L'usurpation d'e-mail : un impact dramatique sur votre activité

Combien d'entre nous se sont déjà fait pirater leur adresse e-mail sans connaître les causes et les conséquences de cette attaque, appelée dans le langage de la cybersécurité, le " spoofing " ? Cette technique d'usurpation d'identité est une pratique courante, bien connue des pirates informatiques. Dans la majorité des cas, l'objectif de votre agresseur est de vous dérober de l'argent. Les pirates peuvent agir en masse ou de manière plus ciblée. Elle nécessite peu de compétences techniques et peut avoir, à l'inverse, des effets dévastateurs, à plus ou moins long terme.

Dans le cas d'un piratage de masse, les adresses emails personnelles d'une base de données piratée sont détournées, les unes après les autres, pour escroquer de manière explicite ou non, les propriétaires de ces adresses. Par exemple, le hacker peut envoyer un email en se présentant comme tel et en détaillant la marche à suivre pour éviter toute divulgation des précieuses données collectées : les accès aux comptes, aux réseaux sociaux, aux boîtes mail, l'historique des sites consultés mais aussi aux contacts, documents, photos et vidéos.

Ils peuvent aller jusqu'à imaginer des scénarios incriminants ou gênants pour déstabiliser leurs victimes et les rendre vulnérables. La plupart du temps, ils utilisent un compte à rebours et réclament une somme d'argent en échange de la suppression de ces données.

Il peut aussi s'agir d'un mail en provenance du service financier ou du service client d'une entreprise connue de la victime, afin de récupérer ses coordonnées bancaires et de pouvoir s'en servir de manière frauduleuse.

Et pour les entreprises, qu'en est-il ?

Ce sont elles les plus concernées par le spoofing et plus précisément les cadres et les dirigeants car ils détiennent les informations confidentielles. Le hacker attendra alors que l'un d'eux se connecte à un réseau public pour accéder aux données de l'appareil connecté et récupérer un ensemble d'éléments utiles pour usurper son identité : logo de l'entreprise, signature de mail, pièces jointes, charte graphique... Il pourra ensuite, par exemple, envoyer un mail au directeur financier pour lui donner un faux ordre de virement (FOVI ou arnaque au président). Cette fois encore, l'impact financier est bien plus conséquent que l'argent détourné.

Comment faire pour se protéger d'une telle menace ?

Il existe peu de moyen pour contrer ce type d'attaque mais certains outils et mesures peuvent aider à se protéger des personnes malveillantes.

S'il s'avère qu'une adresse ou un mail est considéré comme spam, cela peut se traduire de différentes manières : les critères conformes de rédaction d'email n'ont pas été respectés (utilisation excessive de majuscules dans l'objet , signature html trop lourde, pièce jointe volumineuse, etc.), l' adresse a été utilisée de manière abusive à votre insu et, l'email correspondant, manuellement placé en " courrier indésirable " .

La première chose à faire est, sur le plan personnel, de tester son adresse email afin de vérifier si elle n'est pas blacklistée par les serveurs et donc spamée trop souvent. Pour n'en citer qu'un, mail-tester.com vous aidera à savoir de quelle manière est perçue votre adresse par ces derniers.

Malheureusement, face à ce type d'attaque, les préjudices auront d'autres conséquences néfastes sur les entreprises. Les procédures internes étant très souvent renforcées, le temps de traitement de l'information n'en sera que décuplé.

La mise en place d'un outil permettant de hacker la provenance des mails aura un impact inévitable sur les clients car une validation pourra prendre plusieurs heures, alors qu'elle n'en prenait que quelques minutes. A fortiori , les mails envoyés par l'entreprise risquent bien quant à eux de ne jamais arriver dans la boîte de réception du client mais plutôt dans les spams...

Ajoutons à cela une la perte de confiance engendrée par l'annonce de l'attaque. Si une entreprise doit avertir ses clients qu'elle a subi une attaque pour des raisons évidentes de responsabilité, ces derniers ne se sentiront pas pour autant rassurés de travailler avec elle et hésiteront à poursuivre leur collaboration.

Impact financier, technique, organisationnel, et plus largement impact négatif sur l'image de marque, il est essentiel de ne pas minimiser les risques d'attaque de ce genre et de réaliser un audit de vulnérabilité de l'entreprise.

Enfin, il est primordial de bien connaître ses collaborateurs et de les sensibiliser au maximum. Les connaissances des collaborateurs à responsabilité sur les procédures internes et la réglementation en vigueur en cas de piratage ou de conservation des données personnelles sont les premiers gages de la protection d'une entreprise.

Pour en savoir plus

Hadrien Gravet est co-fondateur de l'agence de cybersécurité DND Agency.

Chef de projet en sécurité IT et DPO, Hadrien accompagne les entreprises en pleine actualisation de leurs processus numériques. Il intervient dans la mise à l'épreuve des SI existants, dans leur amélioration, leur mise à jour et le maintien de leur sécurité au meilleur niveau.