Comment fonctionne le Business Email Compromise (BEC) ?

Le Business Email Compromise (BEC) est l’une des escroqueries les plus complexes basées sur l’ingénierie sociale, qui rapporte d’importantes sommes d’argent à ses auteurs. Alors que les ransomwares font la une des journaux, les BEC semblent moins faire les gros titres. Pourtant, des recherches menées par le FBI ont révélé que les volumes de BEC sont quatre fois plus importants que ceux des logiciels malveillants.

Le rapport Verizon Data Breach Investigations Report (DBIR) souligne que la grande majorité (86 %) de la cybercriminalité est motivée par des raisons financières. Les escrocs, les fraudeurs et les cybercriminels font tous partie d’une communauté infâme qui utilise des tactiques d’ingénierie sociale et des courriels d’hameçonnage pour mener à bien ses cybercrimes. Comprendre le fonctionnement d’une escroquerie peut vous aider à éviter que votre organisation ne soit victime de cette cyberattaque.

Voici comment fonctionne le Business Email Compromise et comment vous pouvez empêcher les fraudeurs BEC de voler l’argent de votre entreprise.

Analyse d’une attaque BEC typique

Les fraudeurs qui s’attaquent au courrier électronique des entreprises ciblent les entreprises de toutes tailles et de tous secteurs. Une escroquerie de type BEC utilise l’ingénierie sociale à son maximum, manipulant les employés ciblés dans son sillage, au fur et à mesure que la chaîne de destruction se déplace à travers l’organisation.

Les escroqueries de type Business Email Compromise sont lucratives, mais elles requièrent un haut niveau d’engagement pour accéder aux importantes sommes d’argent recherchées par les fraudeurs. La fraude BEC peut être considérée comme une menace avancée par courrier électronique, car elle contient généralement un élément de compromission du courrier électronique et d’hameçonnage à un stade précoce du cycle d’attaque.

Voici les processus typiques d’une escroquerie de type « Business Email Compromise » :

Une escroquerie de type BEC consiste à tromper des personnes spécifiques au sein d’une organisation pour qu’elles effectuent un virement électronique afin de transférer de l’argent sur le compte d’un fraudeur. Il existe plusieurs variantes de cette escroquerie, mais elles ont toutes un élément commun : trouver un moyen de tromper quelqu’un en lui faisant croire qu’il effectue un transfert d’argent important à la demande d’un cadre supérieur et/ou d’un client important. Les étapes typiques d’une escroquerie BEC sont les suivantes :

Première étape : Collecte de renseignements et stratégies

Les délits d’escroquerie sont des activités lucratives sérieuses qui nécessitent la collecte de renseignements pour parfaire le délit. La surveillance implique généralement la collecte d’informations générales accessibles au public sur une entreprise, l’identité des cadres supérieurs, la structure de l’entreprise, etc.

Au cours de cette étape, les cybercriminels se familiarisent avec les activités de l’entreprise et tentent de déterminer comment les paiements sont effectués et à qui ils le sont. L’escroc utilise ensuite ces informations pour entamer la deuxième phase de l’attaque.

Deuxième étape : Compromission ou usurpation d’adresse électronique

En utilisant les informations recueillies au cours de la première étape, le fraudeur BEC adopte alors l’une des deux tactiques suivantes pour poursuivre l’attaque :

La compromission d’un compte de courrier électronique est une possibilité. La prise de contrôle d’un compte (ATO) nécessite que le cybercriminel vole les identifiants de connexion et le mot de passe d’un compte de messagerie ciblé. Cela peut être fait en utilisant le spear-phishing ; c’est plus compliqué (mais pas impossible) si un deuxième facteur est utilisé pour protéger un compte.

Si le cybercriminel parvient à détourner un compte, il se concentrera sur un cadre de haut niveau ou sur une personne qui contrôle les paiements. Le compte détourné d’un CXO a une grande valeur et peut être utilisé pour exiger que des paiements « urgents » soient effectués sur le compte bancaire du pirate – en se faisant passer pour un « client important ».

Dans le cas de l’employé ATO (accounts payable), le fraudeur sera en mesure de surveiller le trafic des courriels, à la recherche d’informations sur les personnes payées, le moment où elles sont payées, etc. Le fait d’avoir ce niveau de contrôle sur le courrier électronique d’une organisation lui permet également d’intercepter les factures et d’en modifier les détails pour s’assurer que les paiements sont effectués sur le compte bancaire du fraudeur.

