L’arnaque au président : quels sont les bons gestes à adopter ?

Dans cette courte vidéo, Cédric DUVAL, consultant en système d’information au sein de TGS France et expert en cybersécurité, fait le point sur les bons gestes à adopter pour décourager les malfaiteurs.

Qu’est-ce qu’une « arnaque au président » ?

L’arnaque au président est une méthode utilisée par les cyberattaquants pour voler de l’argent aux organisations en se faisant généralement passer pour un partenaire de confiance (cabinet d’avocats, cabinet d’expertise comptable) et en appuyant leur démarche grâce à l’usurpation de l’identité d’un supérieur hiérarchique, d’un dirigeant. Le cyberattaquant va convaincre un collaborateur interne d’effectuer des ordres de virements dans le cadre d’opérations exceptionnelles et confidentielles (croissance externe, besoin de trésorerie sur une filiale, etc.). Le cyberattaquant va confirmer sa demande à la victime en envoyant un mail ou un SMS depuis la messagerie ou le numéro de téléphone piraté du dirigeant et ainsi voler de l’argent à l’organisation. Contrairement au phishing qui cible un public large d’utilisateurs, l’arnaque au président cible quelques collaborateurs clés d’une société ou d’une organisation.

Comment sont collectées les données ?

L’objectif est de créer un lien de confiance avec le collaborateur victime. Pour ce faire, le cyberattaquant va utiliser la technique de l’ingénierie sociale en collectant un maximum d’informations sur l’organisation et sur sa victime afin de la manipuler psychologiquement. Le cyberattaquant va utiliser toutes les ressources dont il dispose pour collecter ces données : actualités de la société, réseaux sociaux, articles de journaux, site Internet, etc. La collecte des données peut être longue pour l’attaquant, mais le temps passé sera très vite rentabilisé par la somme importante d’argent qu’il va récupérer.

Quelles sont les mesures préventives ?

Voici quelques bonnes pratiques pour éviter de devenir la cible d’une arnaque au président :

1. La sensibilisation des collaborateurs à ce type d’attaque doit être une priorité pour les entreprises. Il est impératif de sensibiliser les nouveaux arrivants et les stagiaires à ce type d’arnaque, tout particulièrement les collaborateurs disposant des habilitations pour réaliser des opérations bancaires.
2. La formation de ses collaborateurs sur l’identification d’échanges téléphoniques et ou d’emails suspects. Ils doivent être vigilants lors de demandes inhabituelles : mise à jour de coordonnées bancaires d’un fournisseur, remise exceptionnelle si paiement urgent, opération confidentielle. Il ne faut surtout pas céder sous la pression d’un interlocuteur remettant en cause ses compétences ou souhaitant un paiement rapide.
3. La mise en place d’un protocole de sécurité pour se protéger des fraudes. Par exemple, le principe des 4 yeux consistant à séparer les étapes liées à la réalisation d’opérations bancaires en les attribuant à des personnes différentes : gestion des RIB, génération des ordres de virement, validation des ordres de virement.
4. La maîtrise de sa communication sur les réseaux sociaux et le contrôle des informations diffusées sur internet : noms, prénoms, fonctions, liens hiérarchiques, organigrammes, etc. Il est important d’alerter les collaborateurs sur l’importance de ne pas divulguer d’informations concernant le fonctionnement de l’entreprise.