Phishing et ingénierie sociale

Qu’est-ce que le phishing ?

Le phishing est l’une des techniques de cyberattaque les plus répandues et constamment efficaces utilisées contre les entreprises et les particuliers dans le monde entier. Dans une attaque de phishing, un attaquant se fait passer pour une entité de confiance — une banque, un fournisseur, une autorité gouvernementale, un collègue ou un système informatique — pour inciter le destinataire à :

• Révéler des identifiants ou des mots de passe
• Fournir des données de carte de paiement ou bancaires
• Autoriser un virement bancaire frauduleux
• Ouvrir une pièce jointe infectée par un logiciel malveillant
• Cliquer sur un lien menant à un site web frauduleux
• Accorder l’accès à des systèmes ou à des comptes

Selon l’INCIBE, le phishing est le vecteur de cyberattaque le plus courant en Espagne, impliqué dans plus de 60 % de tous les incidents de cybersécurité affectant les entreprises espagnoles.

L’ingénierie sociale : le facteur humain

L’ingénierie sociale est la discipline plus large consistant à manipuler les personnes pour qu’elles effectuent des actions ou divulguent des informations au profit de l’attaquant. Le phishing est la forme la plus courante d’ingénierie sociale, mais la catégorie comprend de nombreuses variantes :

• Vishing (voice phishing) : appels téléphoniques usurpant l’identité de départements de lutte contre la fraude bancaire, d’autorités fiscales (AEAT), de support informatique ou de fournisseurs
• Smishing (SMS phishing) : messages texte avec des liens frauduleux, imitant souvent des services de livraison, des banques ou des agences gouvernementales
• Spear phishing : phishing très ciblé utilisant des informations personnalisées sur la victime spécifique
• Whaling : spear phishing ciblant spécifiquement les dirigeants C-suite ou les cadres supérieurs
• Compromission de messagerie d’entreprise (BEC) : usurpation d’identité d’un PDG, d’un DAF ou d’un fournisseur pour autoriser des virements frauduleux — la forme la plus dommageable financièrement
• Pretexting : création d’un scénario fabriqué pour obtenir des informations sensibles
• Échange de bons procédés : offrir quelque chose d’une valeur apparente en échange d’identifiants ou d’accès

Fraude au PDG (BEC) en Espagne

La compromission de messagerie d’entreprise (fraude del CEO en espagnol) mérite une attention particulière car elle est responsable des plus grandes pertes financières individuelles dues aux attaques d’ingénierie sociale. Les variantes BEC les plus courantes :

Fraude au PDG (Fraude del CEO)

Un attaquant usurpe l’identité du PDG et envoie un e-mail urgent au département financier lui demandant un virement bancaire immédiat vers un nouveau compte fournisseur ou d’investissement. L’e-mail :

• Prétend que l’affaire est confidentielle et ne peut être discutée avec d’autres
• Crée une pression temporelle
• Utilise une adresse e-mail usurpée ou un domaine similaire

Usurpation d’identité de fournisseur

L’attaquant se fait passer pour un fournisseur connu et notifie l’équipe comptable d’un « changement de coordonnées bancaires » — redirigeant les paiements futurs vers le compte de l’attaquant.

Comment se défendre contre le BEC

• Confirmation verbale : Toujours appeler un contact connu pour vérifier toute demande de changement de coordonnées de paiement
• Double contrôle : Exiger deux autorisations indépendantes pour tout virement bancaire
• Authentification des e-mails : Mettre en œuvre DMARC, DKIM et SPF pour empêcher l’usurpation de votre domaine
• Formation de sensibilisation : Formation régulière sur les scénarios BEC pour tous les membres de l’équipe financière

Obligations légales après un incident de phishing

Si une attaque de phishing entraîne une violation de données, les entreprises espagnoles ont des obligations légales :

1. Notification RGPD à l’AEPD : Dans les 72 heures suivant la prise de conscience de la violation (Article 33 RGPD)
2. Notification aux personnes concernées : Si la violation est susceptible d’entraîner un risque élevé pour les personnes (Article 34 RGPD)
3. Documentation interne : La violation doit être documentée, qu’elle soit ou non notifiable

Pour la fraude financière, l’entreprise doit :

• Signaler à la Policía Nacional ou à la Guardia Civil : Plainte pénale (denuncia) dès que possible
• Notifier immédiatement la banque : Demander un rappel SWIFT/SEPA et geler le compte de destination

Formation de sensibilisation des employés

La formation à la sensibilisation à la sécurité est l’un des investissements au ROI le plus élevé qu’une entreprise puisse réaliser en matière de cybersécurité. Les études de l’INCIBE montrent que les organisations qui mènent régulièrement des exercices de simulation de phishing réduisent les taux de clics sur les e-mails de phishing de 25-30 % (sans formation) à moins de 5 %.

Contrôles techniques contre le phishing

• Filtrage des e-mails : Filtres intelligents anti-spam et anti-phishing bloquant les liens et pièces jointes malveillants connus
• Authentification multifacteur (MFA) : Même si les identifiants sont volés, la MFA empêche la prise de contrôle du compte
• Protection du navigateur : Outils avertissant les utilisateurs lors de la navigation vers des sites de phishing connus
• Filtrage DNS : Blocage des connexions vers des domaines malveillants au niveau du réseau
• Sandboxing : Exécution automatique des pièces jointes dans un environnement isolé

Comment BMC Peut Vous Aider

Nous aidons les entreprises à évaluer leur exposition aux attaques de phishing et d’ingénierie sociale, à concevoir des programmes de sensibilisation des employés, à mettre en œuvre des contrôles techniques et à répondre aux incidents — notamment en conseillant sur les obligations de notification RGPD, les plaintes pénales et l’engagement réglementaire à la suite d’une attaque réussie.