Bonjour,

Merci de m’accueillir à nouveau dans votre boite mail !

Voici les sujets que je vous propose aujourd’hui :

  • La fraude au président les touche eux aussi
  • A quelles attaques par email vous pouvez vous attendre en 2021 ?
  • La lecture préventive : les 2 vitesses de la pensée

 

Vous trouvez cette newsletter utile ? Pertinente ? Transférez-la à vos collègues et à votre réseau ! Avec ce simple clic vous les aiderez à mieux se protéger !

Répondez également à ce message pour me demander de traiter un thème en particulier lors d’une prochaine lettre du fraudologue. Cette newsletter n’existe que pour vous être utile et je serai heureux de privilégier les sujets qui vous tiennent le plus à cœur !

 

La fraude au président les touche eux aussi

D’après vous quelles sont les entreprises les plus vulnérables face à la fraude au président ?

Les grands groupes qui gèrent beaucoup d’argent et pour qui des virements de quelques millions d’euros sont habituels ?

Les PME qui sont concentrées sur leur activité commerciale ou industrielle plutôt que sur la prévention de la fraude ?

Oui, vous avez probablement raison.

En tout cas, je suis convaincu que vous n’avez pas pensé aux cabinets comptables. Comment ces entreprises pourraient se faire tromper alors que c’est leur métier et qu’ils doivent disposer de tous les outils de prévention et de sécurité ?

Malheureusement, tout le monde peut être touché. Quel que soit votre secteur d’activité, votre taille, votre visibilité, ou votre chiffre d’affaire. L’expérience de ce cabinet comptable de la Marne en est une nouvelle preuve. Vous trouverez l’article du Figaro qui décrit la situation ici : arnaque à plusieurs millions d’euros

On y retrouve plusieurs des marqueurs « classiques » de ce type d’escroquerie : la confidentialité et l’autorité de l’interlocuteur (le dirigeant ou son avocat). Et on peut imaginer que pour contourner les règles de sécurité interne, l’opération « ultra-secrète » en question devait revêtir une importance majeure pour l’entreprise.

Voici une nouvelle preuve que même les professionnels les mieux informés sont exposés. Et il faut une résistance très forte des salariés pour ne pas succomber à plusieurs semaines de pression.

Il n’y a pas de recette miracle pour prévenir ces fraudes.

Mais l’expérience des invités du podcast de la fraudologie peut vous donner des pistes que je résume ici :

  • Mettez en place une « information secrète » entre le décideur dont l’identité peut être usurpée et les personnes qui disposent des outils pour réaliser des virements. Cette solution a évité une fraude à mon invité Fabien Pelletier dans le second épisode du podcast. Elle peut-être mise en œuvre très facilement et elle ne vous coutera pas un centime. Une seule condition néanmoins : que la culture de votre entreprise soit compatible avec cette pratique qui peut paraitre exotique !
  • Organisez votre équipe pour qu’une personne puisse solliciter l’avis de ses collègues ou de sa hiérarchie le plus facilement possible. Que ça soit une organisation physique ouverte ou une messagerie interne, des SMS ou une messagerie instantanée, toutes les options sont bonnes si le fraudeur ne peut pas isoler sa victime de ses collègues. C’est ce qu’a expérimenté Céline qui a pu soutenir sa collègue qui avait un escroc au téléphone : écoutez son récit ici.

 

Prévisions des attaques par email en 2021

Pour récupérer des données sur l'entreprise ou infiltrer un virus dans votre système informatique, la messagerie est la porte d'entrée préférée des fraudeurs.

Dans cet article, VadeSecure, société française spécialisée dans la sécurisation de la messagerie évoque les principales menaces qui pèsent sur vos emails en 2021 :

Le détournement de conversation

Les hackers s'insèrent dans des conversations pour se faire passer pour un interlocuteur de confiance et demander de cliquer sur un lien qui va permettre d'infecter l'ordinateur de la victime. Vous pouvez avoir le meilleur système de défense du monde, si celui de vos interlocuteurs habituels est fragile, vous pourriez bien subir aussi des conséquences !

Les menaces présentes dans des images distantes

Les serveurs de messagerie sont de plus en plus capables de vérifier les menaces présentes dans les pièces jointes et les hackers l'ont bien compris. Pour contourner ces sécurités, ils vont infecter des images stockées quelque part sur internet et ces images ne seront téléchargées par votre messagerie que lorsque vous ouvrirez le message. Attention donc aux pages internet et aux messages que vous ouvrez ! Idéalement, paramétrez votre messagerie pour que les images ne s'affichent pas quand elles proviennent d'une adresse inconnue.

