Fraude à l’identité en ligne
La fraude à l’identité en ligne a connu une forte croissance en 2021 ; une tendance qui devrait se confirmer en 2022, explique Michael Ford, d’Onfido. Depuis le début de la pandémie, les entreprises ont été contraintes de déplacer leurs opérations en ligne ; une réelle opportunité pour les pirates, escrocs et autres fraudeurs. On aurait pu penser qu’avec la réouverture du monde « physique », les choses allaient progressivement revenir à la normale. Pourtant, la fraude à l’identité en ligne a connu une forte croissance en 2021 ; une tendance qui devrait se confirmer en 2022, explique Michael Ford, d’Onfido. Fraude à l’identité en ligne : Fuites de données 2021 s’est révélée une année très active en matière de fraude à l’identité. Déjà en 2020, les pertes liées à l’usurpation d’identité avaient augmenté de 42% pour atteindre 712 milliards de dollars, et depuis 2019, la fraude aux documents d’identité a augmenté de 44%. Cette tendance ne devrait pas changer en 2022 : les consommateurs ont pris l’habitude d’effectuer des transactions en ligne, et les fraudeurs vont donc les suivre sur le net. Ce phénomène est difficile à arrêter, car les données récupérées par les pirates informatiques au cours de leurs attaques leur permettent de commettre de nouveaux crimes. Les entreprises, leurs collaborateurs et les consommateurs continueront d’être ciblés de toutes parts : à travers des attaques de type hameçonnage ciblé, de compromission de messagerie d’entreprise ou de piratage de comptes. Compromission de réseaux La compromission de réseaux restera fortement d’actualité en 2022. Alors que les rançongiciels restent l’une des méthodes préférées des fraudeurs, on constate également une prévalence croissante de la récupération de données par des malwares sur mobiles et des attaques de type « homme du milieu » (ou Man-in-the-Middle attack – MITM). Cette technique permet aux hackers de recueillir sur les entreprises des renseignements qu’ils utiliseront pour mieux les attaquer. Il est donc important que les entreprises vérifient régulièrement leurs sites web pour s’assurer que des données sensibles qui pourraient être utilisées contre elles ne soient pas exposées. La fraude aux données synthétiques Les 12 derniers mois ont également vu une augmentation de la fraude dite « sophistiquée », comme les attaques de données synthétiques, qui impliquent la fusion d’informations réelles et fausses. Les fraudeurs commencent également à utiliser des « deepfakes », en générant grâce à l’intelligence artificielle de fausses vidéos dans lesquelles le visage ou la voix de la personne d’origine sont remplacés par ceux d’une autre personne ; on parle alors de fraude par vidéo synthétique ou voix synthétique. Ces fausses vidéos peuvent être utilisées pour contourner les systèmes de sécurité par reconnaissance vocale d’une banque, par exemple. La fraude aux cryptomonnaies : Les cryptomonnaies sont amenées à représenter une cible de plus en plus importante. Parmi les méthodes employées régulièrement, le « cryptojacking » consiste pour les fraudeurs à convaincre leurs victimes de cliquer sur un lien malveillant et d’utiliser leur terminal pour miner des crypto-monnaies pour leur compte. Le code de minage est ensuite chargé sur un ordinateur cible, qui peut ainsi voler des cryptomonnaies dans d’autres portefeuilles numériques, ou utiliser l’ordinateur détourné pour miner des cryptos de valeur. Les fraudeurs peuvent aussi cibler directement les personnes par des arnaques aux investissements en cryptomonnaies – une méthode de plus en plus efficace étant donné la popularité croissante d’un grand nombre de cryptos. Les escroqueries par ingénierie sociale ou coercition Les escroqueries par ingénierie sociale resteront l’une des méthodes préférées des fraudeurs, car elles demandent peu de sophistication technologique. Elles constituent souvent la deuxième vague d’une attaque, en utilisant les informations recueillies via un vol de données pour « prouver » leur légitimité. Ce type d’attaque est difficile à détecter car les fraudeurs n’ont pas besoin d’interagir directement avec l’entreprise qu’ils ciblent ; ils convainquent les victimes qu’elles le fassent elles-mêmes. Les outils de détection standard considèrent que les paiements sont légitimes puisqu’ils sont effectués depuis le terminal certifié de l’utilisateur et que les victimes passent toutes les étapes d’authentification. La lutte contre ce phénomène passe par l’éducation des consommateurs. La fraude à l’identité en ligne s’amplifie donc depuis plusieurs années et 2022 ne devrait pas déroger à cette tendance ; les entreprises doivent donc continuer à s’armer. La vérification d’identité en ligne biométrique, combinant vérification de l’authenticité des pièces d’identité et vérification de l’identité du détenteur grâce à des caractéristiques physiques (biométrie, visage, empreinte digitale…), peut constituer une solution pérenne. En effet, elle permet d’augmenter rapidement la sécurité tout en étant capable d’évoluer pour intégrer les nouvelles tendances technologiques en matière de fraude. Source : Zdnet
