L’internet est devenu le moteur de l’interaction entre les entreprises et les clients, le courrier électronique restant l’outil le plus populaire pour la communication commerciale formelle. Malheureusement, c’est aussi le moyen le plus fragile d’échanger des messages et des données sensibles. Le courrier électronique est sujet à des attaques de phishing et de spam, et la compromission des courriels d’entreprise (BEC) entraîne de lourdes pertes financières et des atteintes à la réputation.
Nous vivons une transition numérique et technologique qui perturbe les économies et modifie le tissu social. Les derniers développements en matière d’intelligence artificielle et les défis post-pandémiques poussent les entreprises à renforcer leur présence en ligne et à rechercher de nouvelles opportunités dans des domaines inexplorés. Dans le même temps, les cybercriminels élaborent de nouveaux plans pour perpétrer des escroqueries dévastatrices et ralentir les progrès.
Cet article traite de la fraude BEC et donne des conseils pour protéger votre entreprise contre les cyberattaques. Entrons dans le vif du sujet !
Table des matières
- Qu’est-ce qu’une compromission du courrier électronique d’une entreprise ?
- Comment fonctionnent les attaques BEC ?
- Exemples de compromission de courriels d’entreprise
- Qui est le plus souvent visé par les courriels de type BEC ?
- Quels sont les types d’escroqueries à la compromission des courriels d’entreprise ?
- Qu’est-ce qui différencie une attaque BEC d’un e-mail de phishing classique ?
- Pourquoi est-il important de prévenir la compromission des courriers électroniques professionnels ?
- Comment prévenir la compromission des courriels d’entreprise ?
- Que faire si vous êtes victime d’une escroquerie BEC ?
- Statistiques sur la compromission des courriers électroniques des entreprises
Qu’est-ce qu’une compromission du courrier électronique d’une entreprise ?
La compromission d’un courriel d’entreprise est un type de cyberattaque où les fraudeurs se font passer pour un cadre ou un employé d’une entreprise afin d’inciter des personnes au sein d’une organisation à entreprendre des actions qui profitent à l’attaquant. Les attaques BEC impliquent généralement des communications par courrier électronique et peuvent entraîner des pertes financières importantes pour les entreprises.
Comment fonctionnent les attaques BEC ?
L’attaquant commence par recueillir des informations sur l’organisation cible, telles que les noms des employés, les titres des postes et les adresses électroniques, par divers moyens, y compris l’ingénierie sociale, les sites Web publics ou le vol de données.
Ensuite, l’attaquant usurpe l’identité d’un compte de messagerie légitime au sein de l’organisation, par exemple celle d’un cadre supérieur ou d’un PDG. Ils créent souvent une adresse électronique similaire à l’adresse authentique, en utilisant de légères variations ou des fautes d’orthographe que les destinataires pourraient ne pas remarquer.
En outre, les attaquants utilisent des techniques d’ingénierie sociale pour manipuler la victime afin qu’elle prenne les mesures souhaitées. Ils peuvent exploiter la confiance, l’autorité ou l’urgence du destinataire pour augmenter les chances de succès. Par exemple, l’attaquant peut prétendre être le PDG et demander un virement bancaire urgent vers un compte bancaire frauduleux spécifique pour une transaction commerciale urgente.
L’une des astuces les plus anciennes mais les plus efficaces des fraudeurs consiste à semer la tromperie et l’urgence dans l’esprit de leur cible. Ils peuvent utiliser des expressions telles que “confidentiel”, “urgent” ou “strictement confidentiel” pour ajouter de la crédibilité et pousser le destinataire à contourner les procédures de sécurité habituelles.
Les employés qui ont accès à des informations financières ou qui ont le pouvoir d’initier des transactions sont particulièrement exposés aux escroqueries par courrier électronique. Il peut s’agir de personnes travaillant dans les services financiers ou comptables ou d’employés chargés de gérer les relations avec les fournisseurs. L’objectif est de les convaincre de transférer des fonds, de divulguer des informations sensibles ou de modifier les instructions de paiement.
