Qu'est-ce que le Business Email Compromise (BEC) ?

Introduction

Le courrier électronique, également appelé e-mail, est l'une des inventions commerciales les plus importantes de la fin^{du XXe}siècle. Il permet aux professionnels d'échanger rapidement des messages entre des appareils situés à proximité ou à l'autre bout du monde. Bon nombre de ces messages contiennent des instructions, des commandes, des demandes, des pièces jointes et d'autres types de communication.

Les utilisateurs travaillant dans des environnements très dynamiques font souvent confiance au système de messagerie électronique pour optimiser leur productivité et leur flux de travail. Et les cybercriminels exploitent cette confiance dans le système pour lancer des attaques de type « business email compromise » (BEC) avec une grande efficacité. Les escroqueries et fraudes BEC constituent aujourd'hui une menace croissante, à tel point que le FBI les a qualifiées de « l'un des crimes en ligne les plus préjudiciables sur le plan financier ».

Lisez ce guide détaillé pour en savoir plus sur :

• Qu'est-ce que la compromission du courrier électronique professionnel ?
• L'objectif principal de la compromission du courrier électronique professionnel.
• Exemples d'attaques BEC.
• Comment prévenir la compromission des courriels d'entreprise.

Définition de la compromission du courrier électronique professionnel : Qu'est-ce que la compromission des courriers électroniques professionnels (BEC) ?

Voici une brève définition du piratage d'e-mails professionnels : le BEC est un type de cybercriminalité etd'attaque d'ingénierie socialedans lequel des fraudeurs utilisent des e-mails pour inciter une cible à envoyer de l'argent ou à partager des données sensibles à des fins de criminalité financière. L'auteur de la menace peut utiliser les e-mails de différentes manières pour mener à bien une escroquerie BEC, depuis uneattaque par usurpation d'identitéjusqu'au piratage réel d'un compte de messagerie (EAC).

Comment prévenir la compromission des courriels d'entreprise

Courriel sécurisé

Utilisez les filtres anti-spam et anti-malware de votre messagerie pour bloquer les courriels dangereux. Ajoutez des logiciels de sécurité aux outils de protection intégrés à votre messagerie électronique afin de maximiser votre défense contre les BEC. Envisagez de crypter les données sensibles lorsque vous les envoyez par courrier électronique afin d'éviter les écoutes clandestines. Enfin, signalez les courriels dont les adresses de départ et de réponse ne correspondent pas.

Authentification multifactorielle (MFA)

L'AMF peut atténuer le risque qu'un pirate utilise des identifiants de connexion volés pour accéder à un compte de messagerie dans le cadre d'une escroquerie de type BEC. Avec le MFA, un acteur de la menace peut avoir besoin d'une deuxième forme d'identification pour accéder à un compte de messagerie. Tous les employés à haut risque de votre organisation, y compris les cadres, les professionnels de la finance, les ressources humaines et les administrateurs, doivent activer le MFA sur les comptes de messagerie de l'entreprise.

Culture de la cybersécurité

Votre organisation peut améliorer considérablement sa position en matière de cybersécurité grâce à la formation. Voici quelques pratiques que les employés devraient s'efforcer de suivre :

• Ne cliquez jamais sur des liens de courriels non sollicités, car ils peuvent conduire les utilisateurs vers des sites web malveillants ou des logiciels malveillants.
• Évitez de partager des informations confidentielles en ligne, telles que les détails d'une transaction commerciale ou des projets de voyage. Les acteurs de la menace peuvent utiliser des informations sensibles pour créer des attaques de spear phishing plus convaincantes.
• Réfléchissez bien avant de télécharger un logiciel inconnu.

Exercices sur la compromission des courriels d'entreprise

Travaillez avec votre équipe de sécurité pour effectuer des simulations d'attaques d'ingénierie sociale. Ces exercices permettront à votre personnel de rester vigilant et d'identifier les points faibles dans la lutte contre les escroqueries par compromission des courriers électroniques professionnels. Veuillez également mettre à jour régulièrement vos politiques et vos formations afin de maintenir votre position de cybersécurité renforcée.

Paiements sécurisés

Utilisez toujours des moyens de paiement sécurisés. Évitez d'envoyer des paiements par le biais de cartes-cadeaux ou de dépôts de crypto-monnaies. Lorsque vous envoyez un virement bancaire, vérifiez les informations bancaires avec vos dossiers.

