Comment prévenir la fraude à la facturation grâce à des simulations de sécurité

Cybersecurity Ventures prévoit que d'ici la fin de cette année le coût mondial de la cybercriminalité dépassera les $10,5 billions de dollars américains. Il s'agit d'une hausse astronomique par rapport au chiffre déjà vertigineux de $3 billions de dollars américains enregistré en 2015. Les raisons sont multiples : notre dépendance croissante vis-à-vis des smartphones et des services bancaires en ligne ; les difficultés liées à la maîtrise du numérique chez de nombreux groupes ciblés (tels que les personnes âgées), ainsi que la sophistication croissante des outils d’intelligence artificielle. Et aucun groupe n’est à l’abri d’une attaque.

 Les entreprises, en particulier, sont de plus en plus souvent victimes de fraudes à la facture, par exemple. Une étude menée par Forbes en 2022 a révélé que, parmi les 2 750 entreprises interrogées, plus de 34 000 cas de fraude à la facture avaient été mis au jour en l’espace d’un an. Rien qu’au Royaume-Uni, deux fraudeurs ont été condamnés à une peine de prison pour avoir falsifié des factures pour un montant supérieur à 1 million de livres sterling.

Nous avons rencontré Valerija Jerenkevic, responsable de la lutte contre la fraude et de la conformité réglementaire chez ConnectPay, qui nous a expliqué comment se déroule la fraude à la facturation. Nous avons également eu la chance de discuter avec l’un des collègues de Valerija, Tomas, chargé de mener une simulation innovante d’ingénierie sociale au sein de l’entreprise.

Alors, Valerija, qu'est-ce que la fraude à la facture, exactement ?

Bien sûr, ce type de fraude à la facture n’est pas courant chez les particuliers. Elle vise généralement le personnel comptable, les administrateurs ou la direction. Examinons deux scénarios. Dans le premier, les fraudeurs parviennent à accéder à la messagerie électronique de l’entreprise et peuvent faire tout ce qu’ils veulent. 

Par exemple, je peux attendre une facture d'un partenaire de confiance. Celui-ci m'envoie cet e-mail, mais les fraudeurs qui ont déjà infiltré mon système de messagerie le voient également, y compris le numéro IBAN vers lequel l'argent doit être transféré. 

Le deuxième scénario se produit lorsque l'entreprise est à la recherche de nouveaux partenaires. Il peut m'arriver de tomber sur un interlocuteur que je ne connais pas et qui propose des prix et des services intéressants. Je pense qu'il s'agit d'une entreprise sérieuse, mais après avoir effectué le paiement, je découvre qu'il s'agissait en réalité d'une entreprise frauduleuse dirigée par des escrocs. Bien entendu, je ne reçois jamais aucun service de leur part. 

Mais comment cela est-il possible ? Les entreprises ne sont-elles pas protégées contre ce genre de menaces ? 

Vous constaterez que, la plupart du temps, ce genre d'attaques se fait par le biais d'e-mails ou de SMS de hameçonnage. Vous recevez un e-mail de hameçonnage sur votre adresse professionnelle, vous cliquez sur un lien suspect contenant un logiciel malveillant invisible à l'œil nu. Seuls des scans informatiques spécialisés permettent de le détecter. 

Le problème avec bon nombre de ces pratiques, c’est qu’elles supposent que votre personnel fasse preuve de vigilance à tout moment. Mais ce n’est pas tout : vos employés doivent savoir ce qu’il faut rechercher. C’est pourquoi la formation du personnel est essentielle. Lorsqu’il s’agit de faire appel à de nouveaux partenaires ou fournisseurs, vous devez également faire preuve d’une grande prudence. Vous devez vérifier leur légitimité en vérifiant s'ils disposent d'un site web digne de ce nom ou en organisant des appels vidéo avec eux

Lorsque nous recevons des factures de partenaires de longue date, je recommande d'appliquer le principe du double contrôle pour la validation des paiements. Dans ce cas, en tant que comptable, je saisirais les informations relatives au paiement et je les validerais dans notre logiciel de banque en ligne, mais une deuxième personne doit ensuite vérifier et valider le paiement, en s'assurant que les coordonnées bancaires n'ont pas changé.

