Pour la plupart des cybercriminels, accéder au réseau d’une entreprise ne représente pas un exploit. En fait, dans plusieurs cas de Business Email Compromise ou compromission d’e-mail professionnel, il suffit d’une simple attaque d’hameçonnage pour convaincre l’utilisateur de partager ses données d’accès.
Dans le cadre de ces attaques, le cybercriminel envoie un e-mail de phishing à un employé en se faisant passer pour un individu digne de confiance. Il réussit ainsi à convaincre la victime de transmettre des informations sensibles sur l’entreprise, de transférer de l’argent ou de partager des informations relatives à la propriété intellectuelle.
Les attaques de Business Email Compromise sont fréquentes parce qu’elles s’appuient sur la manipulation plutôt que sur la force brute. Des recherches démontrent que 71 % des organisations ont fait face à des attaques Business Email Compromise au cours de la dernière année. Au même moment, 35 % des organisations indiquent que la Business Email Compromise et le phishing représentent plus de 50 % des incidents de sécurité.
Le présent article présente cinq exemples de Business Email Compromise à connaître pour assurer la protection de vos employés.
Comment fonctionnent la plupart des attaques de Business Email Compromise ?
En général, une attaque de Business Email Compromise commence par la collecte d’informations sur la compagnie ciblée. Pendant cette étape, le cybercriminel utilise des sources d’information publiques, comme des communiqués de presse, les réseaux sociaux et le site Web de l’entreprise, pour recueillir de l’information sur son personnel telle que le nom d’employés et titres de poste.
En utilisant cette information, le cybercriminel tente ensuite d’accéder au système de messagerie électronique de l’entreprise avec un e-mail de phishing ou en usurpant la boîte mail d’un employé clé. Après avoir obtenu l’accès, l’attaquant envoie des e-mails ciblés et pressants aux employés pour les convaincre de partager des informations protégées. Cette stratégie fonctionne souvent parce que l’employé voit que l’e-mail provient d’un individu de confiance, comme un collègue ou un avocat. Il n’hésite donc pas à transmettre les informations ou les fonds demandés.
Une partie du défi pour mitiger ces menaces réside dans le fait que la plupart des employés ne savent pas comment détecter les attaques de phishing. Selon le rapport du Gone Phishing Tournament 2021, 19,8 % des employés cliquent sur les liens dans un e-mail de phishing.
5 exemples de Business Email Compromise
La plupart des attaques constituent une variante de l’un des 5 exemples de Business Email Compromise suivant.
1. Fausse facture
Dans ce type de fraude, le cybercriminel prend le contrôle de la messagerie électronique de l’employé en charge du paiement des factures et des transferts de fonds. L’attaquant utilise ce compte pour demander à un autre employé de payer une facture ou de transférer des fonds dans le compte bancaire du fraudeur.
2. Fraude du président
Le cybercriminel usurpe le compte courriel d’un président ou d’un cadre supérieur de l’entreprise pour convaincre d’autres utilisateurs de partager des informations sensibles ou de transférer de l’argent.
3. Compromission du compte
Il s’agit de l’une des attaques de Business Email Compromise les plus communes. Après avoir accédé au système, le pirate explore les listes de contact des employés pour identifier les fournisseurs et les partenaires de l’entreprise. L’attaquant transmet ensuite un message à ces contacts leur demandant d’envoyer un paiement vers un compte contrôlé par le cybercriminel.
4. Imposture de l’avocat
Parfois, les cybercriminels vont même jusqu’à se faire passer pour l’avocat de l’organisation pour communiquer avec des employés ou le président et demander des fonds. Les pirates expérimentés utilisent habituellement cette tactique le vendredi après-midi ou juste avant les vacances, lorsque les travailleurs se dépêchent de finaliser leurs dossiers et sont moins attentifs.
5. Vol de données
Il arrive fréquemment que les cybercriminels usurpent l’e-mail d’un ou de plusieurs employés du service des ressources humaines. Ils peuvent ainsi envoyer des demandes de renseignement personnel sur les employés, les partenaires et les investisseurs. Plus tard, ils utilisent ces données pour commettre une cyberattaque de plus grande ampleur envers l’entreprise.
Comment prévenir la Business Email Compromise ?
Les leaders en sécurité peuvent suivre quelques étapes simples pour prévenir la Business Email Compromise.
1. Augmenter la sensibilisation en présentant des exemples
Informer les employés sur les cinq types de compromissions d’e-mail. Utiliser les simulations de phishing pour enseigner aux employés comment identifier ces attaques et ainsi que les tentatives de phishing.
2. Planifier des formations régulières en sensibilisation à la sécurité
Offrir régulièrement aux employés des formations en sensibilisation à la sécurité et des simulations de phishing afin que les risques de Business Email Compromise et d’ingénierie sociale demeurent en tête des priorités. Ces formations peuvent être mises de l’avant à l’interne par des ambassadeurs de la cybersécurité, engagés à garder votre organisation en cybersécurité.
3. Surveiller la sensibilisation des employés
Encourager les leaders en sécurité et les ambassadeurs de la cybersécurité à faire un suivi des formations et des simulations de phishing. Utiliser les modules de microapprentissage pour éduquer, former et changer le comportement des employés qui éprouvent des difficultés.
4. Envoyer des communications régulières sur les menaces
Prévoir des communications et des campagnes en continu sur la cybersécurité, la Business Email Compromise et l’ingénierie sociale. Établir des politiques solides sur les mots de passe et rappeler aux employés les risques liés aux e-mails, aux URL et aux pièces jointes.
5. Établir des règles d’accès au réseau
Établir des règles d’accès au réseau afin de limiter l’utilisation d’appareils personnels et de prévenir le partage d’informations à l’extérieur du périmètre du réseau.
6. Mettre à jour toutes les infrastructures
S’assurer que tous les systèmes d’exploitation, outils réseau, applications et logiciels internes sont à jour et sécurisés. Installer un logiciel de protection contre les programmes malveillants et les spams.
Résumé
Comme toutes les cybermenaces qui reposent sur la manipulation, il suffit d’un seul clic sur un lien malveillant ou d’un seul partage d’informations personnelles, pour créer une brèche de données qui affecte toute votre organisation.
En offrant aux employés un aperçu des exemples les plus communs de Business Email Compromise, vous leur donnez les outils dont ils ont besoin pour détecter les courriels de phishing. Vous réduisez également les chances qu’un attaquant réussisse à convaincre vos utilisateurs de partager des informations sensibles.
Vous souhaitez découvrir comment la formation en sensibilisation à la sécurité peut contribuer à vous défendre contre les attaques d’hameçonnage et la compromission du courriel d’affaires?
Découvrez comment réduire facilement et efficacement le risque lié à l’utilisateur.