33 millions d’euros volés : nouveau record pour «l’arnaque au président» en france
Arnaque au président : Un faux PDG a envoyé de vrais ordres de virement à la responsable de la comptabilité d’un promoteur immobilier parisien. Le promoteur y a donné suite avant de se rendre compte de l’arnaque. Une plainte a été déposée. « Toute l’équipe de Sefri-Cime vous souhaite de passer d’agréables fêtes de fin d’années entourés de vos proches ! Qu’elles soient remplies de petits et de grands bonheurs », peut-on lire sur la page Facebook de ce promoteur immobilier parisien. Difficile d’imaginer que derrière les mots sympathiques et les photos de lots immobiliers aguicheurs, l’entreprise vient de se faire délester de 33 millions d’euros par des escrocs ayant utilisé « l’arnaque au président »… Les fraudeurs missionnent un faux avocat Le 2 décembre, relate Le Parisien, la responsable de la comptabilité de cet « acteur historique de l’immobilier résidentiel en France » reçoit un e-mail provenant d’un escroc. L’imposteur se fait passer pour le directeur général de Sefri-Cime et demande la plus grande confidentialité quant aux échanges, expliquant qu’il prépare l’entrée en Bourse de la société. Pour parfaire ce narratif, les malfrats missionnent un faux avocat, qui ordonne à la comptable de procéder à une quarantaine de virements en direction de comptes bancaires à l’étranger. Le 29 décembre, une autre comptable de la société reçoit un mail des escrocs. Elle flaire l’arnaque et alerte sa hiérarchie. La direction dépose une plainte au commissariat du XIVe arrondissement et demande à sa banque de bloquer les transactions en cours, ce qui aurait permis au promoteur de récupérer 3 millions d’euros. Mais le préjudice colossal s’élève à 33 600 000 euros pour Sefri-Cime, selon les informations du quotidien francilien. Une somme record pour ce type d’arnaque en France. Une arnaque qui continue de se développer Bien qu’existant depuis 2010, cette fraude continue de faire des victimes chaque année, et profite même de l’essor du télétravail pour se développer, comme l’explique le site techtalks. Selon le baromètre 2020 «Etude sur la fraude” du cabinet Euler Hermes, la fraude au président, en hausse notable, est devenue l’une des principales cyberattaques dans le monde (la troisième d’après le cabinet). Pour se prémunir de ces arnaques très lucratives pour la grande criminalité, l’Office central de répression de la grande délinquance financière conseillait en avril 2020 auprès de Franceinfo, de « ne pas céder à l’urgence même si les circonstances peuvent nous y pousser. Rester calme. Parler de la commande avec un autre collègue pour voir quel est son avis. Et dans le moindre doute, contacter sa banque pour essayer de rapatrier les fonds avant de venir éventuellement déposer plainte ». Source : L’Alsace
Mata io aux journées de l’afte les 16 et 17 novembre 2021
MATA et ses partenaires vous accueilleront avec plaisir lors des Journées du Trésorier qui auront lieu les 16 et 17 novembre prochains au Palais BRONGNIART à Paris. A cette occasion, venez jouer avec nous à la Fraudster Party et gagnez le prix du meilleur détective ! Intrigue : Le célèbre fraudeur Frank Fraudster planifie l’élaboration d’une fraude à l’encontre d’une grande entreprise américaine. Pour accomplir son noir dessein, il va suivre des étapes précises : Déterminer sa cible : que veut obtenir Frank ? Quelle entreprise peut-il escroquer pour arriver à ses fins ? Obtenir des renseignements : Frank cartographie la société ciblée. Organisation technique : Création de la fausse identité, de la fausse société et ouverture d’un compte en banque. Mise en œuvre de la fraude : Frank entre en contact avec ses cibles. Après la fraude : que devient l’argent ? Suivez le parcours de Frank Fraudster et attrapez le si vous pouvez ! Si vous souhaitez vous inscrire au salon
Signature ebics ts : les avantages d’une signature bancaire universelle
Pascal, Responsable commercial chez MATA, nous expose en quelques mots les avantages de l’harmonisation de la signature bancaire universelle avec Ebics TS. Pour lutter contre les fraudes, EBICS a évolué vers EBICS TS, le mode de communication sécurisé entre la banque et l’entreprise le plus efficace en France. EBICS est un protocole d’échanges Banque/Entreprises fonctionnant sous IP, et utilisant le réseau internet pour véhiculer les fichiers. Il permet d’échanger tous types de fichiers sans limite de volume. L’évolution d’EBICS T, EBICS TS, est apparu rapidement pour remplacer l’ancien protocole ETEBAC 5 en offrant la possibilité d’apposer une signature électronique à ses fichiers de règlements. Le token permet de sécuriser la signature En EBICS TS la signature est donc intégrée, elle se fait à partir d’un support physique externe qui contient un certificat numérique : le Token de signature. Il existe plusieurs