Le courriel d’affaires compromis (Business Email Compromise ou BEC) est un type de fraude astucieux qui cible généralement les employés d’entreprises qui transfèrent régulièrement des fonds à leurs partenaires.
Cette arnaque, dont fait partie la fraude du président, utilise des comptes courriel usurpés ou compromis pour convaincre le destinataire de fournir de l’information sur l’entreprise, envoyer de l’argent ou partager des innovations ou technologies propres à l’entreprise.
La compromission du courriel d’affaires mise sur une technique d’ingénierie sociale qui consiste à gagner la confiance du destinataire. Les cybercriminels derrière cette technique savent que la plupart des gens prêtent peu d’attention à l’adresse courriel de l’expéditeur et ne remarqueront pas une légère différence dans l’URL.
Ces techniques, combinées à un courriel stratégiquement rédigé sur un ton familier et urgent, font qu’il est très difficile pour les employés d’entreprises de reconnaître rapidement et facilement les menaces posées par un courriel d’affaires compromis.
Les cybercriminels utilisent l’hameçonnage, l’harponnage et l’ingénierie sociale pour personnifier un dirigeant d’entreprise, les services de comptabilité de partenaires et d’autres membres importants de l’organisation.
La compromission du courriel d’affaires est-ce fréquent ?
Selon le Centre de plaintes pour les crimes commis sur Internet (Internet Crimes Complaint Center division ou IC3) du FBI, la compromission de courriels d’affaires a été la cybermenace la plus coûteuse de 2020, avec des pertes estimées à 1,8 milliard de dollars au total. Le rapport d’enquête 2021 sur les compromissions de données de Verizon sur les enquêtes relatives aux violations de données 2021 énonce des informations similaires et place la compromission de courriel d’affaires au deuxième rang des violations de données les plus risquées en 2020, notamment dues à une vague d’usurpation d’identité de marque, en particulier sur les médias sociaux.
De même, le Centre antifraude du Canada (CAFC) a reçu des rapports faisant état de près de 30 millions de dollars de pertes liées aux compromissions de courriels d’affaires en 2020. L’estimation totale pour 2021 est beaucoup plus élevée, avec plus de 26 millions de dollars de pertes signalées au cours du seul premier semestre de l’année civile.
Les statistiques ci-dessus démontrent la prévalence et la dangerosité des attaques pour les entreprises et les individus, qui sont amenés à céder de l’argent, des informations et des technologies.
Le Centre de plaintes pour les crimes de l’Internet du FBI recommande que les employés demeurent méfiants face aux courriels demandant des informations de nature confidentielle ou faisant pression pour une action rapide.
La formation en sensibilisation à la cybersécurité et l’éducation continue constituent la clé pour souligner l’importance d’être cybervigilant en ce qui a trait aux courriels et à la boîte de réception.
Regardez la vidéo suivante sur la compromission d’un courriel d’affaires grâce à la sensibilisation à la sécurité et aux simulations d'hameçonnage pour comprendre à quel point il est facile pour quiconque d'être victime d'une escroquerie de compromission d’un courriel d’affaires.
Quels sont les différents types de compromissions du courriel d’affaires ?
Il existe 5 grands types de compromissions du courriel d’affaires
Arnaque de la fausse facture
À l’aide d’un maliciel ou d’une autre technique d’hameçonnage, le cybercriminel infiltre le système de courriel de l’entreprise. Il prend ensuite le contrôle du compte de courrier électronique d’un employé qui s’occupe généralement des demandes de paiement de factures et de transferts de fonds.
À partir du compte compromis, le cybercriminel envoie un courriel à un autre employé lui demandant de transférer des fonds ou de faire le paiement d’une facture à un compte spécifique. Le courriel est souvent rédigé sur un ton urgent. L’employé ciblé fait confiance à l’expéditeur du message et envoie, par inadvertance, des fonds vers un compte frauduleux lié au cybercriminel.
Fraude du président
La fraude du président est probablement l’une des compromissions de courriel les plus connues. Dans ce type de fraude, le cybercriminel usurpe le compte courriel d’un dirigeant et utilise cette identité pour voler des fonds de l’entreprise. En général, le compte courriel usurpé sera légèrement différent du compte réel — par exemple, [email protected] plutôt que [email protected].
