Cyberfraude: la menace (presque) fantôme

140 jours. C'est le délai moyen entre la survenance d'une cyberattaque et le moment où l'entreprise victime découvre qu'elle a été piratée. Soit près de 5 mois durant lesquels les fraudeurs ont tout le loisir d'exploiter les données, de les revendre, de monter des arnaques sur mesure pour s'attaquer à cette société... Ce chiffre de 140 jours, avancé par Helena Pons-Charlet, head of legal chez Microsoft, à l'occasion du dernier Congrès des Daf et directeurs financiers⁽¹⁾ qui s'est tenu le 7 juillet 2016 à Paris, jette une lumière crue sur l'un des dangers sous-estimés de la cybercriminalité: son invisibilité. Or, si une entreprise sera parfaitement consciente de subir une attaque lorsqu'un cryptovirus infecte son système, une grande partie de l'iceberg de la cybercriminalité reste immergée, alors que la menace est quotidienne.

Les données, graal du hacker

En 2015, selon les données de Microsoft, la fraude a provoqué 400 Md€ de perte de CA au niveau mondial. Et la menace ne fait que s'étendre: 71% des entreprises déclarent avoir été victimes d'une tentative de fraude, selon l'éditeur de logiciels. Et il ne s'agit là que de celles qui ont identifié l'attaque... Mais que cherchent les hackers? Bien souvent, une chose dont les dirigeants n'ont pas encore bien mesuré l'entière valeur : les données de l'entreprise. "Les données, c'est la nouvelle monnaie du XXI^e siècle", affirme Helena Pons-Charlet.

En effet, "une cyberattaque est bien souvent le point d'entrée d'un mécanisme de fraude", avertit Sébastien Hager, souscripteur assurance France chez Euler Hermes. Elle permet de recueillir des informations confidentielles qui constitueront la base d'une tentative de détournement crédible, du type fraude au président. Et l'essor du BYOD (bring your own device) ne fait qu'accroître le danger: non seulement il entraîne des failles de sécurité en laissant des appareils privés, pas toujours bien protégés, accéder au système d'information de la société, mais en cas d'attaque, il offre également au fraudeur un accès à un panel de données encore plus large, professionnelles et personnelles.

La cybercriminalité se professionnalise

Les petites entreprises sont des cibles de choix pour les hackers.

"Ma structure est bien trop petite pour intéresser les fraudeurs", se disent beaucoup de chefs d'entreprise. Grave erreur! "Il est plus difficile aujourd'hui de s'attaquer aux grandes entreprises via leur SI", souligne François Nogaret, associé chez Mazars. Ces dernières disposent de moyens suffisants pour protéger efficacement leur SI. C'est pourquoi les petites entreprises, qui n'ont pas forcément mis en place autant de procédures de sécurité que les grands comptes, deviennent des cibles de choix pour les hackers.

Parallèlement, les activités de cybercriminalité se sont démocratisées. Deux raisons à cela: la disponibilité de l'information (par exemple grâce aux réseaux sociaux, très pratiques pour tout savoir sur la famille, les relations amicales et dates de vacances des collaborateurs) et l'industrialisation des outils de fraude. "Aujourd'hui, un hacker va vendre son produit à des fraudeurs qui ne sont pas forcément qualifiés", révèle François Beauvois, commissaire de police, chef de la division anticipation et analyse à la sous-direction de la lutte contre la cybercriminalité. Tutoriels de formation en ligne, service après-vente... Les hackers sont devenus des businessmen, fournissant aux fraudeurs toute une gamme d'outils prêts à l'emploi. "Nous assistons au développement d'une sous-traitance du crime, en mode "crime as a service"!", déclare François Beauvois. On est loin de l'image d'Épinal de l'étudiant surdoué qui joue les hackers: "Les entreprises sont face à des mafias", résume David Luponis, senior manager chez Mazars.

(1) Les propos cités dans cet article ont été recueillis lors de la conférence "Cyberfraudes: bonnes pratiques et moyens d'action".

>> Lire la suite en .

Dès lors, les attaques se multiplient, et on assiste à une diversification des modes opératoires: ransomwares en perpétuel renouvellement, fraude au président, piratage télécom... Les arnaqueurs sont sur tous les fronts. Sébastien Hager (Euler Hermes) constate ainsi qu'en un an, près d'un tiers des entreprises ne sont pas parvenues à déjouer toutes les fraudes dont elles étaient la cible. Dans le "top 3" des fraudes ciblant les entreprises, on retrouve la fraude au président, le faux fournisseur, ou encore le faux partenaire (factor, banquier...). Du côté des cryptologiciels, la créativité des hackers semble sans limite: Locky, CryptXXX, Petya... de nouveaux ransomwares apparaissent tous les mois. François Beauvois cite l'exemple du crypto-ransomware Cerber, apparu en février 2016, qui se cache dans divers processus Windows et incite l'utilisateur à réactiver les macros pour s'installer et lancer le cryptage des données.

Quelles solutions pour protéger son entreprise de la cyberfraude?

"La meilleure défense, c'est l'attaque", dit le proverbe. Et quoique certains prennent le temps de le mettre en application, pour les PME et ETI, la meilleure des défenses passe surtout par la prévention. "Les entreprises doivent se concentrer sur la surveillance de leur SI", martèle François Nogaret (Mazars), et non se contenter de prendre des mesures lorsque surviennent des attaques. Car sur le long terme, le danger que représente la disparition de données, dont on ne se rend pas compte de suite, est bien plus inquiétant qu'une attaque de cryptovirus qui peut être rapidement contrée par une intervention sur service informatique et une restauration des données cryptées via les sauvegardes.

"Les entreprises doivent se concentrer sur la surveillance de leur SI"
François Nogaret (Mazars)

La sensibilisation et la formation des équipes aux questions de cybercriminalité est également incontournable. Cependant, les experts constatent qu'en dépit de ces opérations de prévention, la vigilance quotidienne est loin d'être devenue un réflexe pour tous les salariés. Dès lors, Olivier Peiffer, CEO de Polimiroir Group, qui a été victime de nombreuses tentatives de fraude, insiste sur la nécessité de "contrôler toutes les procédures internes" et de les consigner par écrit, pour bien marquer l'engagement de la direction.

François Nogaret (Mazars) alerte également sur le manque de discipline qui affecte de nombreuses sociétés. "Plus on monte dans la hiérarchie, moins on a de mots de passe", s'agace l'expert. Le mot de passe est pourtant le premier moyen de défense face à la fraude. Par ailleurs, avec le développement des technologies telles que les ERP, le contrôle de l'information par l'oeil humain tend à disparaître: or, maintenir un tel contrôle permet de mieux maîtriser les événements et d'identifier les failles. Développer l'esprit critique de ses collaborateurs, la meilleure des protections face à la cyberfraude?