Sommet de Dashlane sur la sécurité 2025 : ce que nous avons appris de 4 leaders de l’industrie

Chez Dashlane, notre objectif est de protéger la vie numérique des personnes, qu'il s'agisse de sécuriser les mots de passe et les identités ou de gérer des données critiques. C'est un voyage sans fin. La cybersécurité évolue constamment, et c'est pourquoi nous devons continuer à apprendre, à nous adapter et à nous mettre au défi pour garder une longueur d'avance.

Le 1er avril, nous avons organisé notre premier sommet sur la sécurité dans les bureaux de Dashlane à New York, en personne et virtuellement via une diffusion en direct sur YouTube.

J'ai pris une brève parole au début de l'événement pour accueillir nos participants (des professionnels de la sécurité provenant de divers domaines), et plus tard pour présenter chacun de nos quatre experts.

Le sommet sur la sécurité avait pour objectif de s'attaquer aux derniers défis en matière de cybersécurité, en mettant l'accent sur la compréhension des menaces émergentes dans l'économie numérique, de l'IA parallèle aux journaux en passant par le vol de cryptomonnaie.

L'événement a réuni quatre figures de proue du secteur pour partager leurs idées sur la création de stratégies de défense proactives.

Notre première session était intitulée « L'IA fantôme : une menace silencieuse à la sécurité des identifiants », présentée par Jennifer Gold. Jennifer est le RSSI de Risk Aperture et une figure incontournable dans le domaine de la cybersécurité. À la pointe de la protection des infrastructures critiques, elle est une défenseuse passionnée de la collaboration entre les secteurs privé et public pour s'attaquer à l'environnement croissant des menaces.

Dans sa présentation, Jennifer a examiné l'une des menaces les plus urgentes auxquelles nous sommes confrontés : comment l'IA peut être utilisée comme arme pour cibler la sécurité des données d'identification. En tant que directeur de la technologie d'une entreprise de sécurité, je crois fermement que ce n'est pas un élément que nous pouvons nous permettre d'ignorer.

Jennifer a également partagé sa philosophie sur la diligence en matière de cybersécurité, déclarant qu'elle allait à la thérapie physique, [My dad is] et elle me racontait comment, lorsqu'ils lui font faire 10 répétitions d'un exercice particulier, elle en fait 15. Et je pensais à cet état d'esprit qui consiste à faire toujours un peu plus, ces répétitions supplémentaires… Il est nécessaire de faire ces répétitions supplémentaires, [cybersecurity professionals] comme mon père.

Voici mes 3 principaux points de sa présentation :

Ensuite, Ethan Johnson, fondateur de Next Encrypt, a fait une présentation intitulée « Aperçu de la protection des opérations de cryptomonnaie : pourquoi quelques contrôles avancés ne suffisent pas. » Ethan a une riche expérience issue de son travail approfondi dans le domaine de la sécurité cryptographique et a partagé des informations clés sur la protection des opérations cryptographiques dans un paysage des menaces de plus en plus complexe.

La cryptomonnaie et la blockchain sont plus éloignées de ma zone de confort, il était donc intéressant de découvrir à quel point les enjeux sont importants. En fin de compte, la protection des cryptomonnaies nécessite les mêmes principes fondamentaux de la sécurité que toute autre chose. Voici donc mes recommandations basées sur la présentation d'Ethan :

Robert Fernandes, le fondateur et RSSI de Salted Hash Security, a ensuite pris la parole, intitulant sa présentation « Les logiciels malveillants démasqués : détection OSINT et défense proactive ». Il a expliqué comment mieux identifier les menaces des journaux des logiciels voleurs et comment se défendre contre celles-ci à l'aide de l'intelligence de source ouverte (OSINT).

Les logiciels voleurs sont un type de logiciel malveillant conçu pour collecter et exfiltrer des données sensibles des appareils infectés. Les informations volées par les logiciels voleurs sont contenues dans le journal des logiciels voleurs. Racoon, Redline, Titan, Aurora et Vidar sont des types populaires de logiciels voleurs.

Les journaux des voleurs sont particulièrement dangereux, car ils peuvent inclure des cookies de session persistants, qui permettent à d'autres personnes de se connecter en votre nom, même en contournant l'AMF.

Robert a partagé un résumé d'un rapport de flare.io : l'organisation a analysé plus de 19 millions de journaux de vol, trouvant plus de 376 000 journaux qui contenaient un accès pour les applications professionnelles (Salesforce, AWS, Okta, Docusign). Plus de 48 000 journaux contenaient un accès à Okta.com (Connexion Unique - SSO). Près de la moitié de ces registres contenaient un accès aux identifiants Gmail. Russian Market et les groupes VIP sur Telegram étaient les sources les plus courantes de données d'entreprise.

« Il y a un dicton dans la communauté des hackers : « Je ne vous ai pas hacké. Je me suis connecté », a ajouté Robert.

L'une de ses recommandations est d'examiner l'architecture de confiance zéro, en vous assurant que votre organisation dispose d'une gestion efficace des appareils et d'une gestion systématique des correctifs. Connaître le contenu de votre cyberassurance est également essentiel.

La conférence finale de la journée a été intitulée « Nous avons besoin de moins de héros : prioriser les vulnérabilités à l'aide de données d'observabilité », présentée par Jean-Baptiste Aviat, ingénieur chargé des produits de sécurité chez Datadog. Jean-Baptiste dirige la démocratisation de la sécurité avec la plate-forme d'observabilité de Datadog.

Sa présentation a été axée sur la façon dont vous devez hiérarchiser les vulnérabilités en fonction du risque réel pour vos clients et votre entreprise. Un rapport de Datadog montre que dans un océan de vulnérabilités, seuls 3 % sont réellement critiques.

Le système commun de notation des vulnérabilités (CVSS), un moyen d'évaluer la gravité des vulnérabilités, n'est pas suffisant et devrait être étendu au « score environnemental du CVSS ». Cela fournit plus de dimensions et de granularité pour évaluer la priorité d'une vulnérabilité et construire un point de vue plus précis des risques à l'aide des données d'un système.

Dans un monde où nous ne cessons de découvrir de plus en plus de vulnérabilités, nous avons besoin d'outils et de processus pour nous assurer d'investir notre temps et nos efforts au bon endroit.

Merci à nos intervenants d'avoir partagé leur temps et leur sagesse, et merci à tous nos participants présents sur place et en ligne. J'espère que vous avez apprécié notre Sommet sur la sécurité 2025. Nous avons hâte de vous accueillir à nouveau à l'avenir.