Exemples de compromission de courriels d’entreprise
Les attaques de type “Business Email Compromise” sont incessantes. Qu’il s’agisse d’une entreprise locale ou d’une grande société internationale, personne n’est à l’abri de la prochaine grande attaque si toutes les mesures préventives et la sensibilisation à la cybersécurité ne sont pas mises en place. Pourtant, il est dans la nature de l’homme de se faire confiance, et les exemples ci-dessous l’illustrent parfaitement :
Fiasco de Facebook et Google
Dans le cadre de l’attaque d’ingénierie sociale la plus retentissante de tous les temps, Evaldas Rimasauskas et ses associés ont persuadé des employés de Google et de Facebook de payer des factures pour des biens et des services que le fabricant avait réellement fournis sur un faux compte , escroquant ainsi plus de 100 millions de dollars aux entreprises du secteur des grandes technologies.
Si les escroqueries BEC peuvent se produire à ce niveau, imaginez la vulnérabilité du reste du paysage commercial où les employés manquent de sensibilisation et de vigilance en matière de cybersécurité. Les coûts et les dommages résultant des attaques BEC s’élèvent à des milliards au cours d’une année civile.
Toyota rejoint le club des victimes du BEC
En 2019, Toyota, un nom bien connu de l’industrie automobile, a été victime d’une attaque de type “Business Email Compromise” d’une valeur de 37 millions de dollars. Cet incident a mis en évidence la vulnérabilité des grandes entreprises face aux cybermenaces.
Malgré l’importance de la somme en jeu, les auteurs ont réussi à tromper un employé de la filiale européenne de Toyota et à transférer les fonds sans être repérés. Les critiques soutiennent que Toyota, compte tenu de sa taille et de son influence, aurait dû être plus vigilant et reconnaître les signes de cette escroquerie généralisée.
Le gouvernement de Porto Rico transfère des millions à des escrocs
À la suite du puissant tremblement de terre de magnitude 6,4 qui a frappé Porto Rico au début de l’année 2020, le gouvernement portoricain a été la proie d’une astucieuse escroquerie au BEC, dont il a gardé des séquelles.
Le protagoniste de cet incident malheureux était Rubén Rivera, le directeur financier de la Puerto Rico’s Industrial Development Company. Il a transféré par inadvertance plus de 2,6 millions de dollars sur un compte bancaire frauduleux.
Le stratagème a été dévoilé par un courriel qui a atterri dans la boîte de réception de M. Rivera, l’informant prétendument d’un changement dans le compte bancaire associé aux versements. Ce qui a rendu ce courriel particulièrement insidieux, c’est son origine : le compte de messagerie électronique compromis d’un employé du Puerto Rico Employment Retirement System (système de retraite des employés de Porto Rico). À l’insu de Rivera, ce message apparemment inoffensif n’était rien d’autre qu’une ruse habilement conçue par les escrocs.
Trois employés ont été suspendus dans l’attente d’une enquête plus approfondie sur leur implication potentielle. Heureusement, le FBI a rapidement gelé les gains mal acquis, y compris les fonds de pension publics.
Qui est le plus souvent visé par les courriels de type BEC ?
Les attaques BEC visent généralement des personnes ou des organisations impliquées dans des transactions financières. Les cibles principales sont souvent les comptables, les responsables financiers ou le personnel chargé de la paie.
Les auteurs d’attaques BEC se font souvent passer pour des PDG, des directeurs financiers ou des cadres supérieurs afin d’exploiter leur autorité et leur influence. Ils ciblent ces personnes parce qu’elles ont généralement accès aux fonds de l’entreprise et peuvent autoriser des transactions importantes.
Les employés impliqués dans des activités d’approvisionnement ou d’achat, tels que les responsables des achats ou les acheteurs, sont également des victimes faciles et fréquentes, car les escrocs se font souvent passer pour des fournisseurs demandant des transferts de fonds. Le personnel des ressources humaines est également vulnérable aux escroqueries BEC car il stocke des informations sensibles sur les employés, notamment les numéros de sécurité sociale, les coordonnées bancaires ou les données personnelles.
Enfin, une escroquerie de type Business Email Compromise peut cibler les administrateurs informatiques pour obtenir un accès non autorisé aux comptes de messagerie ou mettre en péril les systèmes internes. En compromettant ces comptes, ils peuvent surveiller les communications, intercepter des informations sensibles ou envoyer des courriels frauduleux à partir de sources fiables.
Les attaques BEC sont très adaptables et les attaquants font évoluer leurs tactiques en permanence. Toute personne ayant accès à des ressources financières ou à des données précieuses au sein d’une organisation peut devenir une cible. Par conséquent, la protection contre la compromission des courriels d’entreprise devrait être une priorité absolue pour chaque organisation, quelle que soit sa taille et son créneau.