Authentification par courrier électronique

Apprendre à reconnaître les courriels d'hameçonnage est essentiel pour réduire le risque d'escroquerie BEC. Voici quelques conseils qui peuvent aider les employés à authentifier les courriels :

• Faites attention à la terminologie inhabituelle, aux salutations étranges ou aux fautes de grammaire et d'orthographe.
• Évitez d'ouvrir des pièces jointes non sollicitées.
• Méfiez-vous des demandes de mots de passe ou d'autres données sensibles.
• Vérifiez toujours l'adresse électronique pour vous assurer qu'elle correspond à celle de l'expéditeur.
• Examinez attentivement les demandes de transfert de fonds par courrier électronique.
• Méfiez-vous des factures dont le délai de paiement est trop court.
• Vérifiez par deux fois les demandes de paiement inhabituelles, même si elles émanent d'entités en qui vous avez confiance.
• Examinez les demandes de paiement qui vous obligent à sauter les contrôles d'autorisation.
• Faites confiance à votre instinct si vous remarquez quelque chose d'inhabituel dans une demande de paiement. Respirez profondément et commencez par enquêter.

Sécurité des points finaux

Utiliser un logiciel anti-malware sur tous les appareils pour se protéger contre les logiciels espions. Nous recommandons aux entreprises de déployer le logicielendpoint protection pour protéger les ordinateurs de bureau, les ordinateurs portables et les smartphones contre les programmes malveillants qui peuvent aider les escrocs à réaliser des opérations d'escroquerie.

Sécurité du serveur

Les menaces qui pèsent sur vos serveurs peuvent être encore plus graves que celles qui pèsent sur vos terminaux. Après avoir piraté vos terminaux, les cybercriminels peuvent accéder à des données critiques telles que des informations financières, des propriétés intellectuelles, etc. afin de créer des escroqueries BEC presque identiques aux e-mails authentiques. Investissez dès aujourd'hui dansla sécurité de vos serveursafin d'éviter toute perte de temps, d'argent, de productivité et de réputation pour votre entreprise.

Gestion de la chaîne d'approvisionnement

Créez des protocoles de sécurité pour vérifier les demandes de paiement, les courriels et les demandes de renseignements émanant de vos fournisseurs et vendeurs. Authentifiez toute demande inhabituelle, telle qu'un changement de coordonnées ou d'informations de paiement.

Comment fonctionne la compromission des courriers électroniques professionnels (BEC) ?

Une attaque typique de compromission du courrier électronique d'une entreprise comporte généralement plusieurs phases :

de collecte de renseignementsLes attaquants recherchent leur cible, qu'il s'agisse d'un individu, comme le directeur financier d'une entreprise ou un agent de voyage dans une petite entreprise, ou d'une équipe, comme le service des ressources humaines ou le service comptable d'une organisation. Ils peuvent également recueillir des renseignements sur les fournisseurs, les partenaires commerciaux, les clients, les employés, les systèmes de messagerie électronique et les mesures de cybersécurité de l'organisation ciblée.

Les outils utilisés par les acteurs malveillants pour recueillir des renseignements comprennent les moteurs de recherche et les pages de réseaux sociaux comme LinkedIn. L'objectif de la collecte de renseignements est d'élaborer un profil précis pour mener une attaque d'ingénierie sociale convaincante et d'identifier les cibles les plus vulnérables.

de planificationAprès avoir recueilli des informations, les attaquants déterminent les méthodes et les outils les plus efficaces pour obtenir le meilleur retour sur investissement possible dans le cadre d'une attaque BEC. Ils peuvent par exemple utiliser un compte de messagerie falsifié, un site web falsifié, un compte de messagerie piraté, des attaques de phishing ou un ordinateur ou un appareilinfecté par un logiciel malveillant.

de grooming En fonction de la nature de l'attaque, les auteurs de menaces peuvent utiliser différentes tactiques d'ingénierie sociale pour manipuler leurs cibles et, à terme, user de leur pouvoir de persuasion pour les inciter à prendre de mauvaises décisions. Ils peuvent également tenter de reproduire des processus courants, par exemple en demandant un mot de passe ou en envoyant un document important.

