De nombreuses failles inconnues

Si de nombreuses vulnérabilités exploitées par des pirates restent inconnues (ou ne sont pas communiquées publiquement), l'étude du WHID souligne une tendance : la part croissante des attaques par injection SQL. Ces attaques représentent ainsi 30% des vulnérabilités exploitées, contre 20% en 2007.

Les rédacteurs de l'étude rappellent en outre que 500 000 sites ont été piratés en 2008 grâce à une injection SQL. Le WHID note également le léger recul des attaques de type XSS, qui passent de 12% en 2007 à 8% en 2008. Toutefois, la part importante (29%) des vulnérabilités inconnues masque probablement en partie la réalité.

L'enquête explique également ce point par un manque évident de visibilité sur le trafic Web en raison d'une faiblesse du monitoring et d'analyse des logs. Or, selon les experts en sécurité, cette faille dans les mécanismes de surveillance permet aux pirates de réaliser des tentatives d'attaques répétées sans générer d'alerte et de n'être découverts que très tardivement.