COMMENT LES CYBERATTAQUES IMPACTENT L’ACTIVITÉ DES ENTREPRISES
Phishing, malwares, « attaque au président »… 8 entreprises sur 10 ont subi des cyberattaques ces douze derniers mois, selon un sondage OpinionWay pour le Cesin. Le Cesin (Club des experts de la sécurité de l’information et du numérique) publie la 4e édition de son baromètre de la cybersécurité des entreprises en France. 174 membres, dont 84% de RSSI de grandes sociétés et administrations, ont été interrogés. Selon le sondage OpinionWay pour le Cesin, 80% des organisations ont été la cible d’une ou plusieurs cyberattaques au cours des douze derniers mois. Malgré ce taux élevé, le nombre d’attaques est resté stable par rapport à l’an dernier pour une majorité (53%). En revanche, la proportion d’entreprises déclarant un impact négatif sur leur activité a augmenté de 10 points à 59%. Le ralentissement de la production (pour 26% des organisations visées) et l’indisponibilité temporaire d’un site web (23%) sont les effets des cyberattaques sur « le business » les plus souvent cités. Les retards de livraison (12%), la perte de chiffre d’affaires (11%) et l’arrêt de la prodution « pendant une période significative » (9%) arrivent ensuite. HARPONNAGE ET INGÉNIERIE SOCIALE Les entreprises visées ont été la cible de cinq types différents d’attaques en moyenne en douze mois. Le phishing (hameçonnage) ou spear phishing (harponnage) est le type d’attaque le plus souvent constaté (73%). Les cyber-escrocs utilisent donc encore largement l’email ou tout site web contrefait pour obtenir et détourner des données personnelles à l’insu d’individus et de corporations. Les escrocs peuvent également cibler spécifiquement des personnes dans l’entreprise et se faire passer pour un dirigeant afin d’obtenir un virement bancaire. Cette « arnaque au président » est citée par 50% du panel. Elle devance ainsi les attaques par logiciels malveillants (malwares) et rançongiciels (ransomwares) (44% des reponses respectivement). Suivent les techniques d’ingénierie sociale utilisées pour tromper le chaland (40%). CLOUD, IA, IOT Le partage accidentel ou intentionnel de données sensibles n’est pas le seul gros risque à gérer pour les RSSI. LeShadow IT l’est aussi. Ainsi, les professionnels de la sécurité des systèmes d’information s’inquiètent également de la diffusion de services cloud hors contrôle de l’IT et de l’utilisation d’applications non approuvées (64%). En outre, 80% des RSSI estiment que la sécurisation des données stockées dans le cloud requiert des solutions spécifiques en plus des outils fournis par des prestataires. Ils s’intéressent aussi aux solutions de protection ou de détection basées sur l’intelligence artificielle (IA). 56% déclarent que de telles solutions sont déjà déployées et en production. 33% envisagent de le faire. Toutefois, lorsqu’il est question de décision et de remédiation, 55% des répondants estiment que l’IA ne doit pas décider à la place de l’humain. Les RSSI qui redoutent de nouvelles failles liées à l’Internet des objets (IoT) en entreprise, veulent donc garder le contrôle. 5% DU BUDGET IT Qu’en est-il des budgets alloués pour gérer le risque ? Dans 59% des entreprises interrogées, la sécurité représente moins de 5% du budget IT. Toutefois, près de 6 organisations sur 10 prévoient d’augmenter les budgets alloués à la protection des cyber risques dans les mois à venir. Par ailleurs, 84% des entreprises souhaitent acquérir de nouvelles solutions techniques (84%) dans ce domaine. Enfin, une entreprise sur deux envisage d’augmenter les effectifs dédiés. Mais la pénurie de profils en sécurité freine les recrutements pour 91% des répondants. Source : https://www.cesin.fr/article-cybersecurite-comment-les-cyberattaques-impactent-lactivite-des-entreprises-siliconfr.html Pour en savoir plus, contactez nos services
COMMENT ÉVITER LES FAUX ORDRES DE VIREMENTS INTERNATIONAUX (FOVI) ?
