L’automne dernier, une assistante administrative nouvellement embauchée pour un prestigieux cabinet d’avocats de la côte Est a reçu trois e-mails sur six mois de la part d’une partenaire lui demandant de transférer un total de 240 000 USD à un consultant externe.
Ne souhaitant pas mécontenter l’un de ses supérieurs, l’administrateur a effectué les transferts. Tout semblait normal, jusqu’à quelques mois plus tard, lorsqu’il s’est avéré qu’un cybervoleur avait usurpé l’identité du partenaire et détourné l’argent. L’entreprise a déposé une réclamation de cyber-assurance pour ses pertes, mais a été refusée parce que son employé n’avait pas suivi une politique interne de double authentification exigeant que plusieurs parties prenantes examinent les transferts importants.
« Les compromissions de messagerie professionnelle de nouveaux employés comme celle-ci deviennent malheureusement trop courantes », déclare Kirsten Bay, PDG de Cysurance, une agence de cyberassurance. « Les pirates informatiques surveillent souvent les nouvelles adresses e-mail d’entreprise ou les publications sur les réseaux sociaux concernant les personnes qui commencent de nouveaux emplois. Ils se font ensuite passer pour des dirigeants d’entreprise numériquement, capitalisant sur la réticence des employés à remettre en question la légitimité des e-mails du personnel senior. »
Alors que de nombreuses organisations considèrent aujourd’hui les rançongiciels comme leur principale préoccupation, les attaques de compromission des e-mails professionnels (BEC), qui existent depuis bien plus longtemps, augmentent en fréquence, complexité et gravité.
« Les rançongiciels attirent toute l’attention, car il s’agit de types d’attaques plus sexy, plus cools, déformées et diffamables », déclare Eric Gyasi, vice-président de la gestion de l’engagement et avocat chez Stroz Friedberg, une société Aon. « D’autre part, la compromission des e-mails professionnels n’est pas quelque chose dont les gens aiment parler. Cela se produit souvent lorsqu’ils ont été confondus et qu’ils se sentent donc stupides. Ainsi, le public n’en entend pas autant à leur sujet. Cependant, il s’agit d’un problème tout aussi omniprésent en termes de volume que les attaques par ransomware, sinon plus. »
Une menace en pleine croissance
En effet, le Centre de plainte contre la criminalité sur Internet (IC3) du FBI cite BEC comme la criminalité sur Internet la plus préjudiciable financièrement. En 2021, les escroqueries BEC et EAC (compromission de compte de messagerie) ont entraîné environ 2,4 milliards USD de cyber-pertes mondiales, contre 49,2 millions USD dues aux rançongiciels, selon le FBI. De plus, entre juillet 2019 et décembre 2021, les attaques BEC/EAC ont augmenté de 65 % et ont coûté aux organisations environ 43,3 milliards USD depuis 2016, selon le FBI.
« Les rançongiciels attirent toute l’attention, car il s’agit de types d’attaques plus sexy, plus cools, plus cachés et plus diffamatoires. »Eric Gyasi, vice-président de la gestion de l’engagement, Stroz Friedberg
BEC cible généralement les entreprises qui effectuent régulièrement des virements bancaires. Les escrocs ont accès à un compte de messagerie appartenant à un employé pour en savoir plus sur les fournisseurs de l’entreprise. Ils envoient ensuite une demande frauduleuse de paiement par virement bancaire à un fournisseur. Le fournisseur est ensuite trompé dans l’envoi d’argent vers un compte contrôlé par l’auteur.
À une époque, ces choses étaient assez faciles à repérer. L’utilisateur pouvait rechercher des logos de marque reproduits de manière horrible, des messages en anglais cassés ou des e-mails ludiques et supposer qu’il s’agissait de tentatives d’hameçonnage. Mais les cybercriminels sont plus efficaces pour couvrir leurs parcours de nos jours. Ils usurpent des adresses e-mail de PDG et de directeur financier et envoient des communications fictives aux destinataires qui ne sont pas distinguables du véritable article.
Ils étudient également les activités des entreprises et des employés pour s’injecter de manière transparente dans les conversations clés à des moments critiques. S’ils apprennent une fusion, par exemple, ils peuvent utiliser ces connaissances pour se représenter dans le cadre de l’accord et convaincre les gens de leur envoyer de l’argent.
Cela se produit plus souvent que les organisations qui aiment s’impliquer dans presque tous les secteurs, y compris :
- L’immobilier, où les escrocs ont détourné des centaines de milliers de dollars en fonds de vendeurs et d’acheteurs. Environ 13 638 personnes ont été victimes d’une fraude par virement immobilier en 2020, avec des pertes totales de plus de 213 millions USD, déclare le FBI. BEC en a causé une énorme partie.
