Entre avril 2022 et avril 2023, l'activité de cybersécurité autour de la compromission des courriels professionnels (BEC) a connu un pic : plus de 150 000 tentatives quotidiennes, en moyenne, ont été détectées par l'unité de lutte contre les crimes numériques Digital Crimes Unit (DCU) de Microsoft. C’est ce que montre le dernier rapport de veille sur les cybermenaces Cyber Signals de Microsoft, qui met en lumière les tendances en matière de sécurité à partir des informations recueillies par Microsoft auprès de ses 8 500 experts en sécurité et l’analyse de 43 trillions de signaux de sécurité. « Les attaques BEC se distinguent dans le secteur de la cybercriminalité par l'importance qu'elles accordent à l'ingénierie sociale et à l'art de la tromperie », a déclaré Vasu Jakkal, vice-président de la sécurité de l'entreprise, dans un billet de blog. « Chaque année, les attaques BEC réussies coûtent des centaines de millions de dollars aux entreprises », a-t-il ajouté.

Selon le rapport, entre 2019 et 2022, l’unité DCU de Microsoft a constaté une augmentation de 38 % des attaques de cybercriminalité en tant que service (Cybercrime-as-a-Service, CaaS) ciblant les courriels professionnels. Entre mai 2022 et avril 2023, la Digital Crimes Unit a également démantelé 417 678 URL de phishing uniques. Et entre avril 2022 et avril 2023, Microsoft a détecté et enquêté sur 35 millions de tentatives de BEC, avec une moyenne de 156 000 tentatives par jour. « En 2022, l'équipe Recovery Asset Team (RAT) du FBI a lancé la Financial Fraud Kill Chain (FFKC) - un processus de lutte contre les transferts d’argent frauduleux mis en place depuis 2016 - sur 2 838 plaintes BEC impliquant des transactions nationales avec des pertes potentielles de plus de 590 millions de dollars », a encore déclaré M. Jakkal. Au lieu de cibler les vulnérabilités des appareils non corrigées, les opérateurs de BEC s'efforcent de tirer parti de l'énorme volume de courrier électronique et d'autres messages quotidiens pour inciter les victimes à partager des informations financières ou à transférer à leur insu des fonds sur des comptes mule. Leur objectif est d'exploiter le flux constant de communication pour effectuer des transferts de fonds frauduleux.

Diverses tactiques de compromission

Selon le rapport, les acteurs de la menace emploient différentes méthodes pour essayer de compromettre la messagerie électronique d'une entreprise, soit par des appels téléphoniques, des messages textuels, des courriels ou des médias sociaux. Ils envoient par exemple de fausses demandes d'authentification ou se font passer pour des particuliers ou des entreprises pour tromper leurs cibles. « La paie, les factures, les cartes-cadeaux et les informations commerciales font partie des thèmes utilisés pour tromper les victimes dans les attaques BEC », a déclaré Microsoft. De plus, l’entreprise fait remarquer que, de plus en plus souvent, les attaquants s’appuient sur des plateformes CaaS comme BulletProftLink pour créer des campagnes de courriels malveillants à grande échelle. Cette plateforme offre un service complet avec des modèles, un hébergement et des fonctions automatisées spécialement conçues pour le BEC.

De plus, les adversaires qui utilisent ce service reçoivent des adresses IP qui facilitent leur ciblage. Les professionnels de la cybersécurité et les autorités judiciaires craignent que ces nouvelles tactiques dans les attaques BEC compliquent le traçage des acteurs malveillants, ce qui pourrait conduire à une augmentation des attaques à grande échelle. « Même si les acteurs de la menace ont créé des outils spécialisés pour faciliter la compromission de courriels professionnels, notamment des kits de phishing et des listes d'adresses électroniques vérifiées ciblant les dirigeants, les responsables de la comptabilité fournisseurs et d'autres postes spécifiques, les entreprises disposent de diverses solutions pour anticiper les attaques et réduire les risques », a déclaré M. Jakkal. Dans le genre, « l'utilisation d'applications de messagerie sécurisées, la sécurisation des identités pour bloquer les mouvements latéraux ainsi que l'adoption d'une plateforme de paiement sécurisée et la formation des employés sont efficaces », selon le rapport Cyber Signals de Microsoft.