En utilisant cette adresse et cette identité, le cybercriminel envoie un courriel ayant pour message, la demande d’un transfert d’argent urgent. Le destinataire en confiance, ne contre-vérifie pas l’exactitude de l’adresse courriel, du nom de la banque ou de la compagnie associée au transfert et envoie les fonds comme demandé.
Compromission d’un compte
Le compte d’un employé est piraté à l’aide de techniques d’hameçonnage. Le cybercriminel parcourt la liste de contacts de l’employé à la recherche de fournisseurs et de partenaires de l’entreprise. Des courriels sont ensuite envoyés à ces contacts à partir du compte piraté leur demandant que des paiements soient envoyés vers un faux compte contrôlé par le cybercriminel.
Imposture de l’avocat
Dans ce cas de compromission, le cybercriminel, se faisant passer pour l’avocat agissant pour le compte d’un client, contacte des employés ou le directeur général. L’auteur fait clairement comprendre que cette conversation par courriel est urgente et doit rester confidentielle. Cédant sous la pression et croyant bien faire, la victime transfert les fonds demandés.
Les cybercriminels utilisent souvent ce stratagème un vendredi après-midi ou juste avant le début d’un congé sachant que leurs destinataires seront plus pressés de terminer et donc moins vigilants.
Vol de données
Ici, le cybercriminel prend le contrôle du courriel professionnel d’un ou de plusieurs membres de l’équipe des ressources humaines. Ces adresses électroniques sont utilisées pour envoyer des demandes d’informations confidentielles concernant les employés, l’entreprise, les partenaires et les investisseurs. Des données qui sont ensuite utilisées par le cybercriminel dans le cadre d’une fraude plus large de compromission du courriel d’affaires ou d’une cyberattaque plus avancée contre la compagnie.
Ces programmes de compromission d’un courriel d’affaires soulignent l'importance de fournir aux employés de l'entreprise une formation et des connaissances en matière de sécurité qui renforcent l'importance de prêter attention aux adresses courriels, aux noms d'entreprise et aux demandes avec même un soupçon de suspicion.
Comment la compromission d’un courriel d’affaires se produit-elle ?
En raison de la nature de la fraude, une attaque par compromission de courriel d’affaires requiert une approche stratégique et minutieuse.
Il est important de se rappeler que les fraudes de ce type reposent sur des techniques d’ingénierie sociale ingénieuses et sur la confiance humaine, d’où l’importance de miser sur la sensibilisation à la cybersécurité
Les simulations d’hameçonnage vous permettent d’ailleurs de démontrer aux employés à quel point il est facile de se faire prendre au piège et également d’identifier ceux qui seraient les plus vulnérables aux fraudes par compromission de courriel d’affaires et aux attaques d’hameçonnage.
Comment prévenir les attaques de courriels d’affaires compromis
Informez vos employés sur les cinq types d’attaques de compromission du courriel d’affaires. Profitez des outils gratuits de simulation d’hameçonnage pour éduquer et identifier les risques liés aux courriels d’affaires compromis et à l’hameçonnage.
Informez vos employés sur les cinq types d’attaques de compromission du courriel d’affaires. Profitez des outils gratuits de simulation d’hameçonnage pour éduquer et identifier les risques liés aux courriels d’affaires compromis et à l’hameçonnage.
Utilisez des plateformes éprouvées de sensibilisation à la sécurité et de simulation d’hameçonnage pour que les risques d’ingénierie sociale demeurent au sommet des préoccupations de vos employés. À l’interne, formez des héros de la cybersécurité dédiés à garder votre organisation cybersécuritaire.
Utilisez des plateformes éprouvées de sensibilisation à la sécurité et de simulation d’hameçonnage pour que les risques d’ingénierie sociale demeurent au sommet des préoccupations de vos employés. À l’interne, formez des héros de la cybersécurité dédiés à garder votre organisation cybersécuritaire.
Rappelez à vos responsables de la sécurité et héros de la cybersécurité de régulièrement contrôler le degré de sensibilisation de vos employés aux courriels d’affaires compromis et à l’hameçonnage à l’aide d’outils de simulation. Utilisez les modules de microapprentissage sur les courriels d’affaires compromis pour éduquer, former et changer les comportements.
Rappelez à vos responsables de la sécurité et héros de la cybersécurité de régulièrement contrôler le degré de sensibilisation de vos employés aux courriels d’affaires compromis et à l’hameçonnage à l’aide d’outils de simulation. Utilisez les modules de microapprentissage sur les courriels d’affaires compromis pour éduquer, former et changer les comportements.
