Les cybercriminels ont lancé une vague d'e-mails de hameçonnage de type « » liés à la guerre en Ukraine ; certains ciblent les travailleurs humanitaires venant en aide aux réfugiés, tandis que d'autres tentent d'inciter les destinataires à faire des dons en cryptomonnaie à de fausses associations caritatives ukrainiennes.
L'une des premières attaques de phishing de type « » signalées par , détectée le jour où la Russie a envahi l'Ukraine, contenait des pièces jointes infectées par des logiciels malveillants et visait le personnel de l'Union européenne chargé de gérer l'évacuation des réfugiés ukrainiens. Cette attaque était liée à un groupe de cybercriminels ayant des liens avec la Biélorussie.
À la mi-mars, le centre national britannique de signalement des fraudes avait reçu près de 200 signalements d’e-mails frauduleux prétendant collecter des fonds pour l’Ukraine, et un nouveau rapport publié par la société de sécurité informatique Cyren estime que les cybercriminels envoient plus de 100 000 faux e-mails de collecte de dons par jour.
Portant des objets tels que « Aidez les victimes de la guerre en Ukraine », ces e-mails proviennent souvent d'adresses usurpées et renvoient vers des sites web qui se présentent comme des associations caritatives ou comme faisant partie du gouvernement ukrainien.
Ces tentatives d'hameçonnage, qui proposent des moyens de faire des dons en cryptomonnaies telles que le Bitcoin et l'Ethereum, visent à dérober des informations personnelles et à détourner les fonds versés au profit de cybercriminels.
Bien qu’il existe bel et bien des sites légitimes de dons destinés aux réfugiés — les autorités ukrainiennes ont commencé en février à publier sur Twitter des appels aux dons en cryptomonnaies et ont depuis récolté quelque 67 millions de dollars —, les domaines frauduleux constituent un danger de plus en plus grand. Outre le fait de se faire escroquer de leur argent durement gagné, les personnes qui ouvrent ce type d'e-mails et cliquent sur les liens depuis un ordinateur professionnel ou lorsqu'elles sont connectées au réseau de leur entreprise s'exposent elles-mêmes ainsi que leur organisation à des risques.
Au cours de l'année écoulée, plus d'un quart (26 %) des salariés ont cliqué sur un e-mail de hameçonnage au travail, et près de la moitié (40 %) ont envoyé des e-mails professionnels et des données à la mauvaise personne, selon une étude récente intitulée « » menée par la société de cybersécurité Tessian auprès de 2 000 salariés aux États-Unis et au Royaume-Uni. De plus, troubling—15 % ont admis avoir envoyé par e-mail une pièce jointe erronée à un destinataire externe, ce qui a pu entraîner une fuite d'informations confidentielles.
Les conséquences sont graves :
- Les entreprises perdent des clients —Près d'un tiers des personnes interrogées (29 %) ont déclaré que leur entreprise avait perdu un client à la suite de telles erreurs (contre 20 % en 2020).
- Des salariés sont licenciés —Plus d'un cinquième (21 %) ont perdu leur emploi à la suite d'une « gaffe numérique » (contre 12 % auparavant).
Même si cette vague de nouveaux e-mails de hameçonnage n'a pas encore entraîné de licenciements massifs, elle ouvre la voie à une situation catastrophique. Un clic malencontreux peut entraîner un licenciement, à un moment où les employeurs ont déjà du mal à recruter de nouveaux collaborateurs dans le secteur des technologies et à fidéliser les anciens.
Les employeurs sont tenus de veiller à ce que leurs salariés soient informés, formés et vigilants. Au cours des dix-huit derniers mois, la rubrique « Endpoint » d’ a rendu compte des politiques et des points de vue des hauts responsables de la cybersécurité et des dirigeants d’entreprise qui jouent un rôle actif dans la formation d’un personnel plus compétent et plus avisé. Voici ce que les pionniers ont appris.
Chaque salarié doit contribuer à la défense en matière de cybersécurité
La cybersécurité ne relève plus uniquement des opérations informatiques (IT Ops) ou de la sécurité des opérations (SecOps) . Un exemple concret : la cyberattaque subie par le Health Service Executive (HSE), le plus grand employeur d'Irlande, qui chapeaute des milliers d'établissements de santé à travers le pays.
Le service de santé de l' , HSE, a été victime d'un piratage sur mars 2021, ce qui a entraîné le chiffrement de 80 % de ses données de santé, d'importantes perturbations des services et un nettoyage des logiciels malveillants qui aurait coûté 600 000 $. Tout a commencé lorsqu'un employé a cédé à la tentation d'un e-mail de hameçonnage et a cliqué sur un fichier Microsoft Excel malveillant.
