Définition de la fraude du PDG
La fraude au PDG est un type de cybercriminalité dans lequel les attaquants se font passer pour des cadres d'une entreprise afin d'inciter un employé à envoyer des virements non autorisés ou à divulguer des informations sensibles. Le FBI rapporte qu'entre 2016 et 2019, la fraude des PDG (également connue sous le nom de Business Email compromise, ou BEC) a entraîné des pertes de 26 milliards de dollars pour les entreprises du monde entier[i].
Comment fonctionne le phishing frauduleux des chefs d'entreprise ?
La fraude au PDG est une forme très ciblée de spear-phishing dans laquelle les attaquants recherchent des victimes potentielles et leurs entreprises en ligne, en apprenant tout ce qu'ils peuvent sur le site web de l'organisation, ainsi que des informations sur les sites de médias sociaux tels que LinkedIn, Facebook et Twitter. Les cibles sont généralement des membres du personnel de niveau intermédiaire des services financiers, de la comptabilité ou des ressources humaines. Les attaquants conçoivent un courriel d'apparence très réaliste qui semble provenir du PDG de l'entreprise ou d'un autre cadre de haut niveau et utilisent des informations apprises sur la cible pour donner l'impression que le courriel est authentique. Le message incite le destinataire à prendre des mesures immédiates pour transférer de l'argent sur un compte spécifique, fournir des informations sensibles telles que des données salariales ou fiscales, ou partager des informations d'identification qui peuvent permettre à des pirates d'accéder aux systèmes de l'entreprise. Parce que ces attaques frauduleuses de PDG mettent l'accent sur l'urgence, le secret et/ou la confidentialité, les employés sont souvent enclins à agir sans vérifier deux ou trois fois la légitimité de la demande.
Les escroqueries par courriel de type phishing sont en augmentation
La fraude des PDG, un nouveau type de menace pour la sécurité des courriels d'entreprise, a fortement augmenté au cours des derniers mois. Également connues sous le nom de whale phishing, les escroqueries par courriel de type CEO fraud usurpent l'identité de personnes ayant accès à des informations financières ou à d'autres données sensibles pour les inciter à effectuer des virements électroniques ou à divulguer par courriel des numéros de comptes bancaires, des informations sur des cartes de crédit, des mots de passe et d'autres données de grande valeur. Ces escroqueries visent souvent les PDG, les directeurs financiers ou d'autres cadres de haut niveau, ou se font passer pour eux.
Le FBI signale que les cas de fraude au PDG et d'whaling ont augmenté de 270% entre janvier et août 2015, et que les pertes dues à ces escroqueries ont dépassé 1,2 milliard de dollars en un peu plus de deux ans1. Alors que les organisations cherchent des moyens de prévenir la fraude des PDG, de nombreuses entreprises se tournent vers les solutions de sécurité des emails de Mimecast.
Comment reconnaître une fraude à l'encontre d'un chef d'entreprise ?
La fraude des chefs d'entreprise est beaucoup plus difficile à reconnaître que les courriels de phishing courants qui sont envoyés à des centaines ou des milliers de destinataires. La demande peut même provenir d'une adresse électronique légitime qui a été piratée par des attaquants. Cependant, il existe plusieurs caractéristiques de la fraude au poste de directeur général que tous les employés doivent surveiller.
- Demandes de transfert d'argent ou de partage d'informations sensibles. Toute demande de ce type doit être considérée avec scepticisme par les employés, qui doivent avoir pour instruction de prendre des mesures pour vérifier l'authenticité des demandes avant de s'y conformer.
- Un ton urgent ou menaçant. Les attaques frauduleuses des PDG sont conçues pour encourager les employés à agir rapidement et sans remettre en question leurs actions.
- Demandes formulées par des cadres qui se déclarent indisponibles pour une période donnée. Les attaquants suggèrent souvent que l'expéditeur du courriel n'est pas disponible pour des communications qui pourraient corroborer la demande.
- Le langage qui demande le secret ou la confidentialité. Cette disposition vise à empêcher les employés de vérifier la légitimité de la demande auprès d'autres collègues ou de leurs supérieurs immédiats.
- Numéros de compte inhabituels. Les courriels frauduleux des PDG peuvent demander des virements sur des comptes bancaires ou de fournisseurs différents de ceux sur lesquels l'argent est habituellement transféré.
- Inadéquation de l'adresse électronique de l'expéditeur ou des adresses URL contenues dans le courrier électronique. Les attaquants peuvent utiliser des adresses électroniques et des liens qui sont de légères variations d'adresses électroniques et de sites web, conçus pour passer inaperçus aux yeux des destinataires pressés d'accéder à la demande de l'expéditeur.
Prévention de la fraude par les chefs d'entreprise avec Mimecast
Mimecast propose des services de sécurité, d'archivage et de continuité en nuage qui protègent les business email et offrent une gestion complète des risques liés aux courriels en un single service d'abonnement. Mimecast Targeted Threat Protection avec Impersonation Protect offre des défenses très efficaces pour lutter contre la fraude des chefs d'entreprise, améliorer la sécurité du whaling. Impersonation Protect analyse le courrier électronique entrant à la recherche d'indicateurs clés suggérant que le message pourrait faire partie d'une tentative de fraude de la part d'un chef d'entreprise. Il s'agit notamment de
- Le nom d'affichage, ou nom amical, qui peut révéler qu'un attaquant tente d'usurper une adresse électronique interne.
- Le nom de domaine de l'expéditeur. Les attaquants utilisent souvent un nom de domaine très similaire à celui du destinataire, avec de petites différences qui peuvent ne pas être remarquées immédiatement.
