L'automne dernier, une assistante administrative récemment embauchée dans un prestigieux cabinet d'avocats de la côte Est a reçu, en l'espace de six mois, trois e-mails d'un associé lui demandant de verser par virement bancaire un montant total de 240 000 dollars à un consultant externe.
Ne souhaitant pas déplaire à l'un de ses supérieurs, l'administratrice a procédé aux virements. Tout semblait aller pour le mieux… jusqu’à ce que, quelques mois plus tard, on découvre qu’un cybercriminel s’était fait passer pour l’associé et s’était emparé de l’argent. L'entreprise a déposé une demande d'indemnisation auprès de son assureur cyber pour ses pertes, mais celle-ci a été rejetée car son employé n'avait pas respecté une politique interne d'authentification à deux facteurs exigeant que plusieurs intervenants valident les virements d'un montant important.
« Les cas de piratage de messagerie professionnelle visant les nouveaux employés, comme celui-ci, deviennent malheureusement de plus en plus fréquents », déclare Kirsten Bay, PDG de Cysurance, une agence spécialisée dans la cyberassurance. « Les pirates recherchent souvent de nouvelles adresses e-mail professionnelles ou des publications sur les réseaux sociaux concernant des personnes qui prennent de nouvelles fonctions. » Ils se font ensuite passer, par voie numérique, pour des dirigeants d’entreprise, en tirant parti de la réticence des employés à remettre en question la légitimité des e-mails provenant de cadres supérieurs. »
Alors que de nombreuses organisations considèrent aujourd’hui les ransomwares comme leur principale préoccupation, les attaques de type « Business Email Compromise » (BEC) (s’ouvre dans un nouvel onglet), qui existent depuis bien plus longtemps, gagnent en fréquence, en complexité et en gravité.
« Les ransomwares retiennent toute l’attention car ce sont des attaques plus spectaculaires, plus « cool », qui relèvent du genre “capes et couteaux” », explique Eric Gyasi, vice-président chargé de la gestion des relations clients et avocat chez Stroz Friedberg, une société du groupe Aon. « Le piratage des e-mails professionnels, en revanche, n’est pas un sujet dont les gens aiment parler. » Cela arrive souvent lorsqu'ils se sont fait avoir et qu'ils se sentent donc ridicules. C'est pourquoi le grand public en entend moins parler. « Cependant, en termes de volume, ce problème est tout aussi répandu que les attaques par rançongiciel « » — voire davantage. »
Une menace qui se développe insidieusement
En effet, le Centre de signalement des délits sur Internet (IC3) du FBI (IC3) classe le BEC comme le délit informatique le plus préjudiciable sur le plan financier. En 2021, les escroqueries de type BEC et EAC (piratage de comptes de messagerie) ont entraîné environ 2,4 milliards de dollars de pertes liées à la cybercriminalité à l'échelle mondiale (s'ouvre dans un nouvel onglet), contre 49,2 millions de dollars dus aux ransomwares, selon le FBI. De plus, selon le FBI, entre juillet 2019 et décembre 2021, les attaques de type BEC/EAC ont bondi de 65 % et ont coûté aux entreprises environ 43,3 milliards de dollars depuis 2016 (s'ouvre dans un nouvel onglet).
«Les ransomwares retiennent toute l’attention car il s’agit d’attaques plus « sexy », plus « cool », du genre « cape et d’épée ». »Eric Gyasi, vice-président chargé de la gestion des missions chez Stroz Friedberg
Le BEC cible généralement les entreprises qui effectuent régulièrement des virements bancaires. Les escrocs parviennent à accéder à un compte de messagerie appartenant à un salarié afin de se renseigner sur les fournisseurs de l'entreprise. Ils envoient ensuite une demande frauduleuse de virement bancaire à un fournisseur. Le vendeur est alors amené, par la ruse, à verser de l'argent sur un compte contrôlé par l'auteur de l'escroquerie.
À une certaine époque, ces choses-là étaient assez faciles à repérer. L'utilisateur pourrait repérer des logos de marques très mal reproduits, un anglais approximatif ou des arguments de vente ridicules dans des e-mails, et en conclure qu'il s'agit de tentatives d'hameçonnage. Mais les cybercriminels parviennent aujourd'hui mieux à effacer leurs traces. Ils usurpent les adresses e-mail du PDG et du directeur financier et envoient aux destinataires de faux messages impossibles à distinguer des véritables.
Ils étudient également les activités des entreprises et de leurs employés afin de s'immiscer naturellement dans les conversations clés aux moments décisifs. S'ils ont connaissance d'une fusion, par exemple, ils pourraient se servir de cette information pour se faire passer pour des parties prenantes de l'opération et escroquer des personnes afin qu'elles leur envoient de l'argent.
Cela se produit plus souvent que les entreprises ne veulent bien l'admettre dans presque tous les secteurs d'activité, notamment :
- Immobilier : , où des escrocs ont détourné des centaines de milliers de dollars provenant des fonds des vendeurs et des acheteurs. Selon le FBI, environ 13 638 personnes ont été victimes de fraudes immobilières par virement bancaire en 2020, pour un montant total de pertes s'élevant à plus de 213 millions de dollars. Le BEC en est en grande partie responsable.
