L’Office fédéral de la cybersécurité met en garde contre la fraude au CEO, exploitant souvent des informations publiques et désormais renforcée par les deep fakes.
Comme le rappelle l’Office fédéral de la cybersécurité dans son message référencé ci-après, le scénario typique d’une fraude au CEO cible le service financier d’une entreprise qui reçoit de son patron une demande de paiement soi-disant urgente. Le CEO explique alors au responsable financier n’effectue pas le paiement dans les plus brefs délais, cela aura de graves conséquences pour l’entreprise, car une commande importante sera perdue par exemple. En complément, il lui est précisé que le CEO sera (étrangement) plus joignable pour répondre à d’autres questions.
Aujourd’hui, la plupart du temps, ces attaques ne sont pas très sophistiquées et sont faciles à détecter mais l’intelligence artificielle et les deep fake n’ont pas dit leur dernier mot comme le montre un exemple récent signalé à l’OFCS.
Les fraudes classique au CEO alimentées par les informations publiques des entreprises
Pour préparer ce que l’on appelle une fraude au CEO, les cybercriminels repèrent en principe systématiquement les noms et les adresses électroniques des patrons et des responsables financiers sur les pages web publiques des entreprises. Pour ce faire, ils utilisent principalement des pages web présentant les équipes. Certaines entreprises publient, sur leur site internet, des informations sur l’ensemble de leur équipe, comme le nom, la fonction, la photo, le numéro de téléphone et l’adresse électronique de chaque membre. Cela donne une image certes conviviale, mais c’est aussi une mine d’informations pour des personnes malintentionnées.
L’OFCS observe par ailleurs que des profils Linkedin sont eux aussi systématiquement passés au crible pour repérer des employeurs et des fonctions. Si les cybercriminels trouvent ce qu’ils cherchent, ils font ensuite parvenir un courriel avec une fausse adresse d’expéditeur du CEO au service financier, courriel qui contient un ordre de paiement urgent.
Dans la plupart des cas, il s’agit toutefois d’attaques de masse peu sophistiquées. Les cybercriminels ne se donnent pas particulièrement de peine pour aborder les victimes de manière spécifique et personnaliser leurs demandes. Les textes utilisés sont généralement toujours les mêmes.
Un cas signalé de fraude au CEO avec des techniques de deep fake
Un cas signalé à l’OFCS la semaine dernière se distingue toutefois de ces attaques de masse. Contrairement à la procédure habituelle, les cybercriminels n’ont pas essayé d’empêcher la victime de prendre contact avec son chef. Bien au contraire. Pour commencer, un avocat supposé a pris contact avec le responsable financier par téléphone et l’a invité à une vidéoconférence avec son chef dans les minutes suivantes. La victime a ensuite reçu un courriel contenant les données d’accès à la réunion. Lorsque le responsable financier s’est ensuite connecté à la conférence en ligne, il a effectivement pu voir son patron à l’écran et lui parler. Au cours de la conversation, le prétendu patron a ensuite tenté d’obtenir le numéro de téléphone portable du responsable financier et de le convaincre de déclencher des transactions financières.
Dans ce cas, les cybercriminels ont créé la vidéo du CEO à l’aide de l’intelligence artificielle. L’origine exacte du matériel de base utilisé pour créer les fausses vidéos n’a pas pu être établie avec certitude. Toutefois, l’OFCS part du principe que du matériel vidéo disponible publiquement a été employé pour créer ces vidéos avec une technique de deep fake. Une autre possibilité, notamment pour copier la voix, est de passer des appels téléphoniques en amont.
L’OFCS rappelle à l’occasion de sa mise en garde les principales mesures de précaution et en particulier:
- Sensibilisez l’ensemble de votre personnel au risque de fraude au CEO et en particulier celles et ceux qui travaillent au service financier.
- Sensibilisez le personnel au fait que des attaques ciblées et de possible deep fakes peuvent être menées avec des informations disponibles publiquement.
- Sur votre site internet, publiez le strict nécessaire en matière d’informations concernant votre personnel. Cela vaut également pour les vidéos.
- Faites preuve de prudence lorsque vous recevez des demandes de paiement : ne donnez pas suite à des demandes inhabituelles.
- Tous les processus relatifs aux opérations de paiement (p. ex. le principe du double contrôle ou la signature collective à deux) doivent être clairement réglementés à l’interne et respectés par le personnel dans tous les cas.
Pour en savoir plus
(Re)découvrez également:
Des idées de lecture cybersécurité
