Des pirates sophistiqués se font passer pour des collègues et des figures d’autorité pour infiltrer les réseaux et voler des millions
Les cybercriminels ont trouvé un moyen dévastateur efficace de violer les défenses des entreprises: ils prétendent simplement être le patron. Les attaques de compromis par courrier électronique d’entreprise, qui impliquent une usurpation d’identité de collègues de confiance et de chiffres d’autorité, sont devenues le deuxième cybercriminalité le plus chère dans le monde, causant plus de 2,7 milliards de dollars de pertes selon le rapport sur la criminalité sur Internet du FBI.
Contrairement aux escroqueries de phishing traditionnelles qui reposent sur des drapeaux rouges évidents, ces attaques sophistiquées exploitent la confiance fondamentale que les employés placent dans leurs collègues. Même les membres du personnel les plus cyber-conscients peuvent être victimes lorsqu’ils croient qu’ils répondent à une demande légitime de leur manager ou de leur PDG.
«D’un point de vue technique, le compromis par e-mail commercial est une attaque très efficace car elle ne nécessite pas l’utilisation de logiciels malveillants, ce qui les rend plus faciles à déployer et ils peuvent être non détectés par des outils de cybersécurité standard», explique Vakaris Noreika, un expert en cybersécurité chez Nordstellar, une plate-forme de gestion des menaces. “Ils sont une version plus sophistiquée des escroqueries de phishing communes. Cependant, la raison de leur efficacité réside dans la cible – un seul compte compromis est suffisant pour que les cybercriminels accédent aux réseaux internes.”
Le déguisement parfait des entreprises
Ces attaques représentent une évolution significative des tactiques de cybercriminalité. Plutôt que de lancer un large filet avec des e-mails de spam génériques, les criminels investissent désormais un temps considérable à la recherche de leurs objectifs. Ils parcourent les profils LinkedIn, les sites Web de l’entreprise et les bases de données publiques pour comprendre les structures organisationnelles, identifier le personnel clé et les imitations convaincantes.
Le processus commence généralement par les cybercriminels créant des domaines de sosie qui ressemblent étroitement aux adresses e-mail légitimes de l’entreprise. Armés de connaissances d’initiés sur les opérations et le personnel de l’entreprise, ils élaborent ensuite des e-mails demandant des informations d’identification, des données sensibles ou des transferts de fil – tout en semblant provenir de sources de confiance au sein de l’organisation.
«Les attaques qui utilisent des données disponibles en ligne sont plus standard, ressemblant à des escroqueries de base en génie social. Cependant, comme ils ciblent les entreprises – pas des particuliers – ils comportent généralement le potentiel d’un gain monétaire plus important pour les cybercriminels», note Noreika. «Même sans avoir accès au réseau, les pirates peuvent inciter les employés à transférer des fonds de l’entreprise sur leurs comptes contrôlés, à mettre la main sur des données confidentielles qu’ils peuvent vendre à des concurrents ou à publier sur The Dark Web.»
Les tactiques avancées augmentent les enjeux
Les attaques de compromis par courrier électronique les plus sophistiquées impliquent des criminels qui ont déjà infiltré des systèmes de messagerie d’entreprise. Ces pirates surveillent les conversations quotidiennes, apprennent les modèles de communication et attendent des moments optimaux pour frapper.
«S’ils parviennent à infiltrer un compte pour collecter des renseignements, les pirates pourraient attendre l’occasion idéale de demander un virement bancaire en usurpant l’identité d’un fournisseur ou rediriger les paiements de salaire des employés», explique Noreika. «Cependant, les compromis sur les e-mails commerciaux sont souvent une passerelle pour déployer des attaques plus préjudiciables.
Cette approche du patient rend la détection extrêmement difficile. Lorsque les criminels ont passé des semaines ou des mois à étudier les communications internes, leurs demandes éventuelles peuvent sembler parfaitement légitimes et correctement chronométrées.
Construire des défenses commerciales
Les organisations sont confrontées à un défi unique dans la défense contre ces attaques, car elles exploitent la psychologie humaine plutôt que les vulnérabilités techniques. Les outils traditionnels de cybersécurité ne parviennent souvent pas à détecter les tentatives de compromis par e-mail commercial car elles ne comptent pas sur des logiciels malveillants ou un contenu évidemment suspect.
Noreika souligne que l’éducation complète des employés représente la première ligne de défense. «Même les utilisateurs le plus cyber-cyber-conscients peuvent être victimes de compromis par e-mail des e-mails, car ils exploitent la couche de confiance supplémentaire qui accompagne l’identité d’une personne d’autorité dans l’organisation», dit-il. «En conséquence, les entreprises devraient éduquer leurs employés sur ce type d’attaque spécifique – ce qui constitue une activité suspecte et comment adopter une approche meilleure que celle que le sorry.»
Les entreprises doivent également mettre en œuvre des procédures de vérification solides, en particulier pour les transactions financières et les demandes de données sensibles. Exiger de la documentation écrite et des deux approbations pour les transports en fil et le partage confidentiel d’informations peut empêcher les criminels de réussir même lorsque les employés sont trompés.
La surveillance proactive du Web Dark pour les informations d’identification des employés divulguées fournit une autre couche de défense cruciale. «Les équipes de sécurité plus rapides peuvent repérer un incident de cybersécurité, moins il peut causer de dégâts», conseille Noreika. «Une fois que l’organisation est consciente des informations d’identification divulguées associées à ses employés, il peut prendre des mesures appropriées, telles que la préparation d’une violation de données potentielle et l’informant des utilisateurs touchés à rester en alerte.»
Pour les comptes compromis, les organisations doivent immédiatement appliquer l’authentification multi-facteurs, réinitialiser les mots de passe et surveiller les modèles d’activité suspects tels que des tentatives de connexion inhabituelles.
Plus ici
Tenez-vous au courant de nos histoires sur LinkedIn, GazouillementFacebook et Instagram.
À ne pas manquer
