Les escroqueries liées à la compromission des e-mails d’affaires (BEC – Business Email Compromise) sont maintenant la principale cause des pertes financières liées aux cyberattaques. Des milliards sont perdus chaque année et on prévoit que le nombre d’attaques et de pertes continuera d’augmenter.
Business Email Compromise : quelles sont les pertes ?
Environ 1 % du PIB mondial est perdu chaque année à cause de la cybercriminalité et ce chiffre augmente rapidement. Actuellement, environ 600 milliards de dollars sont perdus chaque année à cause des attaques cybercriminelles. Un rapport publié par le bureau du département du Trésor des États-Unis, Financial Crimes Enforcement Network ou FinCEN, le juillet 2018 montre que les déclarations d’activités suspectes (DAS) sont passées de plus de 98 millions d’euros par mois en 2016 à plus de 270 millions d’euros par mois en 2018. Cybersecurity Ventures prévoit que les pertes mondiales atteindront près de 5,4 milliards de dollars en 2021. Selon le FBI, plus d’un milliard d’euros ont été perdus aux États-Unis en 2018 à cause d’escroqueries liées à la compromission des emails professionnels.
Business Email Compromise : comment fonctionne l’attaque ?
Les emails de Business Email Compromise impliquent l’usurpation de l’identité d’un cadre supérieur ou d’une autre personne, dont le compte e-mail compromis est utilisé pour envoyer des demandes frauduleuses de virement électronique. Une autre variante vise à usurper l’identité d’un associé de l’entreprise et les demandes envoyées exigent des rançons qui doivent être d’être payés. Cette dernière est maintenant plus fréquente que les attaques qui usurpent l’identité du PDG.
Les attaques BEC commencent généralement par une attaque de spear phishing dont le but est d’obtenir des informations d’identification de compte de messagerie. Une fois les informations d’identification compromises, le compte est utilisé pour envoyer des messages à d’autres personnes de l’organisation, telles que les employés du service de la paie, le personnel des ressources humaines ou de la finance. Comme les e-mails semblent provenir d’une source fiable au sein de l’organisation et les demandes de virement bancaire ne sont pas inhabituelles, le paiement est souvent effectué.
Une attaque réussie peut entrainer des virements bancaires importants effectués sur des comptes contrôlés par les attaquants. Les paiements s’élèvent souvent à des dizaines de milliers d’euros ou, dans certains cas, à plusieurs millions d’euros. Une attaque récente contre une filiale du constructeur automobile Toyota Boshoku Corporation a donné lieu à un transfert frauduleux de plus de 33 millions d’euros aux agresseurs.
Bien que cet incident se distingue des autres par l’ampleur de la perte d’argent causée, les transferts frauduleux de millions d’euros sont loin d’être inhabituels. Dans de nombreux cas, seul un faible pourcentage des fonds transférés est recouvré. Comme ces attaques peuvent être extrêmement rentables, il n’est pas surprenant que tant de cybercriminels le fassent.
Un nouveau rapport de l’assureur AIG montre que les attaques BEC sont maintenant la principale raison des réclamations d’assurance liées à la cybersécurité, ayant dépassé pour la première fois les attaques de ransomwares. 23 % de toutes les réclamations liées aux cyberattaques sont dues à des escroqueries de la BEC.
Business Email Compromise : comment éviter ces attaques ?
Dans la plupart des cas, ces attaques BEC peuvent être évitées grâce à des mesures de cybersécurité de base. AIG attribue l’augmentation des réclamations à de mauvaises mesures de sécurité dans les organisations ciblées. Les enquêtes ont révélé de nombreuses défaillances de base en matière de cybersécurité, comme le fait de ne pas offrir de formation de sensibilisation à la sécurité aux employés, le fait de ne pas imposer l’utilisation de mots de passe forts, l’absence d’authentification multifactorielle et la faiblesse des contrôles de sécurité de la messagerie.
Si les entreprises ne parviennent pas à mettre en œuvre ces mesures de cybersécurité de base, les attaques sont inévitables. Les polices d’assurance peuvent couvrir une partie des pertes, mais de nombreuses PME ne seront pas en mesure de faire une réclamation. Pour eux, les attaques BEC peuvent être catastrophiques.
Si vous dirigez une entreprise et que vous vous inquiétez de vos défenses contre le phishing, le spear phishing et les attaques BEC, contactez TitanHQ. Nous nous ferons un plaisir de vous faire découvrir nos solutions de sécurité web qui peuvent bloquer les attaques BEC.