Les attaques de compromission de messagerie professionnelle (BEC) dépassent la rançongiciel comme menace cybernétique majeure

Ces dernières années, le paysage des menaces cybernétiques a connu un changement significatif, avec les attaques de compromission de messagerie professionnelle (BEC) gagnant en importance par rapport aux rançongiciels. Selon le rapport « Phishing Threats 2023 » de Cloudflare, les pertes financières liées aux BEC ont connu une augmentation inquiétante de 17 % entre décembre 2021 et 2022. Cette augmentation souligne la préférence croissante des adversaires cybernétiques pour les BEC comme méthode d’attaque de choix.

La menace croissante des BEC

Les BEC sont une forme de hameçonnage impliquant des attaquants qui usurpent l’identité d’entités telles que le PDG d’une entreprise, des fournisseurs ou des clients pour manipuler les victimes afin qu’elles transfèrent des fonds vers des comptes frauduleux. Bien que les BEC existent depuis des années, les récentes avancées technologiques, y compris l’intelligence artificielle (IA), ont rendu ces attaques plus convaincantes et sophistiquées.

Un développement préoccupant dans les attaques BEC est l’émergence de voix deepfakes, permettant aux attaquants d’imiter des figures de confiance comme les PDG. Les systèmes d’IA générative comme ChatGPT sont devenus facilement accessibles, alimentant davantage l’évolution des attaques BEC.

Les attaques BEC impliquent généralement des adversaires modifiant les détails de paiement ou initiant des transactions non autorisées, trompant les victimes pour qu’elles transfèrent de l’argent vers les comptes des attaquants. Del Heppenstall, Associé et Chef de la Cybersécurité chez KPMG au Royaume-Uni, a signalé que des entreprises perdaient des millions de dollars à cause de ces attaques.

Un exemple cité par Adam Pilton, Consultant Senior en Cybersécurité chez CyberSmart, met en lumière comment les attaques BEC peuvent être trompeusement simples. Une petite entreprise manufacturière a reçu une facture qui semblait identique aux factures passées mais avec des détails de compte bancaire modifiés. Le destinataire a transféré des fonds sans le savoir à un criminel usurpant l’identité du fournisseur.

Les attaques BEC exploitent souvent les individus occupant des rôles financiers, les rendant particulièrement difficiles à détecter. Joe Stewart, Chercheur Principal en Sécurité avec l’unité de réponse aux menaces d’eSentire, note que les BEC reposent sur des manipulations subtiles d’e-mails plutôt que sur des campagnes de hameçonnage de masse, rendant la détection plus complexe.

Efficacité des attaques BEC

Ce qui distingue les BEC des autres menaces cybernétiques, telles que les rançongiciels, est leur efficacité. Une fois que les adversaires ont accès aux fonds, ils peuvent rapidement détourner l’argent, contrairement aux attaques par rançongiciel qui nécessitent des efforts supplémentaires pour extorquer les victimes.

Bien que les BEC existent depuis des années, leur origine exacte est difficile à retracer. Le FBI a commencé à suivre ces « compromissions de messagerie professionnelle » en 2013, marquant une augmentation significative de leur prévalence. Les attaques BEC sont difficiles à détecter car elles reposent sur l’usurpation d’identité et l’ingénierie sociale plutôt que sur des logiciels malveillants ou des URL malveillantes, les rendant insaisissables pour les défenses de cybersécurité standard.

Le rôle de l’IA dans les attaques BEC

L’IA, en particulier des outils comme ChatGPT, a abaissé les barrières pour mener des attaques BEC sophistiquées. Les acteurs malveillants, même ceux ayant une maîtrise limitée de l’anglais, peuvent exploiter des outils similaires à ChatGPT pour lancer des campagnes de hameçonnage complexes. Ces outils peuvent facilement générer des deepfakes de voix et de visages, rendant de plus en plus difficile la distinction entre les communications frauduleuses et légitimes. Les attaquants peuvent également utiliser l’IA pour rassembler des informations personnelles à partir de plateformes comme LinkedIn afin de créer des e-mails frauduleux convaincants imitant le style d’écriture d’un individu.

À mesure que les capacités de l’IA continuent d’avancer, les experts anticipent son utilisation pour créer des factures frauduleuses et mener des reconnaissances sur des cibles potentielles. De plus, l’IA automatisera et mettra à l’échelle les attaques BEC, les rendant encore plus puissantes.

Les entreprises peuvent prendre plusieurs mesures pour se protéger et atténuer les risques d'attaques BEC. Elles doivent examiner attentivement les e-mails entrants pour détecter les modifications subtiles des adresses e-mail et les incohérences dans les détails de paiement des factures. La surveillance des règles de redirection d'e-mails suspectes et la résistance aux tactiques de pression pour un paiement immédiat sont essentielles.

Pour renforcer la défense contre les attaques BEC, l’adoption de bonnes pratiques de mot de passe, la mise en œuvre de l’authentification à deux facteurs (2FA) et l’emploi d’outils cybersécurité appropriés sont cruciaux. Le développement de politiques robustes et la promotion d’une culture de la sécurité au sein de l’organisation sont tout aussi importants.

La formation des employés joue un rôle majeur dans la lutte contre les attaques BEC. La réalisation de tests internes de sensibilisation au phishing et l'assurance que les demandes de virement bancaire sont rigoureusement validées via des points de contact vérifiés peuvent renforcer la posture de sécurité d'une organisation. La révision régulière des configurations des serveurs de messagerie, des paramètres de messagerie des employés et des journaux de connexion peut aider à détecter et à prévenir les attaques BEC.

De plus, limiter l'exposition des informations sur les dirigeants et l'entreprise peut réduire l'efficacité des tentatives d'usurpation d'identité basées sur l'IA par les cybercriminels. En minimisant les données disponibles publiquement, les entreprises peuvent contrer les efforts des attaquants pour recueillir des informations à des fins frauduleuses.