Le grooming peut avoir l'un des objectifs suivants :

• Plus de collecte de renseignements.
• Déposer des logiciels malveillants tels que des chevaux de Troie ou des logiciels espions.
• Piratage d'un compte de messagerie.
• Préparation d'une cible pour l'avant-dernière phase de l'attaque de compromission du courrier électronique d'entreprise.

d'exécutionBien que la nature de la phase d'exécution dépende du type d'attaque, elle implique presque toujours une usurpation d'identité par e-mail.
Voici quelques scénarios de BEC :

• Les employés du service financier d'une entreprise reçoivent un courriel d'un cadre de l'entreprise demandant un transfert de paiement. Le courriel provient d'un compte de messagerie usurpé qui semble réel parce que l'adresse ne diffère que légèrement de l'adresse réelle.
• Les pirates envoient un courriel à un partenaire commercial à partir du compte piraté d'un PDG, lui demandant d'effectuer un virement pour une transaction commerciale.
• Les défendeurs d'une affaire en cours reçoivent un courriel urgent de leur avocat leur demandant d'effectuer un dépôt sur un compte bancaire.
• Après avoir accédé au compte de courrier électronique d'un responsable des comptes clients à l'aide d'un logiciel malveillant, les escrocs envoient des factures avec leurs propres numéros de compte bancaire à tous les clients de l'entreprise.
• Un courriel provenant du compte d'un détaillant piraté demande aux clients des informations sensibles telles que des numéros de carte de crédit.

à but lucratifQue les pirates utilisent des e-mails usurpés, des e-mails frauduleux ou des logiciels malveillants dans le cadre d'une escroquerie par compromission des e-mails professionnels, leur objectif est toujours lucratif. L'argent est souvent transféré vers des destinations offshore où il est difficile à retracer.

BEC vs EAC

LeFBIet plusieurs autres experts décrivent le compromis des e-mails professionnels (BEC) et le compromis des comptes de messagerie (EAC) comme étant la même chose. Cependant, certains experts considèrent l'EAC comme une variante proche du BEC. Si vous souhaitez entrer dans les détails, vous pouvez considérer l'EAC comme un sous-ensemble du BEC.

En résumé, le BEC est un terme générique qui désigne tout type de fraude par e-mail utilisé par les attaquants pour inciter les victimes à envoyer de l'argent. Par exemple, les attaquants peuvent utiliser des adresses e-mail usurpées, des sites web usurpés, le spear phishing et des comptes de messagerie piratés pour mener une attaque de type « business email compromise ».

L'EAC est un type de fraude par e-mail dans lequel les attaquants utilisent un compte de messagerie piraté. Les méthodes couramment utilisées pour pirater un compte de messagerie à des fins d'EAC comprennent le phishing, les attaques par force brute et le credential stuffing. Les attaquants peuvent également utiliser des enregistreurs de frappe pour voler les identifiants de connexion de la victime.

BEC vs Phishing

La question de la différence entre une attaque par compromission d'e-mails professionnels et une attaque par hameçonnage peut sembler confuse, mais elle est en réalité assez simple. Une attaque par hameçonnage est un type d'attaque d'ingénierie sociale dans laquelle les pirates utilisent des e-mails compromis à diverses fins, notamment l'usurpation d'identité, le vol de propriété intellectuelle, le trolling, les infections par des logiciels malveillants, la collecte de renseignements et le BEC.

Par exemple, ils peuvent utiliser le spear phishing pour pirater le compte e-mail d'un PDG ou le piéger afin qu'il effectue un virement bancaire vers le compte bancaire d'un fraudeur. Les attaques de spear phishing qui ciblent les PDG dans le cadre d'une escroquerie BEC peuvent également être définies comme du whale phishing.

Consultez notre section « Les bases de la cybersécurité » si vous vous demandez :Qu'est-ce qu'une attaque de whaling? 

