Cybersécurité : ransomware, phishing ou deepfake... la menace est partout ! 🔑

Le piratage s'intensifie mois après mois.

De la petite agence de quartier à la compagnie aérienne internationale, toutes les tailles d'entreprise et les branches du secteur y passent. Dernièrement Avis a reconnu avoir subi une cyberattaque, ayant impacté les données et les profils de 300 000 clients américains.

"La cybersécurité concerne tout le monde, les grands comme les petits.

il y a une sorte de tabou, de honte et de gêne sur la cybersécurité, dont profitent les pirates. Plus de 90 %, des 406 000 cyberattaques qui ont été menées en 2023, ont concerné des TPE et PME, ce sont des cibles prioritaires," introduit Marc-Elie Caspar, le directeur général France et Benelux de Convera, à l'occasion de l'atelier de la dernière commission digitale des EDV.

Le sujet est économiquement et socialement important. A tel point que l'Europe et la France organisent en octobre, le cybermois. Un évènement visant à sensibiliser les populations au problème.

Et pour ceux qui prennent encore à la légère le problème, voici quelques chiffres.

En 2023, la cybercriminalité a coûté dans le monde entier 8 000 milliards de dollars (7 244 milliards d'euros). Rien qu'en France, les actes malveillants orchestrés sur le digital représentent une facture de 93 milliards (84 milliards d'euros).

Maintenant que vous comprenez les enjeux, rentrons dans le vif du sujet.

La cybermalveillance est devenue un réel sujet pour TourMaG.com et le secteur, à partir de la crise sanitaire.

"Elle a été un point de bascule. L'ensemble des salariés sont partis chez eux avec les ordinateurs de l'entreprise, potentiellement vulnérables, et un accès internet complètement ouvert, donc un accès à leur propre entreprise.

Nous avons observé une explosion des cyberattaques," poursuit Marc-Elie Caspar.

Des propos qui rejoignent, une étude de SoSafe réalisée en début d'année.

Les employés seuls chez eux cliquent 3 fois plus souvent sur des courriels malveillants que les employés travaillant au bureau. S'il faut être vigilant vis-à-vis de la menace extérieure, le ver est aussi parfois dans le fruit et donc l'entreprise.

La fraude interne représente 35% des menaces. La vigilance doit être à 360 degrés, à commencer par le digital.

Le web mondial regorge de menaces toute plus inventives et poussées, les unes que les autres. Débutons ce tour d'horizon par le ransomware. Il prend le plus souvent la forme d'un faux mail, comme cela a été le cas pour Sabre ou Air France.

"Elle consiste à introduire un logiciel malveillant, dans un poste utilisateur pour le piéger. Cela se passe par un important volume d'envoi (mail, texto... ndlr).

Une fois l'utilisateur piégé, le PC est figé et inutilisable. Pour récupérer les données et l'usage, il suffit de payer la rançon," nous décrit Philippe Gérard, du commandement du ministère de l’Intérieur dans le cyberespace.

Quinze ans en arrière, les attaques étaient ciblées : dorénavant cela concerne absolument tout le monde.

La rançon moyenne est de 8 000 euros. Nous sommes loin des gros titres des médias et des millions d'euros réclamés. Faut-il payer ou non, les pirates ?

"En cas de paiement ou non, il peut y avoir une incidence pour l'image de la société. Si l'entreprise paie, elle parait vulnérable.

Il ne faut jamais payer une rançon, car vous n'avez aucune garantie sur les données récupérées. Vous ne saurez pas non plus si elles ont été vendues sur le dark web.

L'enjeu premier : limiter les dégâts. Le salarié ne doit pas prendre d'initiative, il est indispensable de prévenir les services informatiques de l'entreprise ou le référent," précise le gendarme.

L'autre technique très à la mode : l'hameçonnage ou le phishing. Elle vise à se procurer des données sensibles, un mot de passe ou des informations financières.

"Je parlerais d'ingénierie sociale. Le pirate va se faire passer pour une personne de confiance.

Je vous relate un cas. Une personne s'abonne à la newsletter de son club de sport. Un jour elle reçoit un nouveau mail, elle clique sur le lien, elle arrive sur un site qui ressemble à celui de son club de sport.

Une fois après avoir cliqué sur le lien, les hackers se sont introduits à l'intérieur de l'ordinateur. Les criminels se sont endormis, puis ils ont observé le fonctionnement de l'entreprise. Cette personne était liée au département financier.

A un moment donné, ils sont passés à l'attaque," se remémore le cybergendarme.

Pour éviter de perdre énormément d'argent ou des données sensibles, comme les passeports ou autres, voici quelques conseils (voir photo ci jointe).

Tout d'abord, non seulement vos mots de passe ne doivent pas être simples, mais en plus ils ne doivent pas être uniques pour se connecter à différents comptes.

Il est conseillé de réaliser de nombreuses sauvegardes de son ordinateur et des mises à jour de sécurité. Les téléchargements d'application se font exclusivement sur les sites officiels.

Il est nécessaire d'avoir un minimum de méfiance sur la tournure des mails, sans être parano. Jamais votre banque, ne vous contactera avec un objet de message alarmiste.

Il est indispensable de s'assurer de la séparation des usages professionnels et personnels des matériels, comme les clés USB.