L'internationalisation des attaques de type "BEC"

La technique du Business Email Compromise consiste à envoyer des messages à partir d'une adresse très proche de celle de l'expéditeur légitime. Par exemple denis@fraugologle.fr. Est-ce que vous avez vu l'erreur dans cette adresse ? Un petit caractère suffit, comme vous l'avez entendu dans le témoignage de Sébastien qui a perdu 30 000€.
Jusqu'à aujourd'hui l'essentiel des systèmes de détection analysent des messages en anglais (les principaux éditeurs sont anglophones...). Or les attaques de ce type se font maintenant dans de nombreuses autres langues ce qui les rend beaucoup moins faciles à repérer. Attention donc aux adresses des expéditeurs de vos messages : si la demande concerne une action inhabituelle (virement, changement de RIB, demande d'infos...), il faut impérativement vérifier précisément l'adresse : chaque caractère compte !

Les hackers et les entreprises vont miser sur l'humain

Les évènements récents et actuels sont exploités par les hackers dans le cadre de vastes campagnes de phishing. Comment résister à cette offre alléchante du Black Friday ou pourquoi ne pas consulter ce site qui me donne les dernières infos sur la pandémie ? Les attaques basées sur des événements réussissent car des millions de personnes dans le monde vivent la même situation, qu’elle soit positive ou négative.

Mais les hackers ne sont pas les seuls à percevoir l’importance du comportement humain en matière de cybersécurité. Bien souvent, les utilisateurs sont considérés comme le maillon faible de la sécurité de l’email. Pour autant, lorsqu’un filtre de messagerie ne parvient pas à bloquer une attaque, ces utilisateurs constituent la dernière ligne de défense. 2021 sera l'année de la formation et de la sensibilisation !

 

La lecture préventive : les 2 vitesses de la pensée

Dans toutes les fraudes, un être humain a réalisé une action qui a concrétisé l’attaque. Que ce soit un clic sur une pièce jointe contenant un virus ou la saisie d’un virement dans le cas d’une fraude au président, une personne a décidé d’agir. 


En partant de ce constat, je me suis intéressé à la prise de décision : qu’est-ce qui fait qu’une personne compétente a décidé de payer alors qu’objectivement elle n’avait aucune raison de le faire ?


Et en creusant ce sujet, on arrive naturellement aux biais cognitifs : ces erreurs de raisonnement systématiques que nous faisons tous. Si, si, tous !


Ce cheminement m’a donc conduit à découvrir Daniel Kahneman, un des fondateurs de ce qu’on appelle l’économie comportementale ou la psychologie cognitive. Dans son livre Système 1 / Système 2 : les deux vitesses de la pensée, il a posé les bases qui permettent de comprendre nos biais.


Il nous explique que notre esprit est partagé entre deux « systèmes » qui cohabitent. Le Système 1 est rapide, intuitif et guidé par nos émotions. Le Système 2 est lent, réfléchi et consomme beaucoup d’énergie. Ces deux personnages fictifs sont là pour nous aider à comprendre la manière dont nous prenons nos décisions mais aussi ce qui guide nos préférences et ce qui se cache derrière nos intuitions.


Mais il serait difficile (et présomptueux !) de résumer ici le travail scientifique de Kahneman. Donc je vous propose de vous expliquer les principaux biais qui me paraissent essentiels dans une démarche de prévention de la fraude. Dans chaque « lettre du fraudologue » nous aborderons un biais et verrons quels risques ou quels bénéfices vous pourrez en tirer.


Commençons dès aujourd’hui avec le biais de disponibilité.


Si je vous demande si votre risque de contracter le coronavirus est important, avant même de chercher des exemples dans votre entourage, votre Système 1 va vous donner une réponse en une fraction de seconde. Cette réponse provient de la facilité que votre esprit aura eu à accéder à de l’information sur ce sujet. Compte tenu de l’omniprésence de ce sujet dans les médias et dans nos discussions quotidiennes, la réponse se forme encore plus aisément.


Même si cet exemple est caricatural, il peut être dupliqué à de nombreux sujets. Si je vous demande si votre risque de subir une fraude est important, votre réponse dépendra des facteurs suivants :

  • votre fréquence d’exposition à des exemples associés à ce sujet
  • Des évènements marquants ou dramatiques qui augmentent temporairement la disponibilité de ce sujet dans votre esprit
  • Des expériences personnelles : si vous avez subi des fraudes, il y a de fortes chances pour que vous y soyez sensible

 

C’est pour cette raison précise qu’il est indispensable de vous exposer régulièrement, vous et vos collègues, à des informations et des exemples sur ce sujet. L’idée n’est pas de vous surcharger d’infos mais d’alimenter votre esprit pour que votre perception du risque ne faiblisse pas. Car c’est à ce moment-là que votre vulnérabilité augmenterait.

 

Merci d'avoir lu ce message jusqu'au bout ! Nous nous retrouvons dans 2 semaines pour de nouvelles ressources de prévention de la fraude.


Tous vos commentaires sont les bienvenus : il vous suffit de cliquer sur « répondre » !


Bien à vous,


Denis Pénot - Fraudologue | 33 bis rue de la minoterie, Saint-Léger les vignes
Cet e-mail a été envoyé à | Se désabonner | Transmettre cet email à un ami