Types de compromission du courrier électronique professionnel

• Prise de contrôle d'un compte de courrier électronique professionnel : Ces attaques visent généralement des professionnels tels que des cadres ou des professionnels de la finance. Après avoir piraté le compte, l'auteur de la menace demande de l'argent aux contacts de la victime, tels que des clients ou des fournisseurs.
• Spear phishing : le spear phishing est une version plus ciblée du phishing qui vise une personne ou un petit groupe de personnes. Contrairement aux attaques de phishing classiques, les attaques de spear phishing sont plus dangereuses car elles sont personnalisées pour tromper une cible spécifique.
• Logiciels malveillants : les fraudeurs BEC peuvent utiliser différents types de logiciels malveillants pour détourner le compte d'un cadre financier afin d'initier diverses escroqueries.
• Le vol de données: Le vol de données est parfois un tremplin pour un attaquant BEC. Ils peuvent utiliser les données sensibles volées pour créer des escroqueries BEC plus crédibles ou pirater des comptes de messagerie.
• Fraude au PDG: Dans cette escroquerie, les fraudeurs piratent ou usurpent le compte de messagerie d'un cadre supérieur pour inciter un employé, un partenaire commercial ou un vendeur à envoyer des fonds, généralement par virement bancaire. L'escroc peut également demander des cartes-cadeaux ou des informations sensibles. 
• Usurpation de l'identité d'un avocat : Les cabinets d'avocats sont la cible de ces escroqueries. Après avoir piraté le compte de messagerie d'un avocat, l'escroc tente d'escroquer les clients du cabinet, généralement à l'aide de fausses factures.
• Escroquerie aux fausses factures : Les clients des cabinets d'avocats ne sont pas les seules entreprises victimes d'escroqueries aux fausses factures. Les clients des agences immobilières, des concepteurs de sites web et d'autres petites et moyennes entreprises peuvent être la proie de ces attaques BEC.
• Compromission par courriel du fournisseur : les entreprises américaines et européennes qui ont des fournisseurs à l'étranger sont des cibles typiques de ce type d'attaque BEC. Les escrocs se font passer pour des fournisseurs qui demandent à être payés. Le décalage horaire et les barrières linguistiques ajoutent à la confusion et convainquent les entreprises de payer les factures frauduleuses qui semblent urgentes.
• Les escroqueries à la carte-cadeau : Au lieu de demander des virements électroniques, de nombreux fraudeurs BEC de bas niveau demandent des paiements par carte-cadeau, car ces moyens de paiement sont presque impossibles à tracer. Toutefois, les escroqueries à la carte-cadeau sont généralement moins préjudiciables financièrement que les escroqueries à la compromission des courriels d'affaires par virement bancaire.
• Les escroqueries par détournement de paiement: Un escroc se faisant passer pour un PDG peut demander au service financier d'interrompre un paiement en cours et de l'envoyer sur un autre compte, conformément à la "demande du vendeur" dans ce type d'escroquerie.
• Attaque de type « Man in the Middle » (MitM) : un pirate informatique intercepte le trafic entre deux entités afin de recueillir des informations ou de manipuler les communications. Une attaque MitM peut permettre aux auteurs d'attaques BEC de voler les identifiants de connexion à des comptes de messagerie électronique afin de lancer leur campagne frauduleuse.
• Le "credential stuffing" (bourrage d'informations) : Lorsque les attaquants "insèrent" des "informations d'identification" volées dans un système de connexion dans l'espoir d'obtenir un accès non autorisé à un compte de messagerie, la technique est appelée "credential stuffing" (bourrage d'informations d'identification). Les organisations qui évitent de changer périodiquement leurs mots de passe sont plus exposées aux escroqueries par BEC alimentées par le bourrage d'informations d'identification.

Exemples de compromissions de courriers électroniques professionnels

Le BEC est une nouvelle forme de criminalité qui peut toucher une organisation de toute taille ou de tout secteur d'activité. Les petites et grandes entreprises doivent prendre des mesures de précaution pour réduire le risque de compromission des courriels professionnels. Voici quelques-uns des exemples récents les plus tristement célèbres d'incidents de compromission de courriels d'entreprise :

• 2013-2015: Les leaders technologiques Facebook et Google ont perdu plus de 120 millions de dollars dans une escroquerie BEC qui a utilisé le nom d'un véritable fournisseur de matériel informatique.
• 2015 : L'entreprise informatique Ubiquiti a perdu plus de 45 millions de dollars à la suite d'une escroquerie de type BEC dans laquelle les acteurs de la menace se sont fait passer pour un fournisseur.
• 2019 : La célèbre société automobile Toyota a été touchée par plusieurs attaques BEC au fil des ans. En 2019, une filiale européenne de l'entreprise a perdu près de 40 millions de dollars à la suite d'une escroquerie BEC.
• 2020 : Faisant la une des journaux du monde entier, le gouvernement de Porto Rico a été piégé par un escroc qui lui a fait verser 2,6 millions de dollars sur un compte frauduleux.

