Accompagner vos clients pour protéger leur capital data

Retour sur l’atelier « Accompagner vos clients pour protéger leur capital data », en présence de Mathieu Piau, expert-comptable et rapporteur délégué du 78^e Congrès, Denis Boyer, chargé de mission risque cyber chez cybermalveillance.gouv.fr ¹, et le lieutenant-colonel Sophie Lambert, qui retrace dans nos colonnes deux des principales cybermenaces que représentent les hameçonnages avec un focus sur l’arnaque au président (autrement dit faux ordre de virement) et les rançongiciels qui touchent près de 74 % des entreprises en France.

Véritable or noir pour les hackers, la data attise toutes les convoitises. L’exploitation et la monétisation de ces datas ont pris une importance capitale aussi bien pour les administrations, les organisations publiques, les entreprises privées que pour les cyberdélinquants.

Protéger son capital data est aujourd’hui devenu indispensable pour se prémunir des attaques et des conséquences qui en découlent.

La menace numérique s’avère complexe à quantifier précisément, car elles ne font pas toutes l’objet d’un dépôt de plainte. On dénombre une plainte pour 250 faits d’attaque cyber ! Le faible montant dérobé amène parfois les particuliers à se résigner et à ne pas déposer plainte. En cas de rançongiciels, certaines entreprises soucieuses de leur image et/ou de reprendre une activité rapidement préfèrent payer et/ou ne pas déposer plainte.

L’hameçonnage ou phishing, menace majeure pour les particuliers comme pour les entreprises

Le phishing est une technique d’ingénierie sociale utilisée par les cybercriminels pour tromper les utilisateurs et les inciter à divulguer des informations confidentielles. Les attaquants envoient généralement des courriels ou des messages texte qui semblent provenir d’organisations légitimes, en utilisant des logos, des noms de domaine et des mises en page similaires. Ces messages contiennent souvent des liens vers de fausses pages Web qui ressemblent à s’y méprendre aux sites légitimes. Lorsque les utilisateurs saisissent leurs informations sur ces pages, elles sont capturées par les cybercriminels.

Les statistiques montrent une augmentation significative des attaques par hameçonnage en 2022. Le chiffre a doublé par rapport à 2021. On estime aujourd’hui qu’il y a plus de 500 millions d’attaques de ce type en 2022. Les secteurs les plus touchés par les attaques d’hameçonnage sont les services financiers, la santé et les technologies de l’information. Les cybercriminels ciblent également de petites et moyennes entreprises, car elles sont souvent moins bien protégées que les grandes.

Les différents types d’hameçonnage 

Il existe plusieurs types d’hameçonnage, chacun disposant de ses propres caractéristiques et méthodes d’attaque. 

Le phishing par courriel : les attaquants envoient des e-mails frauduleux qui semblent provenir d’organisations légitimes, demandant aux utilisateurs de mettre à jour leurs informations personnelles ou de confirmer des transactions.

Le smishing : cette technique utilise des messages texte frauduleux pour inciter les utilisateurs à cliquer sur des liens malveillants ou à envoyer des informations confidentielles par SMS.

Le vishing : les attaquants utilisent des appels téléphoniques pour se faire passer pour des représentants d’entreprises légitimes et inciter les utilisateurs à divulguer des informations sensibles.

Le spear-phishing : cette forme de phishing cible spécifiquement des individus ou des organisations en utilisant des informations personnelles ou professionnelles pour rendre les attaques plus crédibles (ingénierie sociale).

Il est essentiel de prendre des mesures pour se protéger contre le phishing. 

• Méfiez-vous des courriels et des messages texte non sollicités : ne cliquez pas sur les liens ou les pièces jointes provenant de sources inconnues ou suspectes. Vérifiez toujours l’adresse électronique de l’expéditeur et recherchez des signes de fraude, tels que des fautes d’orthographe ou des erreurs grammaticales.

• Ne partagez pas d’informations confidentielles : ne répondez jamais à des e-mails ou à des messages texte demandant des informations personnelles ou financières. Les organisations légitimes ne vous demanderont jamais de fournir ces informations par e-mail ou par message texte.

• Vérifiez les sites Web : avant de saisir des informations sensibles sur un site Web, assurez-vous qu’il est sécurisé en vérifiant la présence d’un cadenas dans la barre d’adresse et en vérifiant que l’URL commence par « https:// » plutôt que « http:// ».

• Utilisez des mots de passe forts : choisissez des mots de passe uniques et complexes pour chaque compte en ligne. Utilisez une combinaison de lettres, de chiffres et de caractères spéciaux, et évitez d’utiliser des informations personnelles évidentes.

• Mettez à jour vos logiciels : assurez-vous que votre système d’exploitation, vos navigateurs Web et vos logiciels de sécurité sont à jour. Les mises à jour régulières aident à combler les failles de sécurité connues.