Quels sont les types d’escroqueries à la compromission des courriels d’entreprise ?
Les escroqueries BEC englobent diverses tactiques utilisées par les attaquants pour tromper les individus et les organisations. Voici quelques types d’escroqueries BEC courantes :
- Fraude au PDG : Dans cette escroquerie, le pirate se fait passer pour un cadre de haut niveau, généralement le PDG ou un autre cadre ayant autorité, et envoie un courriel à un employé lui demandant d’effectuer un paiement urgent ou de transférer des fonds sur un compte spécifique. Le courrier électronique semble légitime et contient souvent le nom du dirigeant, sa signature et des informations personnelles obtenues par ingénierie sociale.
- Le système des fausses factures: Les fraudeurs ciblent les entreprises qui effectuent des transactions régulières avec des fournisseurs ou des vendeurs. Ils interceptent des factures légitimes et modifient les informations relatives au compte bancaire, redirigeant ainsi les paiements vers leurs comptes bancaires frauduleux. Les factures modifiées sont souvent identiques aux factures originales, ce qui rend leur détection difficile.
- L’usurpation d’identité d’avocat: Les escrocs se font passer pour des avocats ou des représentants légaux. Ils envoient des courriels aux personnes impliquées dans des transactions commerciales, des procès, des fusions et des acquisitions. Les courriels prétendent généralement qu’une affaire confidentielle nécessite une attention urgente, telle qu’un transfert de fonds sur un compte désigné contrôlé pour un règlement ou des frais juridiques.
- Usurpation de l’identité d’un employé : Les attaquants se font passer pour des employés d’une organisation et envoient des courriels demandant des informations sensibles, telles que des dossiers d’employés, des formulaires W-2 ou des données financières. Ils peuvent se faire passer pour des membres du personnel des ressources humaines, des responsables de la paie ou des collègues.
- Compromission de compte: dans ce scénario, les attaquants obtiennent un accès non autorisé au compte de messagerie d’un employé. Ils les surveillent pour recueillir des informations, identifier les transactions financières en cours, puis envoyer des courriels frauduleux pour rediriger les fonds ou modifier les instructions de paiement.
Qu’est-ce qui différencie une attaque BEC d’un e-mail de phishing classique ?
La compromission des courriels d’entreprise (Business Email Compromise) et le phishing présentent de nombreuses similitudes. Les courriels d’hameçonnage et les attaques BEC impliquent tous deux des courriels trompeurs. Une attaque de phishing typique vise à inciter les individus à révéler des informations personnelles, tandis qu’une attaque BEC cible les entreprises et tente de tromper les employés pour qu’ils prennent des mesures qui profitent aux cybercriminels.
Les attaques BEC sont plus sophistiquées. Lors d’une attaque BEC, les cybercriminels tentent d’usurper l’identité d’un membre de l’organisation, tel qu’un PDG, un directeur ou un fournisseur de confiance, afin de tromper les employés et de les inciter à effectuer des virements sur des comptes frauduleux, à partager des informations sensibles sur l’entreprise ou même à modifier les détails de leur compte.
Pourquoi est-il important de prévenir la compromission des courriels d’entreprise ?
Les attaques BEC peuvent entraîner des pertes financières considérables pour les organisations. Les attaquants se font souvent passer pour des cadres de haut niveau ou des partenaires commerciaux de confiance, incitant les employés à initier des virements ou à divulguer des informations financières sensibles.
En outre, les escroqueries BEC peuvent nuire à la réputation d’une entreprise. Si les clients, les partenaires ou les parties prenantes apprennent qu’une organisation ne dispose pas de mesures de sécurité appropriées et n’est pas sensibilisée à la question, la confiance dans la capacité de l’entreprise à protéger les informations sensibles peut s’en trouver érodée. Cette perte de réputation peut entraîner une diminution de la fidélité des clients, une réduction des opportunités commerciales et des difficultés à attirer de nouveaux clients.
Les attaques BEC peuvent également exposer des données sensibles et des informations personnelles, entraînant de graves conséquences juridiques et réglementaires. Les violations d’informations personnelles identifiables (IPI) peuvent donner lieu à des poursuites judiciaires, à des sanctions financières et à des dommages pour les personnes concernées par la violation. La prévention de la compromission des courriels d’affaires aide les organisations à minimiser le risque de vol de données et à respecter leur engagement à protéger la vie privée de leurs clients.