autorités de certification à même de délivrer des tokens de signature : Swift 3SKey, Certeurope, Keyneticks, ClicNTrust… L’entreprise utilisatrice acquiert ces tokens, auprès d’une de ses banques. Les tokens de signature sont nominatifs, déclarés contractuellement à la banque et de ce fait, les règlements signés électroniquement sont non répudiables et exécutables de suite. Les tokens de signature sont utilisables pour l’ensemble des contrats EBICS T/S de l’entreprise avec ses différents partenaires bancaires. EBICS TS EST INFAILLIBLE ? EBICS est très fiable. Il est véhiculé par le protocole HTTPS, qui assure le chiffrement de la liaison. Mais il s’appuie également sur des certificats permettant l’authentification réciproque des parties, ainsi que le chiffrement des messages XML. Encore faut-il être certain du contenu des fichiers qui sont envoyés par EBICS. Il revient à l’entreprise de mettre en place tous les moyens de contrôle nécessaires pour s’assurer de la fiabilité des comptes payés, avec une offre comme Mata I/O Sécurité. La maîtrise du déploiement du protocole EBICS par MATA est complète, une expertise qui permet de garantir le niveau de sécurité attendu, mais aussi de sécuriser vos données en amont, c’est-à-dire avant la signature électronique & les transmissions des fichiers. MATA IO SECURE-E-LINK permet la vérification des IBAN notamment, évitant ainsi tout risque d’altération des fichiers AVANT l’entrée dans le logiciel de communication. Une solution complète dédiée aux entreprises ! Et si vous souhaitez en savoir plus sur nos outils contre la fraude en entreprise, découvrez notre solution Mata io ————————————————————–
Attaques par rançongiciel : que négocier avec son assureur ?
Face à la multiplication des attaques par rançongiciel, les entreprises doivent privilégier les contrats multirisques qui proposent des couvertures très larges des dommages et regarder de près la liste des exclusions prévues par leurs assurances. Les rançongiciels sont devenus la menace informatique la plus pesante pour les entreprises. La France serait le troisième pays le plus touché au monde, après l’Inde et l’Australie, par ce type d’attaques. Axa est la première compagnie d’assurance internationale à réagir face à la croissance de ce type de cybermenaces. Elle a annoncé début mai que ses polices d’assurances ne prendraient désormais plus en charges les frais engagés par les entreprises qui ont cédé aux ransomwares et qui ont payé la rançon. D’autres compagnies pourraient suivre le mouvement. Une réaction peu surprenante – les autorités ayant demandé à stopper cette pratique de paiement systématique des rançons- qui oblige les entreprises à vérifier leur politique d’assurance. Selon Marine Hardy, directrice des Pôles Innovations et Sécurité au sein du cabinet Itlaw, les entreprises doivent en premier lieu se renseigner sur la couverture de leur contrat d’assurance. » Certaines polices sont négociées au niveau du groupe et non par filiale, ou pour différents services. Il est donc intéressant d’avoir une cartographie et une analyse globale pour éviter de contracter une assurance que l’on a déjà et surtout de se rendre compte des termes exacts de la couverture et notamment de son étendue. Le marché cyber étant évolutif et inventif, il peut être judicieux de ne pas s’enfermer dans un contrat qui ne couvre que certaines fraudes afin de ne pas devoir négocier des extensions de garanties chaque année. Il est important de clarifier les définitions et les terminologies afin de bénéficier d’une couverture des risques exempte d’ambiguïté », explique-t-elle. Négocier les frais de procédure et les possibles sanctions administratives Les entreprises doivent ainsi privilégier les contrats qui proposent des couvertures très larges des dommages comme les pertes des données et l’ensemble des frais opérationnels, informatiques et juridiques liés à l’attaque (frais d’expertise, de gestion de l’incident et de la crise, frais de reconstitution des données, réparation du système d’information, frais liés à une enquête administrative). » Certains assureurs proposent également la prise en charge des frais de procédure, ce qu’il est intéressant d’anticiper car le volet pénal est une composante du risque cyber « , ajoute Marine Hardy. Il faut par ailleurs regarder de près la liste des exclusions prévues par les contrats d’assurance. Certains prévoient des clauses d’exclusion classiques -si la fraude est déjà connue des assurés par exemple-, qui engendrent la non prise en charge en cas du risque. » Certains assureurs ont adapté leurs exclusions de garantie aux spécificités du risque cyber et refusent depuis peu d’indemniser leurs clients qui n’ont pas oeuvré dans la prévention des sinistres informatiques. Ainsi, de nombreux contrats d’assurance imposent le suivi d’un panel de mesures à mettre en oeuvre tel que par exemple la mise en oeuvre de sauvegardes récurrentes permettant la reconstitution des données, des modalités de changements de