De plus, pour les agents de voyages et les tour-opérateurs, les pièces d'identité ne doivent pas être échangées par mail, sous peine de se retrouver sur le dark web.

Vous devez aussi maitriser l'usage et des informations dévoilées sur les réseaux sociaux. Ils sont une mine d'or sur l'organisation, la santé ou encore le mode de vie de l'entreprise.

Il est recommandé de se renseigner sur le site du gouvernement, pour être à jour des différentes tendances et pratiques à mettre en place.

Une fois ces recommandations passées, les acteurs du tourisme doivent aussi se rendre compte que la menace peut être insidieuse et prendre des formes très complexes.

"La fraude au président consiste à aller chercher un faux ordre de virement, en usurpant l'identité du dirigeant.

Le pirate va attaquer à un moment propice la stagiaire ou un nouvel arrivant junior qui se retrouve isolé. Dans un contexte d'urgence, la cible est sommée, de façon confidentielle, de débloquer un paiement.

Et je peux vous dire que les témoignages dans le secteur du tourisme sont nombreux. Ils utilisent la peur et la détresse du nouveau salarié," explique le directeur général de Convera.

Sans aller jusqu'au sommet de la pyramide, la fraude au fournisseur se propage. De la même manière, les pirates usurpent l'identité d'un prestataire pour obtenir de l'argent.

Pour éviter cela et perdre gros, le premier réflexe est de suspendre le virement quand il est encore possible de le faire et demander à la banque de réaliser le retour des fonds.

"Il faut en informer les collègues, sa hiérarchie et bloquer les coordonnées bancaires.

Le dépôt de plainte doit être fait le plus rapidement possible, tout en constituant le plus de preuves possibles," informe Marc-Elie Caspar.

La fraude au faux conseiller bancaire, prétextant une fausse extorsion de fonds, pour obtenir les mots de passe et les RIB. Attention : le numéro de téléphone de la banque est souvent le vrai.

C'est une logique de volume, pour réussir son coup et le piratage peut passer par des appels téléphoniques.

"Ce type de fraudes a explosé en 2023, avec une hausse de +83%. Les préjudices sont colossaux. Cela touche toutes les tranches d'âge.

Le premier réflexe est d'appeler/contacter sa banque et ne jamais communiquer des identifiants et mots de passe. Si c'est le cas, vous devez faire opposition sur tous les moyens bancaires," conseille fortement Marc-Elie Caspar.

Elles pourraient prendre une toute autre dimension avec le deepfake et l'IA.

"J'en ai fait personnellement l'expérience. Mon directeur en Italie m'appelle, pour me dire qu'il a un call prévu avec le PDG de l'entreprise, cela concerne une acquisition.

Je demande à poursuivre l'entretien en vidéo, la personne avait le physique et la voix de mon directeur, malgré un accent légèrement différent. C'était spectaculaire.

Par chance je me trouvais réellement avec le PDG, au moment de la visio," partage le DG France et Benelux de Convera.

Un autre exemple a défrayé la chronique.

Un directeur financier est en visio avec l'intégralité de son board. Une fois la fenêtre de communication refermée, il réalise un virement de 25 millions de dollars. En face de lui, des pirates, se sont fait passer, grâce à l'IA, pour les dirigeants de l'entreprise.

"L'IA est partout, elle a des usages différents et des bénéfices, mais elle peut se retourner contre nous.

Les attaquants ont bien compris que ça pouvait accélérer leur mode opérateur, aussi bien à travers la vidéo ou l'audio. Le niveau de vigilance va devoir être accru," estime Philippe Gérard.

Lors d'un virement, le responsable ou le salarié doit toujours réaliser le mouvement à 4 ou 6 yeux. L'opération bancaire et la décision doivent toujours être supervisées.

Autant d'informations qui font froid dans le dos.

Et dans ce monde, où la menace est partout, l'exécutif français n'a pas tardé à réagir. Fin 2023, un commandement du cyberespace a été créé.

Il est composé d'une flopée d'experts qui a déjà permis de démanteler des réseaux cyber malveillants au niveau mondial, "du très lourd," selon le gendarme.

Chez Digitrips, toutes ces attaques se sont présentées à un moment ou un autre.

"Il faut s'armer pour savoir quoi répondre en cas d'attaque.

La cible rêvée en ce moment : les comptables. Veillez à mettre des process financiers robustes," interpelle Frédéric Pilloud, le directeur digital de Misterfly.

Dans les entreprises et avec la problématique des mots de passe, il est fortement conseillé d'utiliser un gestionnaire de mot de passe.

Les copies de passeport, insuffisamment couvertes et protégées sont l'autre sujet qui concerne les agences de voyages.

Certains acteurs utilisent Dropbox ou un coffre-fort numérique français, comme France Identité, pour transférer ses éléments d'identité à travers un canal sécurisé.

Il existe aussi une plateforme gouvernementale insérant un filigrane permettant de ne plus réutiliser le document.

Et pour ceux qui se posent la question des responsabilités.

"En cas de cyberattaque, nous avons une responsabilité d'information des clients et de déclaration à la CNIL, 72h à partir de la découverte, sinon l'amende peu être très salée.

La clé : la formation de toute l'entreprises et à tous les niveaux," conclut Frédéric Pilloud.