Cybersécurité - Innovations digitales et numériques

Le point intéressant à retenir est que l’opération s’exécute en deux phases. D’abord un employé au sein d’une entreprise reçoit par email une fausse facture à régler semblant provenir d’un opérateur téléphonique français.

Le courrier est un phishing ciblé : les auteurs ont pris le temps d’étudier l’environnement de l’entreprise afin de rendre leur courrier crédible. Bien entendu, la « facture » est en réalité un exploit destiné à installer un code malveillant sur l’ordinateur de la victime.

Terminé, les attaques informatiques lancées au hasard de la Toile par des gangsters de pacotille : place aux interventions ciblées et de grande envergure beaucoup plus rémunératrices, menées par des cyberpirates professionnels. Telle est la principale tendance observée par Symantec, qui a publié, hier, son rapport annuel 2013 sur le sujet. En amont, le cybergangster identifie l'entreprise à attaquer. Pour pénétrer son système informatique sans éveiller les soupçons, il repère sur le Web et les réseaux sociaux des salariés pouvant faire office de porte d'entrée. Dans le jargon, on appelle ça du « social engineering ». Il expédie, ensuite, des mails sur mesure (offres promotionnelles en adéquation avec la victime). « Un pirate envoie une vingtaine de messages, contre une centaine avant. C'est moins suspect », indique Laurent Heslault, directeur des stratégies de sécurité de Symantec.

Lors d’une conférence organisée récemment par l’assureur AIG et le cabinet d’avocats Boken sur la « Fraude aux faux ordres de virements », Raphaël Gauvain avocat associé chez Boken a présenté un « Guide à l’usage des entreprises pour la protection contre la « fraude au président ». Les douze recommandations qui y sont présentées relèvent de trois domaines.

La sécurisation des procédures de virements manuels, tout d’abord (recommandations 1 à 3). « C’est la première des actions à mettre en place : les fraudes concernent des virements significatifs non récurrents : il faut donc contrôler l’accès au cash et auditer les virements manuels de l’entreprise et, en particulier, les procédures d’urgence », explique Raphaël Gauvain.

Plusieurs réflexes peuvent vous éviter d'être le prochain sur la liste. " Sensibilisez vos salariés en leur demandant de ne jamais accepter ce type de demande. Spécifiez-leur aussi qu'ils ne seront pas punis s'ils refusent d'effectuer un tel virement ", conseille Jean-Louis Di Giovanni. Bien souvent, les fraudeurs frappent lors des périodes de vacances du dirigeant ou la veille de week-end allongés. " Une fois que le virement est parti, vous disposez dans le meilleur des cas de moins de 48h pour le bloquer. " Restez vigilant lors de ces périodes propices.

Vous pouvez aussi limiter les virements manuels à certains collaborateurs seulement, ou instaurer des procédures spéciales pour les règlements en urgence. Désigner un référent en interne alerté en cas de suspicion de fraude est une autre possibilité. Enfin, sachez que les escrocs rivalisent d'imagination et peuvent vous duper en se faisant passant pour votre avocat, un responsable de l'administration fiscale, votre banquier.... " Depuis janvier, on observe une recrudescence des fraudes liées au passage au format Sepa, via des supposés tests de virements. Une PME de moins de 150 salariés s'est ainsi récemment fait dérober plus d'un million d'euros... ", dévoile Jean-Louis Di Giovanni. Mieux vaut donc redoubler de vigilance.

Vous avez été victime d’une « fraude au président »… Mais, à peine les fonds partis, vous avez un doute ? Il n’est peut-être pas trop tard. Quelques pistes pour tenter d’annuler l’opération. Mais attention : les escrocs ont désormais conscience du risque et certains poursuivent leur escroquerie pendant quelques heures à la suite du virement. Dans de nombreux cas, la fraude a également lieu juste avant le week-end, rendant les démarches a posteriori plus complexes…

Ces escroqueries, qui ont essentiellement visé jusqu’à présent des sociétés françaises ou francophones, s’appuient sur un mode opératoire précis et désormais bien connu des autorités. « Un escroc se fait passer pour le dirigeant de la société et obtient d’un responsable comptable ou financier, au moyen de pressions ou flatteries, un virement bancaire conséquent vers un établissement financier situé à l’étranger, en général hors de l’Union Européenne. Le « président » exige le secret, en prétextant par exemple une OPA ou un contrôle fiscal en cours, et n’hésite pas à évoquer des autorités comme l’AMF ou à mettre en avant de soi-disant "avocats" », explique Sophie Robert. Concrètement, les contacts se font par téléphone et mail : grâce à des plateformes techniques, les escrocs ont aujourd’hui les moyens technologiques d’afficher les bons numéros de téléphones ou des adresses mails aussi crédibles que rassurantes pour le responsable financier ciblé. « Le discours est très construit et les escrocs ont beaucoup de bagout. Ils font preuve d’une grande force de persuasion et n’hésitent pas à exploiter la naïveté de leurs interlocuteurs. En outre, ils parviennent à s’adapter à la situation et modifient très rapidement leur scénario », explique Sophie Robert.