Ingé­nie­rie sociale: nou­velle méthode d’at­taque ciblant les entre­prises

Ces der­niers jours de nom­breuses entre­prises ont reçu des appels lors des­quels des escrocs tentent de se faire pas­ser pour leur banque. Dans de nom­breux cas, les cri­mi­nels peuvent iden­ti­fier la banque de l’en­tre­prise grâce aux infor­ma­tions acces­sibles publi­que­ment sur le site web de cette der­nière. Cette infor­ma­tion peut aussi être par­fois obte­nue par un appel télé­pho­nique ou une demande d’in­for­ma­tion via cour­riel à l’en­tre­prise.

La Cen­trale d’en­re­gis­tre­ment et d’ana­lyse pour la sûreté de l’in­for­ma­tion (MELANI) de la Confé­dé­ra­tion a publié une news­let­ter sur cette ques­tion.

Pour pré­ve­nir ce type d’at­taque, MELANI recom­mande les mesures sui­vantes:

• Il est impor­tant de sen­si­bi­li­ser les col­la­bo­ra­teurs quant à l’exis­tence de ce type d’at­taques, tout par­ti­cu­liè­re­ment les col­la­bo­ra­teurs dans des posi­tions clés.
• Tous les pro­ces­sus rela­tifs à des vire­ments devraient être clai­re­ment défi­nis à l’in­terne et appli­qués de manière rigou­reuse par tous les employés, en toute situa­tion. Les éta­blis­se­ments finan­ciers ne vous deman­de­ront jamais de leur trans­mettre vos don­nées d’ac­cès que ce soit par écrit ou par oral.
• Aucune banque sérieuse ne vous deman­dera de col­la­bo­rer à des tests liés à des mises à jour de sécu­rité. Les banques et leurs four­nis­seurs IT dis­posent d’en­vi­ron­ne­ments d’éva­lua­tion pour tes­ter les mises à jour de sécu­rité avant de les mettre à dis­po­si­tion de leur clien­tèle.
• N’ins­tal­lez jamais de logi­ciels lorsque l’on vous le demande de manière télé­pho­nique ou par cour­riel.
• N’au­to­ri­sez jamais un accès à dis­tance à votre sys­tème infor­ma­tique.
• Rédui­sez l’in­for­ma­tion que vous publiez sur votre entre­prise sur inter­net au mini­mum néces­saire. Évi­tez si pos­sible de nom­mer vos col­la­bo­ra­teurs ainsi que de don­ner des infor­ma­tions sur vos rela­tions ban­caires.
• Lors de prises de contact sus­pectes ou inha­bi­tuelles, évi­tez de divul­guer des infor­ma­tions internes à l’en­tre­prise.
• Il est for­te­ment recom­mandé de véri­fier à l'in­terne la légi­ti­mité d'une demande ou d'une prise de contact, lorsque celle-ci paraît dou­teuse ou inha­bi­tuelle.
• Si vous êtes vic­time d'une fraude, signa­lez-le à l’Of­fice fédé­ral de la police (Fed­pol) via le for­mu­laire d’an­nonce et dépo­sez plainte auprès de votre police can­to­nale.

Pour la sécu­rité infor­ma­tique des PME, MELANI a publié un aide-mémoire spé­ci­fique.