Chaque année, le site public Cybermalveillance.gouv.fr dresse le palmarès des attaques informatiques dont sont le plus souvent victimes les entreprises et les associations en se basant sur les demandes d’informations qu’elles lui adressent. Une bonne occasion de revenir sur les plus utilisées par les pirates afin d’en rappeler le fonctionnement et les bonnes pratiques pour les prévenir.

À lui seul, le piratage de compte a rassemblé 23,5 % de l’ensemble des demandes d’assistance adressées à Cybermalveillance.gouv.fr. en 2023. Un chiffre en hausse de 26 % sur un an. Pour rappel, il s’agit de la prise de contrôle par un pirate d’un compte de messagerie, de réseau social ou encore de site administratif ou commercial. L’objectif du hacker étant de dérober des informations pour en faire un usage frauduleux (revente des données, usurpation d’identité, transactions, utilisation de la base de contacts de la victime pour lancer une campagne de spams…). Un mot de passe faible, non changé régulièrement ou une attaque par hameçonnage sont souvent à l’origine du piratage de compte.

- Complexifier ses mots de passe, les changer régulièrement (tous les 3 mois) et utiliser des mots de passe différents pour chaque compte ;
- Activer la double authentification lorsque cela est possible ;
- Appliquer toutes les mises à jour de sécurité des systèmes et logiciels installés sur vos appareils ;
- Évitez de vous connecter à des réseau Wifi publics ou non sécurisés.

L’hameçonnage (phishing en anglais) est une technique frauduleuse destinée à leurrer un internaute pour l’inciter à communiquer des données sensibles, en se faisant passer pour un service connu (une administration, par exemple), un partenaire professionnel (fournisseur, assureur, banque…) ou un proche. 21,2 % (+2 %) des demandes d’assistance émises en 2023 par les entreprises et les associations concernaient ce type d’attaque. Des attaques destinées à dérober les données bancaires ou encore les mots de passe de la victime. Les courriels, les SMS ou encre le téléphone sont utilisés pour perpétrer ce type d’arnaque.

- Ne jamais communiquer d’informations sensibles par mail, téléphone ou SMS à quiconque ;
- Ne jamais cliquer sur un lien qui vous semble suspect ;
- Méfiez-vous des courriels :
. mal rédigés (mauvaise traduction),
. émanant d’un interlocuteur inhabituel
. vous incitant à communiquer des informations sensibles en vous menaçant (risque d’amende ou de poursuite) ou en vous appâtant (gains à un loto, avoir fiscal, remboursement d’un trop perçu…).

En cas de doute, n’hésitez pas à contacter directement (sans utiliser les coordonnées ou le lien du mail suspect) l’organisme censé être à l’origine du message.

À la troisième place du podium, les rançongiciels (ransomware) totalisent 16,6 % (+8 % sur un an) des demandes d’assistance. Un rançongiciel est un logiciel malveillant qui va permettre à un pirate de bloquer l’accès à des données présentes sur l’ordinateur ou le serveur de sa victime, le plus souvent en les chiffrant. Pour débloquer les données, la victime, sera « invitée » à verser une somme d’argent au pirate (virement, appels ou SMS surtaxés, clics sur des publicités en ligne…).

Les rançongiciels se propagent comme la plupart des malwares. Il convient donc :
- de ne pas ouvrir les pièces jointes associées à des courriels non désirés ;
- de mettre à jour ses antivirus et autres antispywares ;
- d’activer les mises à jour automatiques des programmes permettant la navigation ;
- d’effectuer des sauvegardes régulières car cela constitue la meilleure garantie de récupérer toute ou partie de ses données suite à l’attaque d’un rançongiciel.

Quatrième attaque la plus répandue en 2023 (10,2 % des demandes d’assistance, +63 %), l’escroquerie au faux ordre de virement est une des plus redoutables. Pour rappel, ce type d’arnaque est basé sur une usurpation d’identité. Les escrocs pouvant se faire passer pour un dirigeant de l’entreprise ou pour un de ses partenaires, dans l’espoir de convaincre un employé ayant la signature d’effectuer des virements, le plus souvent à l’étranger. Et si les scénarios imaginés par les escrocs sont si efficaces, c’est parce qu’ils sont bâtis à partir d’informations précises. Des informations, le plus souvent, rendues publiques par l’entreprise elle-même ou par ses salariés (organigramme, entreprises partenaires, liste des fournisseurs, nouveaux partenariats…).

Il faut, avant tout, communiquer avec prudence certaines informations sensibles :
- les organigrammes qui permettent d’identifier les membres des services financiers ;
- les adresses électroniques des cadres financiers ;
- toutes les informations relatives au contrôle interne de l’entreprise ;
- la liste de ses fournisseurs (l’arnaque la plus courante étant de se faire passer pour l’un d’eux afin de demander un changement de coordonnées bancaires afin d’encaisser, à sa place, le montant des prochaines factures) ;
- sensibiliser ses collaborateurs à ce type d’arnaque ;
- mettre en place un système de double validation pour tout virement important (supérieur à 5 000 €, par exemple).