Comment prévenir la compromission des courriels d’entreprise ?
Comme vous pouvez le constater, les attaques BEC sont de plus en plus fréquentes et il est donc impératif de les repérer dès le départ. Voici cinq solutions efficaces contre la compromission des courriels d’entreprise qui permettront d’éviter de nouvelles attaques.
1. Connaître son ennemi et ses stratagèmes
Les criminels passent pour des génies lorsqu’ils réalisent une escroquerie de grande envergure, mais les employés négligents devraient plutôt s’en attribuer le mérite. La plupart des BEC reposent sur les mêmes tactiques et manipulations sous-jacentes, de sorte que leur détection devrait devenir une seconde nature après avoir appris les stratégies BEC les plus courantes.
Le principal signal d’alarme est un faux sentiment d’urgence. Les attaquants, qui se font généralement passer pour des cadres, des superviseurs ou des chefs comptables, demandent le paiement de factures en envoyant de faux courriels aux victimes et en les incitant à virer de l’argent pour conclure une affaire. Voici un exemple classique :
Bonjour Ben,
J’ai rendez-vous en ce moment même avec [Company Name]. Il semble que notre dernière facture ait été envoyée sur leur ancien compte. Si vous n’avez pas les coordonnées de leur nouveau compte, je vous les fournis ci-dessous. Veuillez payer MAINTENANT, pour que je puisse leur dire que c’est fait.
Numéro de compte : 94567868900
Code de tri : 45-20-30 Merci !
Andrew, CAO de [Your Company Name].
Cela semble assez convaincant, n’est-ce pas ? Mais ce qui les trahit, c’est le mauvais nom de domaine. Vous devez toujours vérifier l’adresse de l’expéditeur avant de répondre et d’envoyer de l’argent. À première vue, le message provient d’un domaine crédible, mais il est légèrement modifié pour vous prendre au dépourvu. Ainsi, au lieu de @microsoft.com, la fausse adresse pourrait s’écrire @micr0soft.com ou @microsott.com.
L’usurpation d’identité d’un vendeur est une autre tactique courante des BEC. Il s’agit d’escrocs qui usurpent l’identité de l’un des fournisseurs de l’entreprise. Cette attaque est plus délicate car les coordonnées de l’expéditeur sont correctes et la transaction semble légitime. La mauvaise nouvelle est que des escrocs ont piraté le compte de messagerie du vendeur. La bonne nouvelle, c’est que vous pouvez éviter la fraude en vérifiant deux fois le numéro de compte du vendeur, car il sera différent du numéro habituel. Si vous avez l’impression que quelque chose ne va pas, contactez l’entreprise par téléphone et demandez-lui de confirmer la transaction.
2. Apprenez à vos employés à repérer les attaques de Bec
Sans une formation adéquate sur la sensibilisation à la cybersécurité et aux escroqueries BEC, vous en serez tôt ou tard victime. Les employés doivent acquérir une connaissance approfondie des courriels de phishing et être pleinement conscients des risques et des implications considérables de ces attaques. Organisez régulièrement des exercices d’hameçonnage et rappelez aux employés de vérifier l’authenticité des courriels, en particulier ceux qui sont suspects. Voici ce à quoi ils doivent prêter attention :
- Le ton du message. En cas d’urgence, ils doivent prendre du recul et examiner attentivement l’adresse électronique et son contenu.
- Les informations relatives à l’expéditeur ne correspondent pas à l’adresse électronique.
- Les fautes d’orthographe, les fautes de frappe et la mauvaise grammaire.
- Liens et pièces jointes non sollicités.
3. Utiliser des mots de passe forts et activer l’authentification à deux facteurs
Une politique de mot de passe garantit que tous les utilisateurs utilisent des mots de passe forts (c’est-à-dire au moins 12 caractères avec des lettres majuscules et minuscules, des chiffres et des caractères spéciaux). L’authentification à deux facteurs (2FA) est une couche de sécurité supplémentaire qui empêche l’accès non autorisé à un compte de messagerie si le mot de passe a été compromis.
4. Soyez technique. Protégez vos courriels grâce à des mesures anti-fraude
L’un des moyens les plus efficaces de se prémunir contre les attaques par courrier électronique est d’installer unepasserelle de courrier électronique sécurisée (SEG). Un tel dispositif ou logiciel surveille l’activité du courrier électronique et empêche les spams, les logiciels malveillants et les virus d’atteindre votre boîte de réception. SEG peut également détecter et bloquer les domaines d’hameçonnage, et vous pouvez ajouter des mots-clés courants utilisés dans les BEC, et les signaler comme suspects.
