Les pirates usurpent l’identité des salariés pour notifier un changement de RIB. Un scénario qui a toutes les chances de réussir si l’employeur ne dispose pas de procédures de contrôle adéquates.
Mauvaise nouvelle pour les services de comptabilité des entreprises. Les pirates spécialisés dans l’arnaque aux faux ordres de virement ont décidé d’élargir leur zone de chalandise.
Jusqu’à présent, ils essayaient de détourner les fonds sous un faux prétexte en se faisant passer pour le PDG ou pour un sous-traitant. Désormais, ils usurpent l’identité de salariés pour siphonner leurs rémunérations. « C’est un scénario qui est assez récent, mais que l’on détecte un peu partout dans le monde », nous explique Loïc Guézo, directeur stratégie cybersécurité chez Proofpoint.
Ainsi, durant le premier semestre 2020, l’éditeur a observé plus de 35 000 tentatives d’arnaques circuler dans les échanges e-mail de ses clients, soit presque 200 par jour. En moyenne, chaque arnaque tournait autour de 11 000 dollars, ce qui montre bien que ce n’est pas le salarié de base qui est visé mais plutôt le cadre supérieur ou le directeur.
Ce scénario d’arnaque s’appuie, comme les variantes précédentes, sur l’usurpation d’identité et la compromission de la messagerie : un faux message est envoyé sous l’identité d’un salarié pour signifier un changement de domiciliation bancaire, avec en pièce jointe un nouveau RIB qui est celui d’un compte contrôlé par les pirates.
Souvent, l’attaque est réalisée peu de temps avant la date de virement régulière, ce qui ajoute un caractère d’urgence et laisse peu de temps au gestionnaire pour vérifier la légitimité de la demande.
Les entreprises de petite ou moyenne taille, qui ne disposent pas de procédures de contrôle bien établies sont évidemment les plus vulnérables. La vigilance est surtout de mise quand la paie est externalisée, car cela complexifie le processus. « Si le prestataire reçoit une telle demande, il devrait systématiquement la vérifier auprès du service RH par un autre canal, comme le téléphone. Mais ce n’est pas toujours le cas », constate Loïc Guézo. Si l’arnaque réussit, c’est évidemment très désagréable pour le salarié concerné. Mais la responsabilité incombe au final à l’employeur, qui devra payer les pots cassés.
Source : Proofpoint
Aucun commentaire:
Enregistrer un commentaire