Le spear phishing, une attaque ciblée
Le spear phishing est élaboré, il s’agit d’une attaque précise qui va cibler une personne en particulier. Les hackers collectent des informations sur la personne ciblée et son entreprise via internet et les réseaux sociaux – habitudes de travail, horaires, collègues – et lui envoient un email en se faisant passer pour une relation de travail. Ce type d’attaque est donc moins facile à repérer que les tentatives de hameçonnage traditionnelles.
Les pirates vont utiliser des termes et des formulations familières pour le destinataire
L’objectif des hackers est de faire en sorte que l’internaute clique sur un lien ou télécharge une pièce jointe, qui leur permettront de pénétrer le système d’information de l’entreprise. Une fois entrés, ils vont chercher à ouvrir d’autres portes, en obtenant par exemple des mots de passe administrateur. Ils peuvent ensuite faire ce qu’ils veulent, utiliser le serveur de manière frauduleuse, exfiltrer des données sensibles. La difficulté est que, si non préparée, il faut souvent plusieurs mois avant que l’entreprise ne se rende compte de l’attaque.
Focus sur la fraude au président
La fraude au président est une déclinaison du spear phishing. Cette fois les pirates vont cibler un collaborateur et s’adresser à lui en se faisant passer généralement pour le président de la société ou son avocat afin d’obtenir un virement. Cette demande apparaissant comme urgente et confidentielle, la personne contactée va parfois s’exécuter sans prendre le temps de la réflexion, et elle n’en parlera pas à ses collègues et n’éveillera donc pas les soupçons.
La victime reçoit plusieurs messages pressants indiquant par exemple que pour conclure une affaire le président a besoin que soit rapidement réalisé un virement sur un compte bancaire. Cela se passe souvent une veille de week-end ou de jour férié, à un moment où le président n’est pas joignable. Les pirates jouent sur le stress et l’autorité pour que la personne effectue le virement demandé. Une fois réalisé, l’argent est difficile à récupérer.
Selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, la fraude au président est devenue l’une des principales cyberattaques dans le monde. Cette escroquerie, qui a recours à l’usurpation d’identité des dirigeants d’entreprise, est en hausse notable et est mentionnée par 38% des entreprises ayant répondu à l’étude.
Une sensibilisation nécessaire des équipes
Face à ces attaques ciblées, la prévention passe par la formation de tous les collaborateurs. Il est possible de faire des campagnes de sensibilisation, rappeler l’importance de rester vigilant, de toujours vérifier l’adresse email de l’expéditeur d’un mail, d’utiliser des mots de passe complexes.
Si l’utilisation d’antivirus et de systèmes de filtres pour les boîtes mails est utile, les solutions techniques ne peuvent suffire. On peut aussi sensibiliser l’ensemble des collaborateurs à la nécessité de ne pas partager trop d’informations sur les réseaux sociaux, d’éviter de donner les noms des collègues, les date d’un salon ou de ses vacances.
Aujourd’hui, la prise de conscience des entreprises semble se renforcer, toujours selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, 55% des entreprises sondées prévoient d’allouer ou d’augmenter leur budget de lutte contre la fraude en 2021.
Les principales mesures qui feront l’objet d’un investissement : la sensibilisation interne (73%), les audits de sécurité des systèmes d’information (69%), les audits pour renforcer les procédures de contrôle interne (47%), les plans de reprise de l’activité (44%) et es solutions d’assurance (32%).