- La santé, où les cybercriminels lancent des attaques BEC contre les processeurs de paiement pour rediriger les paiements des victimes. En avril, par exemple, une société de soins de santé comptant plus de 175 prestataires médicaux a découvert que quelqu’un se faisant passer pour un employé avait modifié les instructions de la chambre de compensation automatisée (ACH) pour l’un de ses fournisseurs de traitement des paiements afin de diriger environ 840 000 USD vers le voleur plutôt que les fournisseurs prévus, selon le FBI.
- La philanthropie, où les cybercriminels ont volé des fonds destinés à aider les gens du monde entier. Pendant les fêtes de fin d’année en 2020, par exemple, des pirates informatiques ont falsifié une facture d’apparence légitime, l’ont envoyée à One Treasure Island, une organisation à but non lucratif de San Francisco au profit des sans-abri, et ont convaincu quelqu’un d’envoyer 650 000 USD sur un compte bancaire à Odessa, au Texas, en trois paiements différents. L’organisation a récupéré 37 000 USD sur un compte gelé, mais a perdu le reste.
« La nature humaine étant ce qu’elle est, ces escroqueries sont plus faciles à exécuter que vous ne le pensez. »Frank Dickson, vice-président du groupe et analyste de la sécurité et de la confiance, IDC
Avec le niveau de sophistication que les pirates informatiques atteignent, il est clair que les attaques BEC ne disparaissent pas. En tout état de cause, les avancées dans les technologies automatisées telles que l’ intelligence artificielle (IA) et l’ apprentissage machine (ML), ainsi que l’évolution continue de l’audio et de la vidéo factices, accélèrent leurs efforts.
Mais, plus que cela, BEC continue de réussir parce qu’elle joue sur la nature de confiance des êtres humains. La plupart des gens ne sont pas à l’aise pour poser des questions sur les e-mails qui semblent provenir de cadres supérieurs, de partenaires estimés, de clients ou des médias. Et ils n’examinent pas toujours chaque adresse e-mail pour vérifier qu’elle est écrite dans le bon format d’entreprise, car, avouons-le, ils n’ont pas le temps et ils ne le feront probablement jamais.
Contre-mesures cruciales
Les observateurs affirment que les organisations doivent compenser les tendances humaines en mettant en œuvre les meilleures pratiques technologiques et procédurales suivantes :
Investir dans l’éducation et la sensibilisation. Selon le rapport Verizon 2022 sur les enquêtes sur les violations de données, 82 % des violations de données « impliquaient l’élément humain », y compris les attaques sociales, les erreurs et l’utilisation abusive. En fait, contrairement aux rançongiciels ou autres attaques, BEC n’a même pas besoin de logiciels malveillants pour réussir, déclare Frank Dickson, vice-président du groupe et analyste de la sécurité et de la confiance auprès de la société de recherche IDC. « La nature humaine étant ce qu’elle est, ces escroqueries sont plus faciles à exécuter que vous ne le pensez », dit-il.
Dickson déclare qu’il est essentiel d’investir dans des programmes de formation pour aider les employés à repérer et à répondre aux tentatives potentielles de BEC.
Mettre en œuvre l ’authentification multifacteur (MFA). L’authentification multifacteur a permis de minimiser les attaques par ransomware et constitue désormais une exigence de base dans les polices d’assurance cyber. C’est pour une raison : avoir des vérifications et des soldes supplémentaires avant que quelqu’un puisse accéder à un réseau, un e-mail ou un compte financier peut arrêter une tentative BEC à froid. À l’inverse, ne pas avoir d’AMF peut entraîner une catastrophe. En fait, sur tous les cas BEC suivis par la société de surveillance de la sécurité Arctic Wolf au cours de la première partie de l’année, 80 % des organisations affectées n’avaient pas d’AMF.
Adoptez une défense multicouche. Bien que les attaques BEC ne soient pas nécessairement technologiquement sophistiquées, le déploiement de contre-mesures de sécurité de base et la mise à jour régulière des systèmes informatiques peuvent aider. Les analystes recommandent l’utilisation de filtres anti-spam, la mise en œuvre de processus sécurisés de partage de fichiers et l’adoption d’ approches Zero Trust, dans lesquelles chaque personne ou machine essayant d’accéder à un réseau est considérée comme suspecte jusqu’à preuve du contraire.
Alors que les rançongiciels continuent de capter l’attention du monde entier, les observateurs affirment que les organisations ne peuvent pas prendre trop à la légère la compromission des e-mails professionnels. Cette menace méconnue ne disparaît pas. Le cas échéant, sa fréquence, sa complexité et sa gravité augmentent. Il est essentiel d’y remédier maintenant.