- Le secteur de la santé, , où des cybercriminels ont lancé des attaques de type BEC contre des prestataires de services de paiement afin de détourner les paiements des victimes. En avril, par exemple, une entreprise du secteur de la santé comptant plus de 175 prestataires médicaux a découvert qu’une personne se faisant passer pour un employé avait modifié les instructions relatives au système de compensation automatisé (ACH) destinées à l’un de ses prestataires de services de traitement des paiements, afin de transférer environ 840 000 dollars au malfaiteur plutôt qu’aux prestataires concernés, selon le FBI.
- La philanthropie : , où des cybercriminels ont détourné des fonds destinés à venir en aide à des personnes dans le monde entier. Pendant les fêtes de fin d'année 2020, par exemple, des pirates informatiques ont falsifié une facture d'apparence légitime, l'ont envoyée à One Treasure Island, une association à but non lucratif de San Francisco venant en aide aux sans-abri, et ont convaincu quelqu'un de verser 650 000 dollars sur un compte bancaire à Odessa, au Texas, en trois versements distincts. L'organisation a récupéré 37 000 dollars sur un compte gelé, mais a perdu le reste.
«La nature humaine étant ce qu’elle est, ces escroqueries sont plus faciles à mettre en œuvre que vous ne le pensez. »Frank Dickson, vice-président du groupe et analyste spécialisé dans la sécurité et la confiance chez IDC
Au vu du niveau de sophistication atteint par les pirates informatiques, il est évident que les attaques de type BEC ne sont pas près de disparaître. Au contraire, les progrès réalisés dans le domaine des technologies automatisées, telles que l'intelligence artificielle (IA) et l'apprentissage automatique (ML), ainsi que l'évolution constante des « deepfakes » audio et vidéo, ne font qu'accélérer leurs efforts.
Mais, au-delà de cela, le BEC continue de prospérer car il tire parti de la nature confiante des êtres humains. La plupart des gens hésitent à remettre en question les e-mails qui semblent provenir de cadres supérieurs, de partenaires de choix, de clients ou des médias. Et ils ne vérifient pas toujours minutieusement chaque adresse e-mail pour s'assurer qu'elle respecte le format officiel de l'entreprise car, soyons réalistes, ils n'en ont pas le temps — et ils ne l'auront probablement jamais.
Mesures de riposte essentielles
Selon les observateurs, les organisations doivent pallier ces tendances humaines en mettant en œuvre les meilleures pratiques technologiques et procédurales suivantes :
Investissez dans l'éducation et la sensibilisation. Selon le rapport « Verizon 2022 Data Breach Investigations Report », , 82 % des fuites de données « impliquaient un facteur humain », notamment des attaques par ingénierie sociale, des erreurs et des utilisations abusives. En effet, contrairement aux ransomwares ou à d’autres types d’attaques, le BEC n’a même pas besoin de logiciels malveillants pour réussir, explique Frank Dickson, vice-président du groupe et analyste en sécurité et confiance au sein du cabinet d’études IDC. « La nature humaine étant ce qu’elle est, ces escroqueries sont plus faciles à mettre en œuvre que vous ne le pensez », déclare-t-il.
Selon M. Dickson, il est essentiel d'investir dans des programmes de formation destinés à aider les employés à repérer les tentatives éventuelles d'escroquerie de type « BEC » et à y faire face.
Mettez en place l'authentification multifactorielle (MFA) d' . L'authentification multifactorielle a contribué à réduire au minimum les attaques par ransomware et constitue désormais une exigence fondamentale dans les polices d'assurance cyber. Et ce n'est pas sans raison : la mise en place de contrôles supplémentaires avant qu'une personne puisse accéder à un réseau, à une messagerie électronique ou à un compte bancaire permet de déjouer d'emblée toute tentative de BEC. À l'inverse, ne pas disposer de l'authentification à deux facteurs (MFA) peut avoir des conséquences désastreuses. En effet, parmi tous les cas de BEC recensés par la société de surveillance de la sécurité Arctic Wolf au cours du premier semestre, 80 % des organisations touchées ne disposaient pas d'authentification multifactorielle (MFA).
Misez sur une défense à plusieurs niveaux. Même si les attaques de type BEC ne sont pas nécessairement sophistiquées sur le plan technique, la mise en place de mesures de sécurité élémentaires et la mise à jour régulière des systèmes informatiques peuvent s'avérer utiles. Les analystes recommandent d'utiliser des filtres anti-spam, de mettre en place des processus sécurisés de partage de fichiers et d'adopter des approches « zéro confiance » ( ), selon lesquelles toute personne ou machine tentant d'accéder à un réseau est considérée comme suspecte jusqu'à preuve du contraire.
Alors que les ransomwares continuent de retenir l'attention du monde entier, les observateurs soulignent que les entreprises ne doivent pas sous-estimer le risque lié à la compromission des e-mails professionnels. Cette menace méconnue n'est pas près de disparaître. Au contraire, ce phénomène ne cesse de gagner en fréquence, en complexité et en gravité. Il est essentiel de s'en occuper dès maintenant.