“In 2020, Covid-19 was the powerful hook used to phish people. On constate aujourd’hui une recrudescence des escroqueries liées aux cryptomonnaies. »Jeff Hancock, professeur de communication à l'université de Stanford
Il est difficile de résister à ce genre d'e-mails. “In 2020, Covid-19 was the powerful hook used to phish people, tapping into people’s basic human need for health and safety,” noted Stanford University communication professor Jeff Hancock, in Tessian’s report, which he helped produce. « Nous constatons aujourd’hui une recrudescence des escroqueries liées aux cryptomonnaies. »
Même s'il est impossible d'éradiquer totalement les cyberattaques, il est possible de réduire considérablement les risques en formant correctement les employés. Tous les salariés.
C'est précisément ce qu'a fait récemment l'Arizona, en mettant en place une formation annuelle approfondie à la cybersécurité pour l'ensemble des fonctionnaires de l'État, soit 36 000 personnes au total.
Ce programme a marqué un tournant majeur en matière de politique. Et cette exigence s'appliquait à l'ensemble du personnel, des employés débutants jusqu'aux directeurs. Même si elles sont très occupées ou occupent des postes à responsabilités, si les personnes ne suivent pas la formation, leur accès au réseau et leurs droits d'accès pourraient leur être retirés.
Le fait de renforcer le moral des employés peut contribuer à renforcer la cybersécurité
La statistique la plus inquiétante de l'enquête Tessian concerne peut-être ce que certains employés taisent : parmi ceux qui ont commis une erreur en matière de cybersécurité, 21 % ont choisi de ne pas signaler cette erreur à leur équipe informatique en 2021 (contre 16 % en 2020).
Au fond, ce type de comportement trouve son origine dans la crainte des conséquences et traduit, en fin de compte, un climat de méfiance et un moral en berne. Mais comment résoudre ce problème ?
Une solution consiste à laisser les équipes informatiques montrer la voie, en offrant aux collaborateurs le même type d'expérience technologique fluide que celle que le service informatique propose aux clients. Plus le service informatique parvient à répondre aux attentes de ses utilisateurs internes, plus ces collaborateurs seront motivés. De l' , un engagement accru du personnel permet d'améliorer les interactions avec les clients (ce qui se traduit par des bénéfices) et d'accorder davantage d'attention aux menaces externes.
[En savoir plus : Améliorer l'expérience numérique des collaborateurs]
Les investissements dans les nouvelles technologies portent leurs fruits dans le domaine de la défense
Et pourquoi s'arrêter là ? Les PDG et les DSI se tournent de plus en plus vers des méthodes moins conventionnelles et plus créatives pour remonter le moral des employés et lutter contre le burn-out. Un nouveau domaine en particulier, le métaverse, pourrait offrir des perspectives prometteuses.
Bill Gates, Mark Zuckerberg et toute une série d’autres dirigeants du monde des affaires et des technologies estiment que le métaverse — ces réalités 3D alternatives accessibles via des casques de réalité virtuelle (RV) et des plateformes en ligne — pourrait bien devenir l’endroit où nous serons de plus en plus nombreux à passer notre temps. Et pas seulement à des fins de loisirs. Les chefs d'entreprise étudient les différentes façons dont cette nouvelle technologie peut être utilisée pour organiser des réunions et des conférences virtuelles.
« Nous avons saisi l’occasion offerte par la pandémie pour repenser la manière dont nous organisons les réunions avec nos collaborateurs », a déclaré Bret Starr, PDG de l’agence de marketing B2B Starr Conspiracy. Starr a récemment investi plus de 20 000 dollars dans des casques de réalité virtuelle destinés à être utilisés lors de réunions et a constaté que cela avait permis de renforcer les liens entre les employés.
En février, Endpoint s'est entretenu avec M. Starr et d'autres dirigeants d'entreprise dans le cadre du premier article d'une série consacrée à la manière dont les entreprises tirent parti du métaverse.
Les tentatives d'hameçonnage se multiplient en période de crise. Le stress aussi. Comme le souligne le rapport Tessian, « Lorsque les employés sont débordés et stressés, ils commettent des erreurs qui compromettent la sécurité. » Une approche de la sécurité centrée sur l'humain peut contribuer à atténuer ce problème.
« En donnant aux collaborateurs les moyens de prendre des décisions en matière de sécurité », conclut le rapport, « les personnes constituent alors un rempart supplémentaire au sein de l’entreprise. » Et ces derniers temps, nous avons besoin de toute la protection possible.