Cybersécurité - Innovations digitales et numériques

Autre mutation importante de cette opération : alors que les cybercriminels ciblaient initialement des entreprises françaises installées en France, ils ont maintenant étendu leurs tentatives à des professionnels francophones travaillant dans des entreprises à l’étranger.

Plus d’informations sont disponibles sur le blog de Symantec.

Vous avez été victime d’une « fraude au président »… Mais, à peine les fonds partis, vous avez un doute ? Il n’est peut-être pas trop tard. Quelques pistes pour tenter d’annuler l’opération. Mais attention : les escrocs ont désormais conscience du risque et certains poursuivent leur escroquerie pendant quelques heures à la suite du virement. Dans de nombreux cas, la fraude a également lieu juste avant le week-end, rendant les démarches a posteriori plus complexes…

Tout ce long laïus pour démontrer une chose : le pirate informatique aura toujours l’arme de l’ingénierie sociale dans sa manche pour effectuer l’acte de piratage le plus efficace possible. On se rappelle tous du fameux maliciel «I Love You». Le coup de génie dans cette attaque était d’attiser la curiosité de la cible afin qu’il ouvre la pièce jointe intitulée «I Love You» dans un courriel. En fait, c’était tellement efficace que des individus ouvraient la pièce jointe même s’ils savaient qu’un maliciel du genre existait. Vous savez, d’un coup qu’il s’agissait véritablement d’une lettre enflammée en provenance d’un bel inconnu…

Si quelqu'un appelle en prétendant être d'une qualité officielle, demandez des preuves. Demandez un numéro de poste afin de pouvoir rappeler cette personne. Si la personne prétend être un employé d'un autre bureau ou d'un fournisseur, demandez une information vous permettant de confirmer son identité. S'il s'agit d'un policier, demandez son numéro de badge. Si ces personnes sont légitimes, elles vous fourniront les informations demandées sans hésitation.

Ne cédez pas à la pression « vous avez quelques minutes pour agir ». Vous avez toujours le temps de réfléchir et de vérifier.

Méfiez-vous toujours des situations dans laquelle vous êtes activement contacté au sujet d'un problème. Aucune entreprise légitime ne vous demandera votre mot de passe, et le gouvernement enverra toujours une lettre pour les communications officielles. Et si vous recevez soudainement un appel d'un ami ou d'un parent prétendant être bloqué dans un pays étranger et ayant besoin que vous leur envoyez de l'argent au plus vite, ne leur faite pas simplement confiance parce qu'il ou elle connaît le nom de vos frères et sœurs ou le nom de votre chien.

Soyez conscient de ce que vous communiquez en ligne, et réglez les paramètres de contrôle de votre confidentialité. Il existe certaines informations que vous ne devriez jamais communiquer en ligne, telles que votre mot de passe, les réponses aux questions de sécurité (comme le nom de jeune fille de votre mère) ou votre numéro de sécurité sociale.

Vous pouvez toujours vous rendre utile, mais prenez le temps de douter et de tout évaluer. Une petite dose de scepticisme n'a jamais fait de mal, et peut faire une énorme différence lorsqu'il s'agit de cybercriminalité.

Le point intéressant à retenir est que l’opération s’exécute en deux phases. D’abord un employé au sein d’une entreprise reçoit par email une fausse facture à régler semblant provenir d’un opérateur téléphonique français.

Le courrier est un phishing ciblé : les auteurs ont pris le temps d’étudier l’environnement de l’entreprise afin de rendre leur courrier crédible. Bien entendu, la « facture » est en réalité un exploit destiné à installer un code malveillant sur l’ordinateur de la victime.

Plusieurs réflexes peuvent vous éviter d'être le prochain sur la liste. " Sensibilisez vos salariés en leur demandant de ne jamais accepter ce type de demande. Spécifiez-leur aussi qu'ils ne seront pas punis s'ils refusent d'effectuer un tel virement ", conseille Jean-Louis Di Giovanni. Bien souvent, les fraudeurs frappent lors des périodes de vacances du dirigeant ou la veille de week-end allongés. " Une fois que le virement est parti, vous disposez dans le meilleur des cas de moins de 48h pour le bloquer. " Restez vigilant lors de ces périodes propices.

Vous pouvez aussi limiter les virements manuels à certains collaborateurs seulement, ou instaurer des procédures spéciales pour les règlements en urgence. Désigner un référent en interne alerté en cas de suspicion de fraude est une autre possibilité. Enfin, sachez que les escrocs rivalisent d'imagination et peuvent vous duper en se faisant passant pour votre avocat, un responsable de l'administration fiscale, votre banquier.... " Depuis janvier, on observe une recrudescence des fraudes liées au passage au format Sepa, via des supposés tests de virements. Une PME de moins de 150 salariés s'est ainsi récemment fait dérober plus d'un million d'euros... ", dévoile Jean-Louis Di Giovanni. Mieux vaut donc redoubler de vigilance.

Mise à jour du contrat développeur et blocage des téléchargements des fichiers applicatifs APK de sources alternatives depuis le navigateur Android sont quelques-unes des mesures prises par Google, essentiellement depuis Android 4.3, pour mettre fin aux PUA et prolifération des malwares. Mais si à terme « les nouvelles mesures de sécurité de la plate-forme Android auront des effets positifs sur les taux d’infection […] leur adoption restera lente, laissant les utilisateurs exposés aux attaques par ingénierie sociale », estiment les auteurs du rapport. Selon eux, « la sécurité mobile dans son ensemble continuera d’être un sujet brûlant en 2014 ». N’en doutons pas.