mots de passe régulièrement, d’utiliser certains programmes sécurisés, de mener des actions de sensibilisation envers les salariés et les clients. Pour être couvertes, les directions financières et informatiques vont donc devoir prouver qu’elles ont mis en oeuvre ces mesures. Il faut donc identifier et lister avec son assureur les dispositifs à mettre en place afin de les insérer dans le contrat d’assurance, et ainsi s’assurer que telle action suffit à obtenir une indemnisation « , analyse l’avocate. Dernier point à négocier avec son assureur : la prise en compte dans sa police d’assurance des sanctions administratives financières par exemple de la CNIL. Toutefois, le sujet de la légalité de telle police d’assurance fait encore débat. » Quand on connaît une attaque cyber, il y a très souvent par la suite des contrôles et des sanctions financières de la part des autorités de contrôle qui infligent des amendes aux entreprises négligentes au regard de leurs obligations de protection des données « , constate Marine Hardy. Source : Daf-Mag Pour en savoir +, contactez-nous
ING : UNE FRAUDE VIA APPLE PAY TRÈS SOPHISTIQUÉE
Votre banque vous appelle pour vous signaler une tentative de fraude via Apple Pay ? Attention ! C’est par ce stratagème que des clients d’ING se sont fait avoir ! Et cette fraude est particulièrement dangereuse puisque faire opposition sur la carte ne suffira pas… Une fraude via Apple Pay « J’ai été, comme de nombreux autres clients d’ING victime d’un phishing très élaboré reposant sur Apple Pay », nous alerte cette semaine un lecteur. En effet, le cas de ce client n’est pas isolé, comme en témoigne la discussion en cours sur le site communautaire d’ING. Un client explique avoir reçu un appel, fin juin, provenant d’un numéro identifié comme étant l’un de ceux utilisés habituellement par ING. La personne malveillante à l’autre bout du fil alerte ce client d’activités suspectes sur son compte courant… avec « tentatives de prélèvements d’argent par le système Apple Pay ». Le fraudeur se montre très persuasif malgré la méfiance du client, et il parvient à le convaincre de modifier ses identifiants ING en ligne, puis à activer Apple Pay via un code reçu sur le smartphone du client. « En rentrant du travail, je me rends compte que je me suis probablement fait avoir et je me connecte sur mon compte. Je constate alors plusieurs prélèvements d’un montant total de 1 343,60 euros », poursuit ce client. S’enclenche alors un cycle d’appels au service client, et des nouveaux prélèvements frauduleux malgré l’opposition immédiate faite par ce client sur sa carte bancaire. Contactée par MoneyVox, la banque confirme avoir été sollicitée « par quelques clients qui ont été victimes de fraudes » : « Ces fraudes commencent le plus souvent par du phishing : les fraudeurs ont récupéré des informations sur les clients sur internet ou en se faisant passer pour des tiers de confiance lors d’appels téléphoniques. Ils utilisent des sites qui proposent de choisir le numéro qui s’affiche quand on appelle, afin que ce soit le numéro d’ING qui apparaisse quand ils appellent. (…) Jamais un conseiller ING ne demandera ses codes personnels à un client, ni de faire un virement pour une quelconque raison. » ING ajoute une précision d’importance concernant l’opposition réalisée sur la carte bancaire du client : « Il faut rappeler qu’Apple Pay n’est pas lié à une carte bancaire en particulier, mais à un “token”, un identifiant unique. Ce token a visiblement été installé sur le téléphone des fraudeurs avec l’aide des informations que les clients leur ont communiquées, car le processus d’activation d’une carte dans Apple Pay est soumis à une double authentification. » Cette subtilité rend cette fraude encore plus piégeuse… La banque affirme lutter « avec la plus grande fermeté » contre toutes les arnaques dont sont victimes ses clients. La complexité de cette fraude et sa résolution hypothétique incitent toutefois plusieurs clients à porter plainte contre leur banque, comme ils l’affirment sur le site communautaire. Suite à cette fraude sophistiquée, se lance donc un feuilleton opposant banque et clients… Fraude : la délicate question de la négligence Qui est responsable ? Et in fine qui doit payer la facture de la fraude ? Ces mêmes questions se posent systématiquement à chaque affaire de phishing. Dans l’absolu, sans présager de l’issue du conflit opposant sur cette affaire ING à plusieurs clients victimes, il faut savoir que la réglementation limite fortement les risques pour les clients bancaires, face à la fraude. Lorsqu’une affaire est portée en justice, c’est à la banque de prouver que le client a été particulièrement négligent. Source : Moneyvox
COVID, CYBER, CONFORMITÉ ET ESG : LE TOP 4 DES RISQUES DU SECTEUR FINANCIER
