Phishing : former ses utilisateurs est plus rentable

Le hameçonnage peut coûter cher aux entreprises. Selon une étude de l’institut Ponemon pour Wombat, le coût du phishing s’élèverait en moyenne, aux Etats-Unis, à près de 4 M$, sur un an, par entreprise.

Et l’institut de détailler. Selon lui, le coût de maîtrise du logiciel malveillant ainsi distribué serait de l’ordre de 200 000 $, contre près de 340 000 $ pour celui qui a réussi à se propager hors de tout contrôle. A cela viendrait s’ajouter un peu plus de 1,8 M$ de perte de productivité, et encore plus de 380 000 $ de coût de remédiation de la compromission d’identifiants, et enfin plus de 1 M$ de coûts induits par la compromission d’identifiant non maîtrisée.

Pour Ponemon, une formation appropriée des utilisateurs peut permettre d’économiser 1,8 M$ par an en moyenne. Alors que Wombat propose des formations à moins de 4 $ par utilisateur, une entreprise de 10 000 salariés pourrait économiser quelque 184 $ par utilisateur et par an. De quoi largement plaider en faveur de la formation contre le hameçonnage.

Pour établir ses chiffres, l’institut Ponemon a sondé 337 responsables IT et RSSI aux Etats-Unis d’organisations comptant 1000 utilisateurs et plus. L’estimation du coût de maîtrise d’un logiciel malveillant est basée celle du temps consacré à la préparation, la collecte et à l’analyse des renseignements sur le logiciel malveillant, à l’enquête, au nettoyage des machines infectées, et enfin à la documentation : un total de plus de 30 000 heures-homme, selon une précédente étude de Ponemon pour Damballa, soit 1,9 M$. Mais le taux d’infection par phishing ne serait, selon l’institut, que de 11 %. D’où un coût de seulement 200 000 $ dans le cas du hameçonnage.

Les estimations du coût associé à une contamination non maîtrisée et de celui associé à une compromission d’identifiants de même nature sont d’ordres assurantiels : pour les établir, Ponemon se base sur la perte maximale probablement induite, et sur la probabilité de survenue de l’incident.

L’institut reconnaît des limites à son exercice. Toutefois, son étude à le mérite de donner une idée générale des avantages économiques que les entreprises pourraient bien trouver à sensibiliser sérieusement leurs utilisateurs aux risques du hameçonnage.