Une autre mesure de sécurité consiste à utiliser des méthodes d’authentification du courrier électronique telles que SPF, DKIM et DMARC.
- Avec Sender Policy Framework (SPF), vous pouvez ajouter un enregistrement DNS pour autoriser les adresses IP qui peuvent envoyer des courriels au nom de votre domaine.
- DKIM signifie DomainKeys Identified Mail et fonctionne avec SPF pour détecter les faux courriels. DKIM signe vos courriels sortants afin que les destinataires puissent en vérifier la légitimité.
- DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC utilise les protocoles d’authentification SPF et DKIM pour vérifier les courriels envoyés depuis le domaine de l’organisation.
5. Chiffrer les courriels et les documents à l’aide d’un certificat S/MMIME
Les certificats de courrier électronique sont conformes à la norme S/MIME (Secure/Multipurpose Internet Mail Extensions) et assurent l’authentification et l’intégrité.
S/MIME permet le cryptage de bout en bout de tous les courriels sortants et bloque les tentatives d’usurpation d’identité en confirmant l’identité de l’expéditeur et en garantissant que le contenu du message n’a pas été modifié.
Avec S/MIME, la transmission ne se fait plus en texte clair et n’est plus vulnérable aux attaques de type “man-in-the-middle”. De plus, les certificats S/MIME sont compatibles avec les clients de messagerie modernes et sont conformes aux normes ESG de la FDA. Vous pouvez obtenir un certificat S/MIME auprès de SSL Dragon. Nous avons des options pour les particuliers et les entreprises de toutes tailles.
Que faire si vous êtes victime d’une escroquerie BEC ?
Oh non, vous pensez avoir répondu à un courriel de la BEC. Pas de panique pour l’instant ! Voici ce que vous devez faire :
- Si votre entreprise dispose de protocoles de sécurité BEC, suivez-les conformément à vos directives de formation.
- Prévenez immédiatement votre service informatique.
- Appelez votre banque et demandez-lui de suspendre toutes les transactions.
- Examinez vos relevés de compte pour détecter toute activité suspecte.
- Signaler l’incident aux autorités compétentes. Aux États-Unis, contactez le bureau local du FBI pour signaler le délit.
Statistiques sur la compromission des courriers électroniques des entreprises
Voici quelques statistiques qui vous feront frissonner :
- En 2022, le FBI a enregistré un total de 21 832 plaintes liées aux BEC, qui ont entraîné des pertes estimées à plus de 2,7 milliards de dollars.
- Les pertes globales exposées dues à la fraude BEC ont connu une augmentation significative de 65% par rapport à la période précédente.
- Seulement 2,1 % des attaques connues sont signalées à l’équipe de sécurité par les employés.
- 65% des organisations seront confrontées à des attaques BEC en 2020
- Parmi les violations liées à l’ingénierie sociale, 27 % sont dues à l’utilisation de faux-semblants, la majorité de ces incidents étant attribués à des attaques de type BEC.
- Un employé sur cinq tombe dans le piège de l’hameçonnage et répond à des courriels suspects.
- L’escroquerie la plus courante est la fraude à la facture ou au paiement.
- Le montant moyen demandé lors des attaques BEC par virement bancaire était de 72 000 dollars, tandis que la perte maximale atteignait 999 600 dollars en 2021.
Réflexions finales
Les escroqueries aux courriels d’entreprise existeront tant que l’internet existera. La principale raison de leur succès est que la nature humaine est encline aux manipulations et aux tactiques secrètes. Les BEC sont plus psychologiques que techniques. Ils suivent un schéma éprouvé qui repose en grande partie sur la négligence, la soumission à l’autorité et le manque de sensibilisation à la cybersécurité.
Nous vous avons montré comment repérer et prévenir les escroqueries BEC avant qu’il ne soit trop tard. C’est maintenant à vous de passer à l’action et de les mettre en œuvre pour assurer la sécurité générale du courrier électronique chaque fois que vous ouvrez un nouveau message.
Economisez 10% sur les certificats SSL en commandant aujourd’hui!
Émission rapide, cryptage puissant, confiance de 99,99 % du navigateur, assistance dédiée et garantie de remboursement de 25 jours. Code de coupon: SAVE10