Selon un nouveau rapport d’Allianz Global Corporate & Specialty (AGCS), intitulé Financial Services Risk Trends: An Insurer’s Perspective, les établissements financiers et leurs administrateurs évoluent dans un monde en rapide mutation, marqué par des risques nouveaux et émergents, générés par leur exposition cyber, due à leur dépendance à la technologie, au durcissement de la réglementation (conformité) et à la crise de la Covid-19. Dans le même temps, de nombreuses parties prenantes examinent de plus en plus attentivement leur comportement et leur culture en matière de développement durable, de pratiques d’emploi, de diversité et d’inclusion, et de rémunération des dirigeants. Dans son rapport, AGCS met en évidence les principales tendances de risques pour les banques, sociétés de gestion, fonds de capital-investissement, assureurs et autres acteurs du secteur des services financiers. D’après le classement du Baromètre des risques 2021 d’Allianz, qui analyse les opinions de plus de 900 professionnels, les incidents cyber, la pandémie et l’interruption d’activité sont les trois principaux risques. Arrivent ensuite les évolutions législatives et réglementaires, concernant notamment les questions ESG et le changement climatique. Les évolutions macroéconomiques, telles que la hausse du risque de crédit et l’environnement de taux d’intérêt bas, se placent en cinquième position. Les conclusions du baromètre des risques sont confirmées par l’analyse d’AGCS, effectuée sur 7 654 sinistres survenus dans les services financiers au cours des cinq dernières années, et s’élevant à quelque 870 millions d’euros. Les incidents cyber, y compris d’origine criminelle, se classent en première position par le montant des pertes, suivis d’autres causes majeures de sinistres, comme la négligence et les actions dérivées, intentées par les actionnaires. L’impact de la Covid-19 Les établissements financiers redoutent les effets probables des mesures mises en place par les gouvernements et les banques centrales contre la pandémie : baisse des taux d’intérêt, augmentation de la dette publique, ou réduction progressive des aides et prêts aux entreprises. D’importants ajustements ou corrections des marchés (actions, obligations ou crédit) pourraient multiplier les litiges avec les investisseurs et les actionnaires. La hausse du nombre de défaillances d’entreprises pourrait aussi peser sur les bilans de certains établissements financiers. Les risques cyber : une exposition élevée malgré un important investissement dans la sécurité La Covid-19 offre également un terrain favorable aux délinquants qui profitent de la crise, avec le développement rapide et imprévu du télétravail, du commerce électronique et du numérique. Malgré un fort investissement en cyber-sécurité, les entreprises de services financiers sont une cible attrayante. Elles font ainsi l’objet de nombreuses cyber-menaces, telles que la compromission d’e-mails, le ransomware, le “jackpotting” – ou piratage de distributeurs automatiques – et l’attaque de chaînes d’approvisionnement. La récente affaire SolarWinds, qui a visé des banques et des organes de l’administration, a mis en évidence la vulnérabilité du secteur financier aux pannes de système, en raison de sa dépendance aux prestataires de services tiers. La plupart des établissements financiers utilisent aujourd’hui des logiciels cloud, ce qui accroît leur dépendance à un petit nombre de prestataires. Lorsque la situation tourne mal, ils sont exposés à des risques élevés d’interruption d’activité, mais aussi de responsabilité civile. Les prestataires de services tiers peuvent constituer le maillon faible de la cyber-sécurité. Une banque cliente a récemment subi une importante violation de données, parce qu’un prestataire tiers n’avait pas supprimé des informations personnelles avant de mettre un matériel au rebut. La façon dont les établissements financiers pilotent les risques liés au cloud s’avérera essentielle à l’avenir. Ils transfèrent déjà une grande part de leurs responsabilités en matière de cyber-sécurité à des tiers. Les risques de conformité liés à la cyber-sécurité, aux crypto-monnaies et au changement climatique Dans son rapport, AGCS fait état d’une évolution radicale dans la vision réglementaire de la confidentialité des données et de la cyber-sécurité, au cours de ces dernières années. Celle-ci a entraîné un foisonnement de règles auxquelles les banques doivent se conformer. Contrôles plus stricts, amendes et pénalités plus élevées, mise en cause de la responsabilité civile, actions en justice… les conséquences d’une violation de données peuvent être considérables. Après plusieurs pannes de système touchant des banques et des sociétés de services de paiement, les régulateurs s’intéressent de plus près à la continuité d’exploitation, à la résilience opérationnelle et à la gestion du risque de responsabilité civile. Les entreprises doivent non seulement veiller à leur cyber-sécurité, mais aussi mettre en œuvre une politique de conformité et de confidentialité. Les applications des nouvelles technologies – intelligence artificielle (IA), biométrie et monnaies virtuelles – pourraient créer d’autres risques et