Il est temps une fois de plus de mettre à jour mon graphique sur la valeur d’un compte de messagerie piraté : selon une alerte récente du FBI, des cybervoleurs ont volé près de 215 millions de dollars à des entreprises au cours des 14 derniers mois en utilisant une arnaque qui commence lorsque des dirigeants ou des employés ont leur adresse e-mail. comptes piratés.
Les enquêteurs fédéraux affirment que l’escroquerie dite de «compromis de messagerie professionnelle» (BEC) est une arnaque sophistiquée et de plus en plus courante ciblant les entreprises travaillant avec des fournisseurs étrangers et / ou des entreprises qui effectuent régulièrement des paiements par virement bancaire.
Selon de nouvelles données de la Centre de plainte contre la criminalité sur Internet (IC3) — un partenariat entre le Centre national de lutte contre la criminalité en col blanc et le FBI – les victimes des escroqueries BEC vont des petites aux grandes entreprises qui peuvent acheter ou fournir une variété de biens, tels que des textiles, des meubles, des aliments et des produits pharmaceutiques.
Image : IC3
Une variante de l’escroquerie BEC, également connue sous le nom de «fraude au PDG», commence par la compromission du compte de messagerie des cadres supérieurs (CFO, CTO, etc.). Se faisant passer pour le dirigeant, le fraudeur envoie une demande de virement bancaire depuis le compte compromis à un deuxième employé au sein de l’entreprise qui est normalement responsable du traitement de ces demandes.
« Les demandes de virements électroniques sont bien formulées, spécifiques à l’entreprise victime et ne soulèvent pas de soupçons quant à la légitimité de la demande », a averti l’agence. « Dans certains cas, une demande de virement bancaire à partir du compte compromis est envoyée directement à l’institution financière avec des instructions pour envoyer d’urgence des fonds à la banque ‘X’ pour la raison ‘Y’. »
L’IC3 note que les fraudeurs qui commettent ces escroqueries font leurs devoirs avant de cibler une entreprise et ses employés, en surveillant et en étudiant leurs victimes sélectionnées avant d’initier la fraude.
« Les e-mails frauduleux reçus ont coïncidé avec des dates de voyage d’affaires pour les cadres dont les e-mails ont été usurpés », l’alerte IC3 met en garde. « Les sujets sont capables d’identifier avec précision les individus et le protocole nécessaires pour effectuer des virements électroniques dans un environnement commercial spécifique. Les victimes peuvent également recevoir d’abord des e-mails de « phishing » demandant des détails supplémentaires sur l’entreprise ou la personne ciblée (nom, dates de voyage, etc.). »
L’avis exhorte les entreprises à adopter authentification en deux étapes ou à deux facteurs pour les e-mails, le cas échéant, et/ou pour établir d’autres canaux de communication, tels que les appels téléphoniques, afin de vérifier les transactions importantes. Les entreprises sont également invitées à faire preuve de retenue lorsqu’elles publient des informations sur les activités des employés sur leurs sites Web ou via les médias sociaux.
Pour plus d’informations sur la manière de repenser la sécurité de votre boîte de réception, consultez cet article.
Votre compte de messagerie peut valoir bien plus que vous ne l’imaginez.