Effectuez des communications et des campagnes en continu sur la cybersécurité, la compromission des courriels d’affaires et l’ingénierie sociale. Profitez-en pour élaborer des politiques de mots de passe forts et rappelez à vos employés les risques liés aux courriels, aux URL et aux pièces jointes.
Effectuez des communications et des campagnes en continu sur la cybersécurité, la compromission des courriels d’affaires et l’ingénierie sociale. Profitez-en pour élaborer des politiques de mots de passe forts et rappelez à vos employés les risques liés aux courriels, aux URL et aux pièces jointes.
Établissez des règles d’accès au réseau qui limitent l’utilisation d’appareils personnels et le partage d’information à l’extérieur de votre réseau d’entreprise.
Établissez des règles d’accès au réseau qui limitent l’utilisation d’appareils personnels et le partage d’information à l’extérieur de votre réseau d’entreprise.
Assurez-vous que tous les systèmes d’exploitation, outils réseau, logiciels internes et applications sont à jour et sécurisés. Installez des logiciels de protection contre les maliciels et les pourriels.
Assurez-vous que tous les systèmes d’exploitation, outils réseau, logiciels internes et applications sont à jour et sécurisés. Installez des logiciels de protection contre les maliciels et les pourriels.
Intégrez les campagnes de sensibilisation à la cybersécurité, la formation, le soutien, l’éducation et la gestion de projet à votre culture d’entreprise.
Intégrez les campagnes de sensibilisation à la cybersécurité, la formation, le soutien, l’éducation et la gestion de projet à votre culture d’entreprise.
Qu'est-ce qu'une simulation d'hameçonnage?
La simulation d’hameçonnage est la meilleure façon d’augmenter la sensibilisation face aux risques posés par les courriels d’affaires compromis et d’identifier les employés susceptibles de se faire prendre au piège.
La compromission du courriel d’affaires mise sur des techniques d’hameçonnage pour accéder au système de messagerie électronique de l’entreprise et utilise l’ingénierie sociale pour convaincre les employés de passer à l’action.
La simulation d’hameçonnage permet donc de facilement intégrer la formation en sensibilisation à la cybersécurité dans votre organisation sous une forme interactive.
Les participants constatent d’eux-mêmes comment des courriels personnalisés et semblant provenir d’une source fiable sont utilisés pour voler des données personnelles et corporatives. Les simulations d’hameçonnage et de compromission du courriel d’affaires en temps réel constituent une façon idéale d’éduquer les gens et de stimuler leur vigilance.
Comment les simulations d’hameçonnage peuvent-elles aider à prévenir la compromission des courriels d’affaires ?
Les simulations d’hameçonnage vous permettent de démontrer à vos employés à quel point il est facile d’être victime d’une compromission du courriel d’affaires.
À l’aide d’exemples concrets et de simulations d’hameçonnage sophistiquées, les employés comprennent pourquoi il est essentiel de vérifier les adresses courriel et de confirmer l’origine des demandes de fonds ou d’informations confidentielles avant d’agir.
Les simulations d’hameçonnage procurent à votre entreprise les 10 principaux avantages suivants dans la lutte aux fraudes par compromission du courriel d’affaires et autres menaces de cybersécurité :
1. Mesurer le degré de vulnérabilité de l’entreprise et des employés
2. Éliminer les risques représentés par les cybermenaces
3. Accroître la vigilance des utilisateurs face au risque de compromission du courriel d’affaires et d’hameçonnage
4. Instiller une culture de cybersécurité et former des héros de la cybersécurité
5. Changer les comportements pour éliminer les réflexes de confiance automatique
6. Déployer des solutions anti-hameçonnage ciblées
7. Protéger vos précieuses données corporatives et personnelles
8. Répondre aux exigences de l’industrie en matière de conformité
9. Évaluer les impacts de la formation en sensibilisation à la cybersécurité
10. Segmenter la simulation de courriel d’affaires compromis et d’hameçonnage
En apprendre davantage sur le courriel d’affaires compromis
Pour en apprendre davantage sur la compromission de courriel d’affaires et comment garder votre entreprise en cybersécurité, consultez ces ressources gratuites sur la sensibilisation à la sécurité :