Exemple de compromission d'un courriel d'entreprise de paiement

Cher [Votre nom],
J'espère que vous allez bien. Nous avons une demande de paiement urgente qui nécessite votre attention immédiate. Notre société a récemment fourni des services à votre organisation, et nous n'avons pas encore reçu le paiement du solde impayé.
Nous vous prions donc de bien vouloir effectuer le paiement dès que possible afin d'éviter tout retard supplémentaire. Vous trouverez ci-joint la facture pour référence. Les détails du paiement sont les suivants :
Nom de la banque : [Nom de la banque]
Nom du compte : [Nom du compte]
Numéro de compte : [Numéro de compte]
Code Swift : [Code Swift]
Montant dû : [Montant dû]
Nous vous serions reconnaissants de bien vouloir régler ce paiement dans les prochaines 24 heures et de nous fournir les détails de confirmation une fois le paiement effectué. Si vous avez des questions, n'hésitez pas à nous contacter.
Nous vous remercions de votre attention.
Cordialement,
[Nom]
[Titre]
[Nom de l'entreprise]

Exemple de compromis d'entreprise juridique

Objet : Affaire juridique urgente – Veuillez répondre dès que possible
Cher [Votre nom],
J'espère que vous allez bien. Je m'appelle John Smith et je suis l'avocat représentant la société XYZ dans une affaire juridique impliquant votre entreprise. Notre client nous a demandé de vous contacter directement à ce sujet.
Nous avons été informés d'une affaire urgente qui doit être traitée immédiatement et nous vous demandons de répondre à cet e-mail dès que possible. Nous aimerions également organiser un entretien téléphonique afin de discuter des détails de l'affaire.
Veuillez noter que cette communication est confidentielle et privilégiée et ne doit être divulguée à aucun tiers sans notre consentement écrit explicite.
Nous vous remercions de l'attention que vous porterez à cette affaire.
Cordialement,
John Smith
Avocat

Fraude du chef d'entreprise Exemple de compromission d'un courriel d'entreprise

Objet : Demande urgente – Virement bancaire
Cher [Votre nom],
J'espère que vous passez une bonne journée. Comme vous le savez, nous sommes en train de conclure une importante transaction commerciale qui nous oblige à transférer une somme considérable à nos partenaires étrangers. Malheureusement, le traitement du virement bancaire a pris du retard en raison d'un problème avec notre système bancaire.
Compte tenu de ce retard, je vous demande de transférer de toute urgence la somme de [montant] sur le compte suivant [coordonnées bancaires]. Veuillez vous assurer que le virement soit traité immédiatement, car le temps est un facteur essentiel dans cette affaire.
Je comprends qu'il s'agit d'une demande inhabituelle, mais je vous assure qu'il s'agit d'une mesure nécessaire pour garantir le succès de cette transaction.

Comprendre l'objectif principal de la compromission du courrier électronique professionnel

L'objectif principal des escroqueries par e-mail professionnel est d'inciter la victime à transférer de l'argent, généralement par virement bancaire. Certains fraudeurs demandent également des cartes-cadeaux, tandis que d'autres tentent de voler des données confidentielles pour pirater des comptes de messagerie.

Bien que l'objectif d'une escroquerie par e-mail professionnel soit presque toujours financier, les attaquants peuvent utiliser une combinaison de différentes méthodes pour atteindre leurs objectifs, telles que des logiciels malveillants, de fausses factures, l'usurpation d'identité et le spear phishing. Les cibles ultimes de ces attaques sont les personnes ayant la capacité d'envoyer de l'argent, telles que les dirigeants d'entreprise, les responsables financiers et les clients de cabinets d'avocats ou d'agences immobilières. Les fournisseurs sont également la cible de ces escroqueries, en particulier dans le cadre d'une attaque ciblée de la chaîne d'approvisionnement.

Risques de compromission du courrier électronique professionnel (BEC)

• Pertes financières : Les organisations peuvent subir des pertes financières importantes.
• Atteinte à la réputation : Les partenaires commerciaux peuvent perdre confiance dans une entreprise trompée par une escroquerie BEC.
• Pertes opérationnelles : Payer un escroc au lieu du fournisseur peut entraîner de graves problèmes de trésorerie à court et à long terme.
• Questions de conformité : Une violation de données entraînant le vol d'informations sensibles sur les clients peut entraîner des problèmes juridiques.

Ressources en vedette

• Qu'est-ce que endpoint detection and response (EDR) ?
• Qu'est-ce que la détection et la réponse gérées (MDR) ?