Fraudes courantes visant les entreprises
L’un des meilleurs moyens de se protéger des fraudes est de connaître les méthodes les plus couramment utilisées par les fraudeurs pour compromettre la sécurité de votre entreprise.
Il existe généralement différentes méthodes pour vous tromper, vous et vos employés.
Apprenez à vous protéger
Bon nombre de fraudes visant les entreprises relèvent de la catégorie du «piratage psychologique». Il s’agit d’un processus utilisé par les fraudeurs se fondant sur la manipulation, qui mise sur notre désir d’aider ou de répondre à des demandes urgentes, afin de commettre une fraude financière.
Quand on parle de cybersécurité, il est aussi important de prendre en considération le degré de vulnérabilité des employés au piratage psychologique et la manière dont ils pourraient être amenés à fournir des renseignements à un fraudeur dans le cadre de leur travail.
Types de fraudes visant les entreprises
-
Hameçonnage, hameçonnage par téléphone et par texto
De quoi s’agit-il?
Quand on parle de cyberattaques, on pense souvent à des fraudeurs qui analysent des lignes de code complexe, à la recherche de failles dans les logiciels ou dans le matériel.
Or, ça ne se passe pas toujours ainsi. Les fraudeurs visent maintenant les employés pour exploiter les émotions humaines, des liens sociaux et le désir inné qu’ont les gens d’agir correctement ou de répondre à des demandes urgentes reçues par courriel (hameçonnage), par texto (hameçonnage par texto) ou par téléphone (hameçonnage par téléphone).
L’hameçonnage est une forme de piratage psychologique qui consiste à utiliser des courriels mensongers pour amener le destinataire à divulguer des renseignements personnels ou confidentiels pouvant être détournés à des fins malhonnêtes.
L’hameçonnage par téléphone, c’est l’équivalent de l’hameçonnage par courriel. Il consiste à soutirer des renseignements confidentiels pouvant ensuite être utilisés pour le vol d’identité.
L’hameçonnage par texto est une autre déclinaison de l’hameçonnage, où les criminels envoient un texto ou un message texte pour tenter d’obtenir des renseignements confidentiels du destinataire.
Le piratage psychologique est une méthode éprouvée qui permet aux fraudeurs de s’introduire dans votre entreprise et d’obtenir de l’information qui pourrait mettre en péril les renseignements confidentiels ou le revenu de votre entreprise. De plus, les fraudeurs deviennent de plus en plus habiles.
Exemples de fraude
Hameçonnage ciblé (harponnage)
Il consiste en un courriel ciblé conçu pour tromper des personnes ou des petits groupes afin qu’ils communiquent de l’information ou installent un programme malveillant sur leur appareil. Cette technique s’appuie sur des technologies et des stratégies personnalisées plus développées pour contourner les filtres de courrier indésirable et convaincre les victimes de la légitimité du courriel.
Notifications
L’hameçonnage par texto peut comprendre des notifications bancaires, des mises à jour sur un suivi de commande ou des avertissements urgents qui agissent sur le désir de la victime de résoudre un problème. Sachez que la Banque Scotia ne vous appellera jamais pour vous demander des renseignements personnels et financiers concernant votre entreprise ou vous-même.
Urgence ou fébrilité
L’hameçonnage par téléphone joue souvent sur un sens d’urgence (règlement d’une affaire fiscale ou légale) ou sur un sentiment de fébrilité (annonce d’une victoire pour un prix ou un voyage gratuit). Ces attaques vous poussent à divulguer des renseignements personnels et financiers qui peuvent ensuite être utilisés pour commettre une fraude ou un vol d’identité.
Comment protéger votre entreprise
Ces fraudes contiennent souvent des demandes urgentes ou provocantes et les expéditeurs se font passer pour des sources légitimes ou pour des personnes que vous connaissez.
Prenez toujours le temps d’examiner attentivement les courriels, les appels téléphoniques ou les textos qui contiennent une demande de renseignements confidentiels, surtout si la demande est urgente ou si ce qu’on vous offre a l’air trop beau pour être vrai.
