L’usurpation d’identité et l’ingénierie sociale sont en tête des cyberfraudes

Cela n’arrive pas qu’aux autres. Les entreprises, y compris les plus petites, ont pris conscience que les cyberattaques pouvaient les toucher. Et elles ont raison puisque nombre d’entre elles ont été attaquées l’an dernier. Selon l'étude fraude et cybercriminalité menée par Euler Hermes et la DFCG (Association des directeurs financiers et de contrôle de gestion) qui sera dévoilée ce matin, pas moins de sept sociétés sur dix ont subi au moins une tentative de fraude en 2018. Sur le lot, un quart n’a pas pu la contrer.Avec un préjudice non négligeable, dépassant 50.000 euros dans un cas sur cinq.

Les directions financières doivent alors surveiller de près les virements puisqu’ils sont au cœur des trois fraudes les plus courantes. Le podium des attaques est dominé par la fraude aux faux fournisseurs, où l’escroc se fait passer pour un prestataire et demande de changer des coordonnées bancaires pour détourner de vrais paiements. «Ces fraudes sont suffisamment simples pour être industrialisées avec des campagnes massives de mails mais elles peuvent aussi être réalisées de manière très personnalisée à partir des informations collectées par malveillance informatique», alerte Sébastien Hager, responsable souscription assurance fraude chez Euler Hermes. Suivent ensuite les autres usurpations d’identité (banques, avocats, commissaire aux comptes) et la désormais célèbre fraude au faux-président, qui fonctionne dans la même logique. «Cette dernière a reculé dans notre palmarès mais elle fait encore recette, poursuit-il. Et quand elle fonctionne, elle représente un montant élevé.»

L’ingénierie sociale est alors au centre du dispositif. Il s’agit de duper un salarié, très souvent un financier, qui a le pouvoir de verser de l’argent. Mais si l’humain est le maillon faible, il est aussi le meilleur vecteur de résilience, étant le premier dispositif qui permet de déjouer les tentatives de fraudes. «Allouer un budget est alors nécessaire, notamment pour continuer à former le personnel et adapter ses procédures internes face à des fraudeurs ingénieux et innovants», analyse Sébastien Hager. Pourtant, le baromètre souligne un paradoxe. Si les entreprises disent avoir conscience de l’enjeu, 59% reconnaissent n’avoir ni alloué ni transféré de budget spécifique pour lutter contre la menace cyber. Et 46% ne disposent pas de plan de relance d’activité en cas d’attaque.