La deuxième option consiste à usurper l’adresse électronique du cadre de haut niveau visé. L’usurpation d’adresse est une forme courante d’hameçonnage et un moyen reconnu de faire croire aux destinataires qu’il s’agit d’un message provenant d’une personne en particulier. Un exemple d’adresse électronique usurpée serait [email protected] ou [email protected] – facile à usurper, difficile à repérer, en particulier pour le personnel chargé de la comptabilité.

Troisième étape : Extraire l’argent

La troisième étape consiste à transférer l’argent sur le compte bancaire du fraudeur. Cette opération peut prendre plusieurs formes et s’inscrit dans le cadre de la stratégie d’exécution initiale définie aux étapes 1 et 2. Les moyens les plus courants sont les suivants :

Fraude au PDG : à l’aide d’un compte de niveau C usurpé ou piraté, le fraudeur envoie un courriel « urgent » exigeant un paiement pour éviter de perdre un client clé.

Fraude à la facture : Si un compte de courrier électronique est piraté, le fraudeur intercepte des factures légitimes et modifie les détails du paiement.

Comment réduire le risque de BEC ?

La fraude BEC commence par la collecte de renseignements et se poursuit par des attaques avancées par courrier électronique, impliquant généralement le spear-phishing. Il existe plusieurs façons de protéger votre organisation contre une attaque BEC, chacune faisant partie d’une stratégie de défense à plusieurs niveaux :

Formez vos employés au fonctionnement des attaques BEC

La compromission du courrier électronique des entreprises repose sur la tromperie et la vigilance est essentielle. Utilisez la formation de sensibilisation à la sécurité et les exercices de simulation de phishing pour que les employés apprennent à reconnaître les astuces utilisées par les attaquants.

Développez une formation spécifique aux BEC pour les cadres et les équipes financières. Incluez les tiers ou les fournisseurs qui gèrent les paiements.

Utilisez l’authentification à deux facteurs

Pour empêcher la prise de contrôle des comptes de messagerie, veillez à ce que tous les comptes de messagerie de l’entreprise requièrent un deuxième facteur, tel qu’un code mobile à usage unique en plus du mot de passe.

Sécurisez votre domaine d’entreprise

Les fraudeurs BEC enregistrent souvent des domaines similaires tels que www.micr0soft.com ou www.amason.com pour se faire passer pour des expéditeurs légitimes. L’enregistrement proactif de domaines similaires peut contribuer à prévenir l’usurpation d’identité.

Mettre en place des mécanismes de double vérification des paiements

Mettez en place un processus de vérification exigeant des employés qu’ils s’informent auprès d’un autre membre du personnel avant d’effectuer des transferts ou de partager des données financières sensibles.

Soyez au courant des changements ou des mises à jour

Créez une culture de la sécurité dans laquelle le personnel reste attentif à tout comportement inhabituel de la part des équipes internes ou des fournisseurs. Une solide culture de la sécurité permet de détecter rapidement les escroqueries.

La compromission des courriels d’entreprise est un crime rentable et persistant. Pour réduire les risques, les organisations doivent rester vigilantes et former tous leurs employés – y compris les cadres – au fonctionnement des BEC.

Protégez votre organisation contre les BEC et les cybermenaces

MetaCompliance offre une suite complète de solutions pour protéger votre organisation contre la compromission des courriels d’affaires (BEC), réduire le risque humain et améliorer la résilience cybernétique globale. Notre plateforme de gestion des risques humains comprend

• Sensibilisation automatisée à la sécurité – formez les employés à reconnaître les menaces de BEC et d’hameçonnage.
• Simulations avancées d’hameçonnage – testez la préparation du personnel face à des attaques réalistes par courrier électronique.
• Risk Intelligence & Analytics – identifier et traiter les vulnérabilités liées aux risques humains.
• Gestion de la conformité – veiller à ce que les politiques et les procédures réduisent l’exposition aux BEC et autres cybermenaces.

Découvrez comment ces solutions peuvent renforcer la posture de sécurité de votre organisation et la défendre contre le BEC. Contactez-nous dès aujourd’hui pour réserver votre démo.