Le phishing est une menace sérieuse qui peut entraîner des conséquences financières et personnelles désastreuses. Souvenez-vous toujours d’être vigilant et de ne jamais divulguer d’informations confidentielles à moins d’être sûr de l’identité et de la légitimité de la demande. Si vous avez des doutes, contactez directement l’organisation concernée par le biais de canaux officiels pour vérifier l’authenticité de la demande.

Focus sur l’arnaque au président ou faux ordre de virement

L’arnaque au président, une fraude sophistiquée dans laquelle les fraudeurs se font passer pour des personnalités de confiance afin de soutirer de l’argent ou des informations confidentielles, est devenue de plus en plus répandue.

L’arnaque au président repose sur la ruse et la manipulation. Les fraudeurs effectuent des recherches minutieuses sur leurs cibles, puis envoient des courriels ou des messages convaincants demandant des transferts d’argent urgents ou la divulgation d’informations sensibles. Leur tactique principale est de créer un sentiment d’urgence, forçant ainsi la victime à agir rapidement sans réfléchir.

C’est l’une des escroqueries les plus pernicieuses et les plus répandues. Elle cible les entreprises en exploitant la confiance et la crédulité de leurs employés. Face à cette menace sérieuse, il est impératif de mettre en place des mesures de protection solides pour prévenir de telles fraudes.

En comprenant les tactiques des fraudeurs et en adoptant des stratégies intelligentes, les individus et les organisations peuvent renforcer leur résilience face à cette menace croissante et protéger leurs finances, leur réputation et leurs données sensibles.

Les étapes clés pour se prémunir contre cette forme d’escroquerie sophistiquée

• Il est essentiel de sensibiliser les collaborateurs et les employés à l’existence de l’arnaque au président et de les former à reconnaître les signes révélateurs. Un personnel informé est la première ligne de défense contre cette escroquerie.

• Mettre en place des protocoles de vérification rigoureux pour les demandes de transfert d’argent ou d’informations confidentielles. Toute demande inhabituelle doit être confirmée en personne (avec votre propre liste de contacts et non les coordonnées qui vous sont données par mail ou par téléphone) ou par un autre moyen de communication, éliminant ainsi les risques d’escroquerie.

• Mettre en place des politiques de sécurité claires concernant les transferts d’argent, les changements de RIB et l’accès aux informations confidentielles. Assurez-vous que chaque employé comprend ces politiques et les suit rigoureusement.

• Encourager l’utilisation de l’authentification à deux facteurs pour tous les comptes professionnels et personnels. Cela ajoute une couche de sécurité supplémentaire en cas de compromission du mot de passe.

• Utiliser des solutions de sécurité informatique avancées pour scanner les courriels à la recherche de signes de phishing et pour bloquer les messages suspects avant qu’ils n’atteignent la boîte de réception des employés (filtre de filoutage de votre navigateur Internet ou logiciel de filtre anti-pourriel).

Vous l’aurez compris, l’arnaque au président est une menace sérieuse qui exige une vigilance constante. En sensibilisant les employés, en établissant des protocoles stricts et en utilisant des technologies de sécurité avancées, vous mettez toutes les chances de votre côté pour vous prémunir contre cette escroquerie sophistiquée.

Le rançongiciel, la data prise en otage

Dans le monde numérique, une ombre menaçante plane sur les particuliers et les entreprises : les rançongiciels. Ces logiciels malveillants ont connu une croissance explosive au cours des dernières années, provoquant des pertes financières massives et mettant en péril la sécurité des données.

Le rançongiciel, également connu sous le nom de ransomware, est un type de logiciel malveillant conçu pour chiffrer les fichiers d’un utilisateur ou bloquer l’accès à un système informatique, rendant ainsi les données inaccessibles. Les cybercriminels exigent ensuite une rançon, généralement en cryptomonnaie, en échange de la clé de déchiffrement ou de la restauration de l’accès aux fichiers. Les rançongiciels sont souvent distribués via des courriels de phishing, des sites Web compromis ou des téléchargements malveillants. Ces attaques peuvent paralyser des entreprises, perturber les services essentiels et entraîner des pertes financières considérables.

Le coût des attaques 

Selon les dernières statistiques, les attaques par rançongiciel ont augmenté de plus de 150 % au cours des deux dernières années, touchant des secteurs allant des petites entreprises aux institutions gouvernementales. Une récente étude menée sur le coût des cyberattaques réussies en France en 2022 ², évalue celui-ci à 2 milliards d’euros. Il se répartit comme suit :

• le paiement des rançons (888 millions d’euros) ;

• le coût direct (887 millions d’euros), qui comptabilise les ressources allouées à la résolution de la crise (mobilisation des équipes internes, services professionnels externes, sollicitation des avocats) ;

• les pertes de production (252 millions d’euros).

Le coût moyen (public-privé) par cyberattaque réussie est de 59 000 euros.