responsabilités, notamment en matière de conformité et de réglementation. En ce qui concerne l’IA, plusieurs enquêtes du régulateur américain ont déjà été ouvertes pour des préjugés implicites dans les algorithmes d’évaluation du risque de crédit. Un certain nombre d’actions en justice visent également la collecte et l’utilisation de données biométriques. Par ailleurs, l’acceptation grandissante des monnaies virtuelles et autres crypto-monnaies en tant que classe d’actifs présente des risques opérationnels et réglementaires pour les établissements financiers. L’éventualité de bulles d’actifs s’ajoute aux préoccupations concernant le blanchiment de capitaux, les attaques par ransomware, les risques de responsabilité civile, voire les questions ESG, telles que la consommation d’énergie liée au “minage” ou à la création de crypto-monnaies. Enfin, la croissance des investissements sur les marchés actions, encouragée par les réseaux sociaux, provoque des suspicions de vente abusive, qui constitue déjà l’une des principales causes de sinistres d’assurance. La montée en puissance des questions ESG Les banques et les marchés financiers apparaissent comme d’importants acteurs du changement pour lutter contre le réchauffement climatique et encourager le développement durable. Là encore, c’est la réglementation qui impose son rythme. Depuis 2018, plus de 170 dispositions sur les ESG ont été introduites dans le monde, dont une grande partie en Europe. Pour les prestataires de services financiers, la profusion des normes, l’hétérogénéité des approches entre pays et le manque de données disponibles soulèvent des difficultés majeures sur le plan opérationnel et de la conformité. « En ce qui concerne les critères ESG, les services financiers sont en avance sur de nombreux autres secteurs. Ces questions resteront toutefois un facteur important
LES 5 PRINCIPALES MENACES DES CYBERCRIMINELS VISANT LE SECTEUR BANCAIRE
Selon une étude VMware Carbon Black : le secteur bancaire a connu une recrudescence d’attaques informatiques des cybercriminels en 2020. Désormais sur un système ouvert, l’infrastructure est fragilisée et ce secteur doit faire face à des méthodes de plus en plus sophistiquées. Aujourd’hui, les institutions financières sont confrontées à une vague de logiciels malveillants développés sur mesure ainsi qu’à l’attaque sans fichier (fileless attack), désormais répandue. C’est ce que confirment les auteurs de la dernière enquête du bureau d’études spécialisé VMware Carbon Black menée auprès des responsables de la sécurité informatique des plus grandes institutions financières du monde, les cybercriminels ont profité des brèches favorisées par le recours accru au télétravail pour multiplier les attaques. « Les logiciels malveillants sont souvent utilisés dans des campagnes plus longues et plus complexes. L’objectif est d’exploiter les outils natifs du système d’exploitation pour rester invisible ou prendre pied sur un système (parfois un partenaire de la chaîne d’approvisionnement) pour se rendre sur une cible plus importante et plus lucrative », lit-on dans ce rapport. Voici quelques chiffres clés extraits de cette enquête : 38 % des institutions financières ont connu une augmentation d’attaques par Island Hopping, (piratage d’une société tierce en relation avec la cible). Cette technique, qui s’apparente à une réelle prise d’otage, détruit également la stratégie de marque des institutions financières en attaquant directement leurs clients. La moitié d’entre elles ont observé une augmentation des fraudes par virement électronique, que ce soit via des attaques du type « l’homme du milieu » ou « man in the middle attack » (MiTM) ou de phishing. La même proportion a subi des attaques qui ciblaient les stratégies de marché. Les cybercriminels ont appris que l’actif le plus précieux d’une banque est l’information non publique sur le marché, qui peut être utilisée pour faciliter les attaques numériques d’initiés. Le piratage de l’ordinateur portable d’un gestionnaire de portefeuille permet aux cybercriminels de devenir omniscients. Voici les cinq principales menaces selon VMware Carbon Black : 1. Emotet, un cheval de Troie qui se propage principalement par le biais d’e-mails de spam contenant des documents ou des liens malveillants activés par des macros documents ou des liens malveillants activés par des macros. 2. Dridex, encore un cheval de Troie bancaire qui agit comme un voleur d’identifiants bancaires, un système de diffusion de ransomware et un système de contrôle d’accès à distance. 3. Trickbot est une menace qui cible le secteur financier, fournissant des modules qui prennent en charge le vol d’identifiants bancaires et de crypto-monnaies, ainsi que des ransomwares. 4. Qbot est également connu sous le nom de Qakbot. C’est une menace polyvalente qui prend en charge un certain nombre de modules (de l’accès à distance à l’authentification). 