Les cybercriminels s’attaquent maintenant aux responsables d’organisations pour mettre en place une nouvelle escroquerie : la fraude au CEO.
La fraude au CEO se déroule en deux étapes : l'exploration et l'exécution. Les cybercriminels se renseignent d’abord longtemps en ligne, effectuant des recherches pour en savoir plus sur une organisation et ses collaborateurs. Ils essaient ensuite d'entrer en contact avec ces collaborateurs, par mail, par messagerie électronique ou par téléphone, afin d'obtenir de plus amples informations sur les directeurs de l'organisation, les processus d'exécution d'un paiement, les clients et les fournisseurs. Après avoir recueilli toutes les informations nécessaires pour mener à bien l’arnaque, les cybercriminels s’emparent de l'identité d'une personne haut placée au sein de l'organisation, afin que les collaborateurs soient plus confiants et moins susceptibles de douter de l'origine du message reçu. Une fois dans la peau du CEO ou d'un directeur et après avoir obtenu la confiance de leur victime, les escrocs tenteront de voler de l'argent et/ou des données confidentielles.
Les collaborateurs d'une entreprise forment sa première ligne de défense. Vos collaborateurs doivent être capables d’identifier les arnaques et les faux messages afin d'adopter les bons réflexes. Les cybercriminels peuvent adopter différentes techniques pour tenter de dérober les coordonnées des collaborateurs afin d'accéder aux ressources d'une organisation. Les e-mails de phishing font partie des arnaques les plus fréquentes. Les cybercriminels tentent ici de convaincre leur victime de partager ses mots de passe ou ses informations confidentielles. Il est donc important d'organiser régulièrement des séances d'information pour apprendre aux collaborateurs à ne pas trop partager d'informations sur les médias sociaux et à ne pas cliquer sur un lien ou ouvrir un fichier sans en analyser d'abord la provenance.
Lorsque la demande formulée dans un message porte sur des transferts inhabituels, des montants élevés ou que des motifs inhabituels ou des circonstances exceptionnelles sont avancés pour expliquer la demande, il s'agit probablement d'une escroquerie.
Le télétravail s'impose dans nos organisations, au bénéfice de la fraude au CEO. Les cybercriminels profitent des collaborateurs isolés car il est plus facile de les convaincre d'exécuter un paiement. Cependant, le télétravail doit avoir lieu en toute sécurité grâce à différentes bonnes pratiques, telles que l'utilisation de mots de passe forts et l'authentification multifacteurs pour tous les accès à distance. L'authentification multifacteurs exige qu'un utilisateur utilise au moins deux méthodes différentes (par exemple, un mot de passe et un code PIN, un code PIN et un code reçu par SMS) pour vérifier son identité et lui donner accès à la ressource qu'il désire atteindre.
En outre, l'organisation doit établir des lignes directrices et des règles de télétravail, afin que ses collaborateurs adoptent les comportements appropriés, par exemple en verrouillant leur poste de travail lorsqu'ils le quittent ou en ne laissant aucun mot de passe écrit et accessible.
Enfin, l'organisation doit mettre en place des contrôles de sécurité, comme le cryptage de tout le trafic en provenance/à destination du télétravailleur, l'installation d'un antivirus et d'un pare-feu local sur les appareils autorisés à se connecter à distance, la mise à jour de tous les appareils et logiciels dès que possible, la sauvegarde régulière des ressources critiques et la sécurisation des postes de travail en contrôlant les éléments accessibles à distance.
Quelle que soit la personne qui demande des informations, les collaborateurs doivent connaître les politiques en vigueur concernant la classification des données, le transfert et le partage d'informations et l'utilisation acceptable des informations. De plus, instaurer un processus d'approbation des virements électroniques réduit les risques de tomber dans ce type d'arnaques, car un collaborateur finira toujours par se rendre compte que la demande est illégitime et qu’aucune suite ne doit lui être donnée. Enfin, un processus de vérification de l'identité de l'expéditeur doit également être mis en place, par exemple en comparant son nom ou son compte bancaire à une liste conservée en interne ou en essayant de le contacter par un autre moyen. Toute modification de cette liste interne doit être approuvée par un supérieur hiérarchique.
Les médias sociaux et le site Internet d'une organisation permettent de toucher de nombreux clients. Toutefois, il n'est pas toujours possible de contrôler totalement le public qui a accès aux informations et aux messages publiés. Les informations personnelles ou confidentielles n’ont pas leur place sur ces plateformes, car elles pourraient être utilisées à des fins malveillantes, par exemple pour identifier les collaborateurs qui travaillent dans le département financier et qui seraient plus à même d'effectuer un virement urgent à l'intention de leur CEO.
Les comptes sont une porte d'entrée vers l'ensemble de l'environnement d'une organisation. Ils doivent donc être protégés par des mots de passe forts, différents pour chaque compte. Un mot de passe fort comporte au moins douze caractères et une combinaison de majuscules et de minuscules, de chiffres et de symboles. L'authentification multifacteurs doit être activée dans la mesure du possible, en complément de mots de passe forts. L'authentification multifacteurs exige qu'un utilisateur utilise au moins deux méthodes différentes (par exemple, un mot de passe et un code PIN, un code PIN et un code reçu par SMS) pour vérifier son identité et lui donner accès à la ressource qu'il désire atteindre.
Signalez toujours les arnaques survenues par mail à votre responsable informatique et à l'autorité nationale compétente (suspicious@safeonweb.be (EN) ; suspect@safeonweb.be (FR) ; verdacht@safeonweb.be (NL/DE)) et supprimez-les immédiatement.
Ces contenus visent à partager et à sensibiliser aux bonnes pratiques en matière de Cybersécurité.
Certains de ces conseils peuvent s’appliquer différemment selon le contexte de votre organisation.
Respectez toujours la politique et les consignes en vigueur dans votre organisation.
En cas de doute, demandez d’abord toujours conseil à votre responsable informatique.