De plus, lorsqu’il s’agit de partenaires connus, comparez la facture en cours avec les précédentes afin de vous assurer que les numéros de compte correspondent. Si le numéro de compte a changé, suspendez toutes les transactions et contactez directement votre partenaire pour vérifier. Demandez-lui s’il a effectivement changé de compte et pourquoi, afin de vous assurer que tout est en règle. C’est la principale mesure de sécurité.

Y a-t-il d'autres mesures qu'une entreprise peut prendre pour se protéger ?

Chez ConnectPay, nous effectuons régulièrement des simulations de fraude. Mon collègue Tomas se fera un plaisir de vous donner plus de détails à ce sujet.

Bonjour Tomas, peux-tu nous en dire un peu plus sur ton exercice d'ingénierie sociale ?

Notre équipe se consacre à la réalisation de simulations externes d’ingénierie sociale, en particulier de simulations de hameçonnage, et nous menons ces actions chaque mois. Nous envoyons à nos collaborateurs des tests de hameçonnage aléatoires, qui reproduisent les types de compromissions d’e-mails que l’on observe couramment, ainsi que des factures frauduleuses accompagnées de pièces jointes malveillantes. Nous utilisons des e-mails que les gens pourraient recevoir dans des situations réelles. Par exemple, des notifications ou des demandes qui semblent provenir des banques avec lesquelles notre entreprise travaille, ou encore de faux e-mails qui semblent émaner de responsables hiérarchiques ou du service informatique.

Lorsqu’ils nous signalent ces e-mails suspects, nous leur adressons des encouragements, en leur confirmant qu’ils ont correctement identifié un e-mail malveillant. Et dans les cas où ils ont cliqué sur le lien ou ouvert une pièce jointe, nous les contactons pour discuter de ce qui s’est passé. 

Sans surprise, nous avons constaté que la plupart des clics sur ces tests de hameçonnage provenaient de nos nouveaux collaborateurs, qui n’avaient pas encore suivi une formation approfondie. Pour remédier à cela, nous avons mis en place une formation supplémentaire sur le hameçonnage, spécialement destinée aux nouveaux arrivants. Cela nous a également permis d’identifier les types de scénarios susceptibles de poser le plus de problèmes. 

L'éducation et la formation sont-elles donc essentielles pour renforcer la sécurité ?

Tout à fait exact. Ainsi, à la lumière de ces contrôles, notre RSSI propose désormais aux nouveaux collaborateurs une formation d’initiation à la sécurité, axée sur les menaces de hameçonnage. Cette formation aborde des cas concrets inspirés de tentatives réelles de hameçonnage signalées par nos collègues, afin que nos collaborateurs disposent d’exemples concrets auxquels ils peuvent s’identifier. De plus, Valerija organise chaque année des sessions de formation spécifiques consacrées à la sensibilisation au hameçonnage.

Nous formons les collaborateurs à repérer les éléments suspects, tels que les liens suspects, les formules d'urgence ou les fautes d'orthographe. C'est le genre de choses auxquelles les collaborateurs doivent prêter attention. 

Valerija, selon toi, quelle est réellement l'utilité des simulations de fraude ?

Eh bien, je suis bien sûr tout à fait d'accord avec tout ce que dit Tomas. Ce qui est formidable dans cette initiative, c'est qu'elle nous permet non seulement de tester à quel point notre entreprise est vigilante face à ces menaces, mais aussi de mettre en évidence les domaines dans lesquels nous devons mieux former nos collaborateurs. 

Mon dernier conseil à toutes les entreprises est le suivant : si vous souhaitez protéger votre activité, vous devez toujours adopter une approche proactive, car si vous vous contentez de réagir, tôt ou tard, votre entreprise fera partie des victimes de la cybercriminalité.