5. Hancitor est une menace moins connue qui a fait son retour au début de l’année 2021. Elle agit principalement comme un mécanisme de livraison pour une pléthore d’autres menaces. Elle a souvent utilisé des documents DocuSign pour inciter la victime à activer les pièces jointes malveillantes. Dans ce contexte délétère, 82 % des institutions financières interrogées prévoient d’augmenter leur budget de 10 à 20 %.La majorité des RSSI s’efforcent de combler leurs lacunes en matière de modernisation contextuelle et applicative. Leurs priorités d’investissement sont les suivantes : Détection et réponse étendues (XDR) (24 %) Le renseignement sur les menaces (23 %) Sécurité des Workloads (21 %) Sécurité des conteneurs (18 %). Pour VMware Carbon Black, la cybersécurité est devenue un impératif de protection de la marque. La confiance dans la sécurité et la fiabilité du secteur financier en dépendent. Mais ce secteur laisse trop trainer de données sensibles… Source : Itsocial
COMMENT BIEN INVESTIR DANS LA CYBERSÉCURITÉ ?
For a long time, some large companies, not all of them, did not sufficiently consider the importance of cybersecurity strategies. They have learned the hard way that it is better to invest to protect themselves than to suffer attacks. Today, while large companies are mobilizing the necessary budgets to protect themselves against cyber-attacks, in France, SMEs and ETIs still invest little in cybersecurity . These companies are less aware of the risks that accompany a cyber-attack , and consider that the protection of IS is a lesser issue for them since their notoriety, less important than large companies whose setbacks were still recently mentioned in the press, will not make a difference. they are the target of hackers . Mechanically, they therefore often wait to be victims of ransomware to understand that cybersecurity also concerns them. However, the GDPR has changed the situation. From now on, companies are legally obliged to reveal any security breach that would affect them to the general public and to the CNIL. Protecting oneself has therefore become an image issue for both small and large companies. However, this investment, while unavoidable, represents a non-negligible cost and new budgets. To assume them, two profiles emerge: some release lines and the corresponding budgets immediately, others want a financing plan over 3 to 5 years. In any case, each company must be able to invest according to its portfolio. Following the many technological developments , has the way of investing evolved ? The budgetary envelopes dedicated to cybersecurity have not changed drastically, but the way of investing is no longer the same. Indeed, the value of hardware has decreased, and software is gradually being replaced by software as a service (Saas). From an accounting point of view, these two types of investment are different: we no longer buy equipment, with a fixed cost that can be scaled ; now we are moving to a software subscription model . This new way of consuming cybersecurity tools is part of a context of the advent of outsourced solutions : more and more companies want to adopt a payment corresponding to a service. This evolution towards a SaaS mode is explained in particular by a modification of the infrastructures: where it was enough to protect a server on a defined zone a few years ago, today, in the era of mobile phones, tablets, and connected objects (the car fleet for example) the challenge for companies is to protect their nomadic users (whether they are their employees or their customers). What are the business benefits of investing in cybersecurity? Investing in cybersecurity in SaaS mode has many advantages for companies, including a lower investment cost since there is no structure to finance. In addition, the purchasing departments can request monthly payments according to the subscription, to stagger the expenditure if necessary. The challenge is to regulate these new practices by supporting publishers and resellers who are facing a sudden change in business model. When a publisher is accustomed to selling licenses and receiving the fee the moment the sale is made, switching to a subscription can cause significant cash flow problems: in 14/15 months, the working capital requirement is equivalent with a turnover of approximately one year! It is therefore necessary to put in place specific contracts to overcome this and help them to preserve their cash flow during this change. Of course, the two models can coexist. The publisher alone has the key to this development: it is he who drives this trend on the market . Microsoft did it for its Office suite, Cegid switched to a licensing model… The BFR issue is the same for resellers, moving from one model to another. It is necessary to support both publishers and its network of integrators in this development by adapting to their needs and creating specific tailor-made contracts (payment plans, so-called « subscription » or » subscriptions »). Source: DAF-MAG
COMMENT LE CDER A-T-IL PU SE FAIRE ARNAQUER DE PLUSIEURS MILLIONS ?