Les FOVI (Faux Ordres de Virement) communément appelés « arnaques au président » sont des attaques très ciblées qui consistent, par de manœuvres frauduleuses, à obtenir de la part d’une entreprise victime un virement bancaire indu sur des comptes étrangers et portant généralement sur des sommes importantes. Les FOVI, qu’est-ce que c’est ? Sous leur forme utilisée de nos jours, les arnaques par FOVI s’effectuent par l’envoi de messages électroniques ou par appels téléphoniques. L’arnaqueur demande à l’entreprise d’effectuer un virement en urgence sur un compte généralement à l’étranger. Et ce, sous prétexte d’une opération confidentielle, mais cruciale pour l’entreprise. Étape 1 : social engineering L’arnaqueur constitue d’abord l’ingénierie sociale de l’entreprise cible. Il achète par internet, auprès d’organismes tels qu’Infogreffe, les informations pertinentes sur l’entreprise (extrait K-bis, procès-verbaux d’assemblée générale, endettement, comptes annuels, etc.). Il effectue ensuite une recherche internet complète sur l’entreprise à savoir l’effectif du personnel, le logo, les dossiers profils sociaux des dirigeants, parfois même « le mot du directeur ». Tout ceci lui donne une vision complète de l’entreprise, son langage et son fonctionnement. Étape 2 : arnaque proprement dite Suffisamment renseigné, l’escroc se fait alors passer pour le président ou l’un des dirigeants de l’entreprise. Dans ses messages électroniques ou appels téléphoniques, il va insister sur le caractère confidentiel et crucial du virement pour l’entreprise. Ainsi faisant, il va presser les assistants de direction et les secrétaires comptables à agir avec promptitude et diligence et à suivre ses instructions. Notez que vous pouvez prévenir ce genre d’arnaque par la mise en place de logiciels antispam, anti-ransomware externalisés tels que Altospam. Il peut aussi procéder en justifiant cette demande inhabituelle par la réalisation d’une opération boursière, l’imminence d’un contrôle fiscal, et utilise des stratagèmes psychologiques tels que la flatterie ou la menace. Le FOVI « classique » Supplanté depuis 2011 par les autres modes de FOVI, il reste toutefois d’actualité. Ces faux ordres de virement, apposés de la signature usurpée du dirigeant d’une entreprise, sont adressés par courrier ou par fax, à la banque de l’entreprise visée. Pour ne pas trop attirer l’attention des banquiers qui les reçoivent, ils portent généralement sur des sommes inférieures à 10 000 €. Dans un premier temps, un individu soi-disant dirigeant de l’entreprise téléphone à la banque pour faire état du changement du numéro de téléphone de sa société. Puis, quelques jours plus tard, il transmet à la banque, un (faux) ordre de virement traditionnel. Le banquier fait généralement un contre-appel, afin de vérifier l’effectivité de la demande de transfert de fonds. Son interlocuteur, qui est en fait l’escroc lui-même ou un complice, lui confirme alors l’ordre de virement. Le taux de réussite de ce type de FOVI est devenu faible. En effet, les banquiers connaissent généralement bien leurs clients et sont sensibilisés régulièrement sur les différents modes opératoires utilisés par les escrocs, par l’Office Central pour la Répression de la Grande Délinquance Financière. Vous pouvez bien sûr en savoir plus sur l’OGRGDF et ses attributions. Le FOVI par « mail-phishing », à la nigériane Dans ce type d’escroquerie, les auteurs, agissant à partir de l’Afrique subsaharienne, interfèrent exclusivement par un courrier électronique (jamais par téléphone), dans une transaction en cours entre une entreprise française et son fournisseur asiatique. Voici deux cas d’escroquerie vécue par des entreprises locales. Cas d’une entreprise spécialisée dans le domaine de la puériculture Le 6 août 2013, une S.A.S. clermontoise recevait un mail à entête de l’un de ses sous-traitants à Taiwan, l’informant que, suite à des dysfonctionnements bancaires, le paiement de la prochaine facture, qui en l’occurrence s’élevait à 94 213 $, devrait s’effectuer au bénéfice d’un nouveau compte bancaire « plus sécurisé », ouvert au nom d’une société britannique, à la Barclay’s Bank en Grande-Bretagne. Dès le lendemain, la facture était réglée par virement vers ce nouveau compte. Douze jours plus tard, le dirigeant de la S.A.S. clermontoise apprenait que son vrai partenaire asiatique n’avait aucunement changé de compte bancaire et qu’il attendait toujours les 94 213 $ qui lui étaient dus. L’auteur de cette escroquerie, qui avaient clairement connaissance des rapports commerciaux habituels entre la société clermontoise et son sous-traitant à Taïwan, avait utilisé une adresse mail identique, à une lettre près, de la véritable adresse de la société asiatique. Par ailleurs, l’entête et la signature électronique du mail frauduleux étaient conformes, mais la police d’écriture utilisée pour le corps du message était différente de celle utilisée habituellement par le fournisseur. Cas d’une entreprise spécialisée dans les semences Le 1er octobre 2013, la comptable de la société anonyme auvergnate recevait sur sa messagerie professionnelle, un courriel dont le texte était le suivant : « Bonjour. Merci d’établir le règlement de la facture ci-jointe immédiatement. Veuillez vous mettre en contact avec Mr Olivier Lefébure, de l’Autorité des Marchés Financiers, pour la remise des coordonnées bancaires. Merci pour votre rapidité dans la transaction financière en cours. Afin de conserver toute discrétion (AMF), merci de ne pas répondre à ce mail. » Coordonnées : lefebure.amf@mail.com. Le PDG. Les trois « ingrédients » des FOVI se retrouvent dans ce mail : L’autorité (en l’occurrence des Marchés Financiers, mais aussi celle du PDG) ; L’urgence ; La confidentialité. S’agissant d’une société régulièrement visée par ce genre d’attaque, la comptable avait été sensibilisée sur le fléau. Elle n’a donc pas donné suite au mail frauduleux et a de suite avisé son service juridique. Le vrai PDG a déposé plainte pour tentative d’escroquerie et pour usurpation de son identité. L’escroquerie « au président » Cette technique est de loin la plus redoutable. Elle est à l’origine de tous les virements frauduleux supérieurs au million d’euros et n’est pas accessible à tous les arnaqueurs. En effet, elle requiert une autorité naturelle, un certain aplomb et, il faut bien le reconnaître, un don pour la comédie. Apparue en 2011, elle a permis à des escrocs d’origine franco-israélienne de faire partir vers différents pays et principalement la Chine, des sommes d’argent comprises entre 50.000 et 14.000.000 €, en fonction de la taille de l’entreprise visée. Très rapidement, ces sommes sont rapatriées en Israël. Dans ce type d’arnaque, l’escroc s’adresse par téléphone, à un employé du service comptabilité ou trésorerie d’une entreprise, généralement en se faisant