Phishing : mettre les dirigeants à l'abri des cyberattaques ciblées

Les dirigeants d'entreprise, de gouvernement et d'organisation du monde entier non seulement détiennent les clés de systèmes et de données de grande valeur, mais sont bien souvent assez mal protégés. Résultat : les équipes de sécurité ont la charge de trouver un meilleur équilibre entre d'un côté le statut et les responsabilités d'un dirigeant et de l'autre le risque qu'il représente pour l'organisation.

Les dirigeants, un vecteur d'attaque lucratif

Compte tenu de leur statut et de leur importance pour une organisation, les dirigeants sont un vecteur précieux pour les malfaiteurs entreprenants. Extrêmement occupés, sollicités de toute part au cours d'une journée, ils ont tendance à travailler tard le soir et ont davantage de risques de se faire tromper par un e-mail de phishing quand ils sont fatigués. Ces dirigeants ont également bien souvent des vies publiques, prenant part à de nombreuses interventions (conférences, salons professionnels, etc.). L'ingénierie sociale, en se basant sur différentes sources publiques (LinkedIn, sites web, articles de presse), permet d'affiner les attaques de spear phishing en faisant référence à un prestataire, un partenaire ou un client existant.

Une attaque réussie sur un dirigeant donne ensuite l'opportunité aux hackers de se faire passer pour eux et d'user de leur influence sur les employés. C'est ce qui est arrivé à Leoni AG, une société de fabrication allemande. Un e-mail de spear phishing, soi-disant envoyé par un membre de la direction, a convaincu un comptable de faire un transfert de 40 millions de dollars sur un compte. Le DAF est aujourd'hui l'ex-DAF.

Le temps est compté

Les attaques ciblant les dirigeants sont susceptibles d'avoir un impact énorme sur leur organisation, il est donc crucial de les détecter aussi rapidement que possible, avant tout dégât réel.

Le compte à rebours commence dès que l'entreprise détecte une violation, et il est d'une importance cruciale de commencer à collecter aussi rapidement que possible le maximum d'informations pertinentes sur le contexte de l'attaque : comment l'attaque a pu se diffuser ? Quels systèmes ont été touchés ? Des fuites de données sont-elles avérées ?

Appliquer les bonnes pratiques pour tous

Au lieu de supprimer les droits d'accès des dirigeants aux divers systèmes de l'entreprise, comme le service paie pour gérer une urgence comptable par exemple, les membres de la direction voient bien souvent leurs droits conservés une fois une tâche accomplie, pourtant sans réelle justification opérationnelle. Pensant gagner du temps et sans réfléchir aux conséquences, bien souvent un dirigeant demande un accès total à tous les systèmes d'une organisation.

Les attaques qui ciblent les dirigeants peuvent provoquer des dégâts considérables, entraînant des pertes financières, des licenciements, voire la faillite ou la fermeture de l'entreprise. Malheureusement, malgré les risques démesurés qu'ils représentent pour leur organisation, de nombreux dirigeants préfèrent encore éviter les mesures de cybersécurité, pourtant basiques, au motif de gagner en simplicité d'accès et en productivité.

Des mesures de cybersécurité appliquées à l'ensemble de l'organisation peuvent bloquer un grand nombre de ces attaques. A charge pour les équipes de sécurité d'évaluer les droits d'accès de tous les membres d'une organisation pour identifier et corriger les politiques obsolètes ou sources de risque. En cas d'attaque avérée, il s'agira notamment de mettre en quarantaine certains systèmes, de révoquer les droits d'accès de certains utilisateurs, de couper certaines applications ou de restaurer des points d'accès.

Laurent Tombois est directeur de Bitdefender pour la France (Country Manager France et pays d'Afrique francophone). Il a plus de 25 ans d'expérience sur le marché de la sécurité informatique et dans la construction de réseaux. Chez Bitdefender, Laurent Tombois se concentre sur le développement du marché des entreprises et le développement des canaux de distribution afin de stimuler les ventes et de consolider la présence de l'entreprise en France.