L’association de gestion et de comptabilité CDER, dont le siège se situe à Châlons, fait les frais d’une arnaque au faux président évaluée à plusieurs millions d’euros. Une enquête d’ampleur internationale est en cours. Née en 1956, l’association CDER, spécialisée dans l’expertise comptable, rassemble environ 700 collaborateurs basés pour la plupart dans la Marne, mais aussi les Ardennes, l’Aube et l’Aisne. Elle accompagne 12 000 clients dans des secteurs d’activité variés et s’impose comme la plus grande structure de ce genre en France. D’où le message adressé à ses adhérents suite à l’escroquerie aux faux ordres de virement international (Fovi) dont elle est victime. « Personne n’a eu accès aux données de nos adhérents, précise-t-on au service communication. Il ne s’agit pas d’une intrusion dans notre système informatique mais d’une usurpation d’identité. » En l’occurence, celle du président, Hervé Jacquinet, qui ne souhaite pas s’exprimer sur ce dossier tant que l’enquête est en cours. Les faits remontent à décembre et résultent d’un processus bien ficelé. D’abord, pirater la boîte mail et la ligne téléphonique du président pour se familiariser avec son style, ses expressions, puis cibler la personne en charge des affaires comptables au CDER. Ensuite, contacter cette personne sur WhatsApp et par mail en se faisant passer pour le président, et lui demander de réaliser les virements à l’étranger. Enfin, s’assurer qu’elle restera discrète sur ces transferts. « Ils ont prétexté le rachat d’une grosse entreprise via une opération boursière qui ne devait pas être divulguée pour l’instant, raconte Me Gérard Chemla, l’avocat du CDER. Ils ont aussi mis en scène le prétendu avocat d’affaires d’un cabinet parisien réputé, mais factice, pour rendre ces virements crédibles. » LA RESPONSABLE COMPTABLE MISE À PIED Assez crédibles pour répéter l’opération une dizaine de fois et détourner plusieurs millions d’euros sans même un seul contact avec le – vrai – président ou le directeur général ? « C’est une affaire rocambolesque, effectivement. Le télétravail et les échanges à distance développés à cause de l’épidémie n’ont pas aidé. De grandes entreprises ont déjà été victimes de cette mécanique redoutable. La responsable comptable a été manipulée pendant dix jours environ. » Son manquement à plusieurs procédures internes – le CDER évoque une « défaillance humaine avérée » – lui a néanmoins valu d’être mise à pied. UN MANQUE DE VIGILANCE DE LA PART DE LA BANQUE ? Tout aussi surprenant : l’absence de réaction de la banque face à ces mouvements d’argent. « Elle a laissé passer des virements colossaux et répétitifs, parfois trois dans la même journée, vers des banques étrangères. Il semblerait que la comptable ait été contactée par téléphone pour vérification, mais elle n’est pas la propriétaire du compte concerné. » Le CDER pourrait-il se retourner contre sa banque ? « C’est une question qu’il va devoir se poser, concède le défendeur. Deux plaintes ont été déposées pour escroquerie et usurpation d’identité. Les investigations suivent leur cours, notamment pour retrouver et bloquer une partie de l’argent versé dans plusieurs pays. » Les pertes ne seront pas prises en charge par les assurances dans un tel cas de figure. D’ores et déjà, l’association prévoit de renforcer ses procédures de contrôle. « Cette structure est solide. Il n’y aura pas de conséquence en termes d’exploitation, comme des licenciements par exemple. » Ses réserves financières, en revanche, risquent d’être lourdement entamées. Source : L’hebdo du vendredi