Les bonnes pratiques à partager 

Prévenir les rançongiciels implique une combinaison de sensibilisation, de mesures de sécurité informatique et de bonnes pratiques en matière de cybersécurité. Il existe des stratégies concrètes et des pratiques pour se prémunir contre les rançongiciels. 

• Sensibiliser et former. La sensibilisation de vos collaborateurs et de vos clients aux techniques de phishing et aux bonnes pratiques en ligne est la première ligne de défense. Des rappels réguliers peuvent réduire les risques d’infection par des rançongiciels.

• Mettre à jour régulièrement votre système d’information et vos logiciels. Les rançongiciels exploitent souvent des vulnérabilités non corrigées, d’où l’importance des mises à jour régulières.

• Effectuez des sauvegardes fréquentes de vos données et stockez-les hors ligne. Cela permet de restaurer les données sans avoir à payer de rançon en cas d’attaque.

• Installez un logiciel antivirus et antimalware fiable, et assurez-vous qu’il est constamment mis à jour pour détecter et bloquer les menaces.

• Restreindre les droits d’accès des utilisateurs et limitez les droits administratifs aux personnes qui en ont besoin, réduisant ainsi la surface d’attaque en cas de compromission.

• Rester prudent face aux courriels et aux liens provenant de sources inconnues. Éviter de télécharger des pièces jointes ou de cliquer sur des liens suspects, même s’ils semblent provenir de sources fiables (la confiance n’exclut pas le contrôle).

En restant informés et en adoptant ces mesures de précaution, vous pouvez renforcer votre résilience face aux rançongiciels. En travaillant ensemble pour sensibiliser les collaborateurs et protéger votre capital data, nous pouvons défendre vos données et vos finances contre cette épidémie silencieuse. Ne soyez pas des victimes passives : prenez dès aujourd’hui des mesures pour protéger notre avenir numérique.

Après un panorama quelque peu anxiogène, mais nécessaire à la prise de conscience des menaces et de leurs conséquences, nous avons proposé quelques gestes barrières de cybersécurité globale à mettre en place pour mieux vous protéger. Vous l’avez compris, la question désormais posée n’est pas de savoir si vous allez être attaqué, mais quand et comment vous allez résister.

Cybermenaces : un avenir complexifié par l’innovation technologique

Dans un monde de plus en plus connecté, les perspectives des cybermenaces évoluent à un rythme effréné, alimentées par l’innovation technologique constante. Les cybercriminels s’adaptent rapidement, exploitant les nouvelles technologies pour créer des attaques plus sophistiquées et plus ciblées.

Les tendances émergentes

• L’augmentation de la sophistication des cyberattaques, grâce à l’utilisation de l’intelligence artificielle et de l’apprentissage automatique (ChatGPT), pose un défi majeur aux systèmes de sécurité.

• Les objets connectés mal sécurisés deviennent des cibles privilégiées, offrant aux cybercriminels des opportunités pour des attaques dévastatrices.

• Les cybercriminels exploitent les vulnérabilités dans la chaîne d’approvisionnement, soulignant l’importance de la vigilance à tous les niveaux.

• Les deepfakes et la manipulation de l’information représentent un défi croissant pour la vérité et l’intégrité de l’information en ligne.

De manière générale, il est admis que le facteur humain restera à l’avenir une des principales failles exploitées par les cyberdélinquants. Face à ces évolutions, impliquant une nécessaire adaptation du commandement de la gendarmerie dans le cyberespace, la vigilance des usagers dans leur vie numérique demeure donc l’une des parades les plus efficaces, au même titre que la prévention et la sensibilisation continueront à revêtir indubitablement un caractère central.

En déposant plainte ou en signalant ces incidents, les autorités peuvent mieux comprendre et répondre aux menaces, tout en renforçant la sécurité en ligne pour le plus grand nombre. La coopération entre les victimes et les forces de l’ordre est essentielle pour construire un cyberespace plus sûr et protéger notre société contre les menaces numériques.

N’oubliez pas que « l’appel qui nous dérangera c’est celui que vous ne passerez pas ! » 

Quels outils à votre disposition ?  

Il existe des outils et des informations utiles pour vous prémunir des cyberattaques et vous orienter sur les démarches à effectuer. 

• Ma sécurité : l’application mobile pour faciliter les échanges avec la gendarmerie et la police : https://www.gouvernement.fr/actualite/le-ministere-de-linterieur-poursuit-sa-modernisation-avec-le-lancement-de-lapplication-ma-securite-et-de-nouveaux-outils-numeriques

• Le site du CNOEC : « Tout savoir sur la cybersécurité » : https://extranet.experts-comptables.org/xtc_recherche?fulltext=cybersecurite?modal=1

• Cybermalveillance : site qui a pour mission d’assister les particuliers, les entreprises, les associations, les collectivités et les administrations victimes de cybermalveillance, de les informer sur les menaces numériques et les moyens de s’en protéger. https://www.cybermalveillance.gouv.fr/