Je suis d'accord, globalement les petites structures comme des mairies ou des petites sociétés sont démunies contre ce genre d'attaque.
Peut importe si c'est un mail piégé ou une clé USB au final, si tu n'es pas à jour ou pas au fait des dernières failles de sécurité, tu es vulnérable.
Souvent les gens pensent que c'est l'affaire d'un spécialiste en sécurité de protéger une installation. Or c'est complètement faux.
On voit que c'est souvent une faute humaine.
En face on a quand même un marché de l'escroquerie : acheter une mailing liste, des noms , des mots de passes , j'en passe ou des meilleures est librement accessible sur le darknet.
Des kits prêt à l'emploi de virus ou tout genre sont aussi disponible.
N'importe quel petit groupe d’escrocs , même pas besoin de connaitre l'informatique, est capable de monter des attaques en achetant facilement tout ce qu'ils ont besoin.
Si je prend en exemple mon cas perso, je possède un site internet ou j'expérimente des services REST écrits en java, ça tourne avec spring boot sur un serveur linux.
Rien de spécial, je n'ai strictement rien d’intéressant, c'est pour me former à java.
Sans mentir j'ai des requêtes plusieurs fois par jour qui testent les failles de CMS php les plus courants : wordpress, drupal, joomla etc ... alors que je n'ai même pas de php qui tourne.
Autant vous dire que si j'avais un CMS non à jour il serait piraté tous les jours.
Ca c'est sur un site internet insignifiant ... je vous laisse imaginer sur un gros site ce que ça doit être.
Ma conclusion : Nous ne sommes globalement pas assez informé et encore moins préparé contre ça.
Il faut bien se mettre dans la tête que c'est le far west sur internet.
Comme le dit le slogan du site zataz.com : s'informer c'est déjà se protéger.