- La date d'enregistrement du nom de domaine émetteur. Les domaines nouvellement enregistrés sont souvent utilisés dans la fraude au PDG et peuvent indiquer que le message est suspect.
- Certains mots tels que "transfert bancaire" ou "wire transfer" dans le corps du message qui peuvent indiquer que le message fait partie d'une attaque.
Consultez notre blog pour connaître les dernières tendances en matière de cybersécurité.
Caractéristiques de la solution de Mimecast contre la fraude des chefs d'entreprise
Le service Impersonation Protect de Mimecast vous aide à prévenir la fraude au poste de chef d'entreprise :
- Protection en temps réel contre les attaques d'ingénierie sociale qui n'utilisent pas les tactiques habituelles telles que les malwares, les URL malveillants et les pièces jointes militarisées.
- Contrôle total de la manière dont les messages suspects sont traités. Les messages peuvent être rejetés, mis en quarantaine ou marqués comme suspects afin d'alerter les utilisateurs sur la possibilité d'une tentative de fraude.
- Protection complète grâce à l'infrastructure de veille sur les menaces et aux équipes de Messaging Security de Mimecast.
Apprenez-en plus sur la prévention de la fraude des PDG avec Mimecast et sur la malware protection, l' outil de détection du spam et la solution de transfert sécurisé de fichiers volumineux de Mimecast.
FAQ sur la fraude au poste de chef d'entreprise
Quelles sont les méthodes les plus courantes d'attaque des PDG par des fraudeurs ?
Les méthodes couramment utilisées dans les attaques frauduleuses des PDG sont les suivantes :
Phishing - Les escrocs envoient des courriels qui semblent provenir du PDG d'une entreprise ou d'un autre cadre supérieur. Ces courriels demandent souvent des informations sensibles, telles que des identifiants de connexion ou des données financières.
Spoofing - Les escrocs imitent l'adresse électronique d'un chef d'entreprise et envoient des messages qui semblent provenir de lui. Là encore, ces messages demandent souvent des informations sensibles.
Ingénierie sociale - Les escrocs essaient d'inciter les gens à leur fournir des informations sensibles en se faisant passer pour quelqu'un qu'ils ne sont pas. Par exemple, ils peuvent appeler un employé et se faire passer pour le PDG afin d'obtenir des informations de connexion.
Qui court le plus grand risque d'être la cible d'une attaque frauduleuse de la part d'un chef d'entreprise ?
Il n'y a pas de réponse définitive à cette question, car les attaques frauduleuses des PDG peuvent viser toute personne disposant d'un compte de courrier électronique. Toutefois, certains groupes de personnes peuvent être plus exposés en raison de leur position professionnelle ou du type d'entreprise pour laquelle ils travaillent.
Par exemple, les employés qui travaillent dans la finance ou la comptabilité sont souvent la cible des PDG fraudeurs car ils ont accès à des informations sensibles qui peuvent être utilisées pour commettre des fraudes.
De même, les employés des grandes entreprises ou organisations sont souvent ciblés, car les PDG fraudeurs savent que ces entreprises disposent généralement de plus d'argent et de ressources qu'ils peuvent exploiter.
En fin de compte, tout le monde peut être victime d'une fraude au poste de chef d'entreprise. Il est donc important que chacun soit conscient des risques et prenne des mesures pour se protéger. Voici quelques mesures simples que vous pouvez prendre pour vous protéger :
- Se méfier des courriels non sollicités.
- Ne cliquez pas sur des liens ou des pièces jointes provenant de sources inconnues.
- Vérifiez les demandes d'informations ou d'argent avant d'y répondre.
Comment les entreprises peuvent-elles prévenir la fraude des chefs d'entreprise ?
Une prévention efficace de la fraude au détriment du chef d'entreprise nécessite plusieurs niveaux de protection :
- Une formation de sensibilisation à la sécurité qui informe les employés sur les signes potentiels de fraude à la direction générale et d'autres types de cyberattaques.
- Politiques et procédures à l'échelle de l'entreprise qui exigent plusieurs niveaux d'autorisation ou une documentation appropriée (y compris des bons de commande) et/ou une approbation verbale avant que de l'argent puisse être transféré ou que des informations sensibles puissent être partagées.
- Technologie de sécurité du courrier électronique qui peut analyser et filtrer les courriers électroniques en temps réel afin d'empêcher les utilisateurs d'ouvrir des pièces jointes suspectes ou de cliquer sur des liens susceptibles d'être malveillants.
- Logiciel de lutte contre l\'usurpation d\'identité qui permet d\'identifier les attaques potentielles de fraude à la direction générale en analysant l\'en-tête et le contenu du courrier électronique pour y déceler les signes de techniques d\'ingénierie sociale sans malware souvent utilisées dans ces attaques.
- Services d'authentification DNS qui utilisent DMARC, DKIM et SPF pour déterminer la légitimité des courriels.
- Programmes anti-malware et anti-spam qui peuvent bloquer certains courriels au niveau de la passerelle de messagerie.
Comment signaler une fraude commise par un chef d'entreprise ?
Les tentatives d'escroquerie au poste de directeur général, qu'elles soient réussies ou non, doivent être immédiatement signalées au service informatique de l'entreprise, à la direction (y compris à la personne dont l'identité a été usurpée) et à la banque à partir de laquelle les fonds ont été transférés.
Les attaques doivent également être signalées aux agences gouvernementales qui luttent contre la cybercriminalité, telles que la Cybersecurity and Infrastructure Security Agency(phishing-report@us-cert.gov), la Federal Trade Commission(www.ftc.gov/complaint) et l'Anti-Phishing Working Group(https://apwg.org/reportphishing).
