Rappelez-vous le bon vieux temps où les principaux e-mails de phishing provenaient du Nigeria, essayant sans cesse d’attirer les deux pour cent restants de la population adulte qui n’étaient pas encore familiers avec les fraudes par virement bancaire !
En tant qu’administrateurs informatiques, nous nous rencontrions après le travail et nous nous amusions des fautes d’orthographe flagrantes et des erreurs grammaticales rampantes dans les e-mails. Nous nous moquions aussi tranquillement de la naïveté de leurs victimes qui pouvaient éventuellement tomber dans le piège de ces stratagèmes d’amateurs.
Cette arnaque de fausse facture a rapporté 3 millions de dollars
Avançons rapidement jusqu’au 30 avril 2015, date à laquelle la société Mattel s’est fait escroquer 3 millions de dollars via une attaque de phishing. L’arnaque a été brillamment conçue et parfaitement exécutée.
Le mois d’avril dernier a été une période tumultueuse pour le fabricant de poupées Barbie de renommée mondiale en raison de la combinaison des mauvaises ventes internationales et du licenciement du PDG. Au milieu de cette tourmente, un cadre financier a reçu un message utilisant l’adresse e-mail du nouveau PDG et demandant un transfert de fonds de routine à un nouveau fournisseur en Chine. Souhaitant faire plaisir au nouveau patron, le cadre financier a effectué le transfert à la Banque de Wenzhou, en Chine. Plus tard dans la journée, alors qu’il parlait au PDG, il s’est rendu compte qu’ils s’étaient fait arnaquer. Malheureusement, il était trop tard. L’argent qu’il a envoyé était déjà perdu.
Comment les dirigeants d’une grande entreprise internationale ont-ils pu se faire arnaquer si facilement ? L’attaque contre Mattel n’est qu’un incident parmi d’autres dans ce qui constitue une menace croissante pour les entreprises américaines, à tel point que le FBI a publié une déclaration écrite décrivant ce qu’il appelle le « Business Email Scam » ou « BEC ».
Selon la déclaration du FBI : « Les forces de l’ordre du monde entier ont reçu des plaintes de victimes dans tous les États américains et dans au moins 79 pays. D’octobre 2013 à février 2016, les services de détection et de répression ont reçu des déclarations de 17 642 victimes. Cela représente plus de 2,3 milliards de dollars de pertes.
215 millions de dollars perdus rien que pour les escroqueries de phishing de PDG
De ces 2,3 milliards de dollars, 215 millions de dollars ont été attribués aux seules escroqueries de phishing de PDG. La raison en est simple : les attaquants par phishing d’aujourd’hui font bien leurs devoirs. Ils apprennent la culture et le leadership de l’organisation qu’ils ciblent. Ils connaissent les modèles d’e-mails, les processus de travail et les horaires de tous les cadres de haut niveau. Ensuite, les attaquants capturent ou usurpent les adresses e-mail du PDG ou du président de la société pour mettre en œuvre leur arnaque.
L’usurpation d’adresse électronique est une tactique couramment utilisée dans les attaques de phishing. Comme celle qui visait Mattel, la majorité des attaques de phishing de PDG se produisent souvent lorsque le PDG voyage ou, pire encore, lorsqu’il est en vacances. En effet, cela rend plus difficile la vérification des demandes par e-mail.
Les attaquants de phishing d’aujourd’hui font bien leurs devoirs
L’attaque lancée l’année dernière contre Bonnier Publications en Floride — qui impliquait à nouveau une banque chinoise — est un autre exemple de la manière dont les escroqueries contre les entreprises sont préparées. L’arnaque impliquait deux demandes de virement bancaire distinctes représentant 1,5 million de dollars chacune.
Ce qui a rendu cette arnaque si efficace, c’est qu’elle a été lancée dès le premier jour de travail du nouveau PDG. Heureusement, l’arnaque a été découverte avant le deuxième transfert.
Fraude à la française par le PDG
L’incident le plus célèbre de la BEC en 2016 est l’incident est la fraude à la française par le PDG. Dans cette affaire, le chef comptable d’Etna Industrie avait été informé dans une série d’appels téléphoniques et d’e-mails — qui lui étaient adressés via le compte usurpé du PDG — lui ordonnant d’émettre une série de virements bancaires d’un montant total d’un demi-million de dollars afin de financer un rachat d’entreprise. Cela se passait rapidement et sous grande contrainte. Bien que de nombreux virements électroniques — dont le montant total s’élevait à près d’un demi-million de dollars- aient été envoyés, la banque émettrice a effectivement réussi à en retenir trois.
Le montant d’argent obtenu lors de ces attaques BEC est époustouflant, et c’est la raison pour laquelle ils ont attiré beaucoup d’attention. Mais au-delà des gros titres, il est clair que le phishing n’est plus un sujet de plaisanterie après le travail. Les entreprises doivent être sur leurs gardes et s’assurer qu’elles disposent d’un système de sécurité de la messagerie électronique pouvant détecter et bloquer les e-mails frauduleux avant qu’ils n’atteignent les employés.
Si vous travaillez dans le domaine de la paie, des ressources humaines ou dans des domaines connexes, méfiez-vous des dangers potentiels. Si vous recevez un e-mail vous demandant de payer des factures, prenez le temps de vérifier que l’e-mail en question est légitime avant de vous y conformer.