes aux exigences du RGPD – en raison de logiciels vulnérables, de l’absence d’une politique de confidentialité bien visible ou d’un avertissement de cookie manquant lorsque les cookies contiennent des PII ou des identifiants traçables.
• 91 entreprises présentaient des vulnérabilités de sécurité de site Web exploitables, dont 26% ne sont toujours pas corrigées – cette découverte provient d’ImmuniWeb se référant à des données librement disponibles sur le Ouvrir Bug Bounty projet.

La recherche a été menée à l’aide du test de sécurité de domaine en ligne gratuit d’ImmuniWeb, qui combine la technologie propriétaire OSINT améliorée avec l’apprentissage automatique, pour découvrir et classer l’exposition au Dark Web. 398 sociétés de cybersécurité de premier plan basées dans 26 pays, principalement aux États-Unis et en Europe, ont été testées.

Les entreprises de cybersécurité aux États-Unis ont subi les incidents à risque le plus élevé et critique, suivis du Royaume-Uni et du Canada, puis de l’Irlande, du Japon, de l’Allemagne, d’Israël, de la République tchèque, de la Russie et de la Slovaquie.

Sur les 398 entreprises de cybersécurité testées, seules celles de Suisse, du Portugal et d’Italie n’ont subi aucun incident à risque élevé ou critique, tandis que celles de Belgique, du Portugal et de France avaient le plus faible nombre d’incidents vérifiés.

Ilia Kolochenko, PDG et fondatrice d’ImmuniWeb, a commenté la recherche:

« Au contraire, leurs tiers, allant des cabinets d’avocats aux sociétés informatiques, manquent généralement de l’expertise interne et du budget nécessaire pour réagir rapidement au spectre croissant des attaques ciblées et des APT. impunité. En 2020, il n’est pas nécessaire de dépenser des jours coûteux, mais plutôt de trouver plusieurs tiers non protégés avec un accès privilégié aux «joyaux de la Couronne» et de casser rapidement le maillon le plus faible. « 

«La visibilité et l’inventaire holistiques de vos données, de vos ressources informatiques et numériques sont essentiels pour tout programme de cybersécurité et de conformité d’aujourd’hui. Les technologies modernes, telles que l’apprentissage automatique et l’IA, peuvent considérablement simplifier et accélérer un nombre considérable de tâches laborieuses allant de la détection d’anomalies à la fausse réduction positive. Cette image doit cependant être complétée par une surveillance continue du Web profond et sombre, et d’innombrables ressources sur le Web de surface, y compris les référentiels de code public et les sites Web de collage. Vous ne pouvez pas protéger votre organisation indépendamment du paysage environnant qui deviendra probablement encore plus complexe dans un proche avenir. « 

le résultats de recherche complets peut être consulté ici.