-
Maliciel/rançongiciel
De quoi s’agit-il?
Par maliciel (logiciel malveillant), on entend tout logiciel conçu dans le but de voler des données confidentielles, d’endommager ou de détruire des ordinateurs ou des systèmes informatiques.
Il existe une grande variété de maliciels: virus, vers, chevaux de Troie, logiciels espions, logiciels publicitaires, rançongiciels. Quelle que soit leur nature, leur objectif est le même: voler des renseignements confidentiels et entraver le fonctionnement des systèmes informatiques.
Les rançongiciels sont particulièrement utilisés aujourd’hui contre les entreprises. Ils peuvent attaquer et chiffrer (c’est-à-dire bloquer) les systèmes pour obtenir une rançon.
Les maliciels sont conçus pour se cacher dans le système d’exploitation et contourner les mesures de sécurité. Il est possible que votre ordinateur soit infecté par un rançongiciel sans que vous le sachiez. Celui-ci peut rester inactif jusqu’à ce qu’il soit activé par un fraudeur pour chiffrer (bloquer) vos fichiers et demander une rançon.
Les rançongiciels bloquent vos fichiers, de manière à les rendre inutilisables dans l’espoir que vous payiez une rançon pour les récupérer.
Supprimer un rançongiciel et décrypter vos fichiers peut s’avérer être un défi important même pour les experts en TI.
Soyez conscient du fait que le paiement de la rançon ne vous garantit pas que vos fichiers seront décryptés. Il est aussi possible que le fraudeur vende vos renseignements, les diffuse en ligne ou les élimine.
Exemples de fraude
Téléchargements infectés
C’est généralement en téléchargeant un programme infecté depuis un site Web illégitime qu’on installe involontairement un maliciel dans nos systèmes.
Les maliciels sont conçus pour avoir l’air légitimes; il est donc facile de tomber dans le piège et de les installer sur son ordinateur.
Bien que de nombreux sites Web proposent des téléchargements gratuits, vous devriez télécharger des programmes et des logiciels uniquement auprès d’entreprises fiables.
De plus, les maliciels peuvent aussi être installés en cliquant sur un hyperlien dans un courriel ou un texto.
Naviguer avec prudence
Il est également possible de télécharger par erreur un maliciel sur votre appareil en consultant un site Web infecté.
Ces sites Web sont conçus pour avoir l’air légitimes, mais ils peuvent contenir des éléments qui lancent le téléchargement d’un maliciel, notamment:
- des publicités
- de faux messages d’erreur
- des fenêtres contextuelles
Découvrez comment repérer un site malveillant
Pièces jointes suspectes
Certains courriels d’hameçonnage contiennent des pièces jointes qui sont en réalité des maliciels. Il s’agit d’une technique souvent utilisée pour infecter les ordinateurs.
Vous risquez de tomber dans le piège du fraudeur simplement en ouvrant une pièce jointe infectée par un maliciel. Celui-ci pourra alors fonctionner en arrière-plan, sans que vous vous en rendiez compte.
Comment protéger votre entreprise
Pour protéger vos systèmes des maliciels et des rançongiciels, il faut:
- installer des anti-maliciels ou des pare-feu par exemple
- apprendre aux employés à être attentifs et à reconnaître les risques potentiels
- s’engager à élaborer des plans, des processus et des politiques visant à réduire le risque de tomber sur des logiciels malveillants
-
Compte de courriel d’entreprise compromis
De quoi s’agit-il?
Le compte de courriel d’entreprise compromis est une forme de fraude qui vise les grandes et les petites entreprises.
Il s’agit techniquement d’une forme de harponnage par laquelle les entreprises qui traitent régulièrement des paiements sont attaquées. Les fraudeurs ciblent les employés qui ont accès à des données confidentielles concernant l’entreprise ou les clients, et les responsables de la gestion des fournisseurs et des paiements.
Généralement, la fraude s’effectue au moyen d’un courriel ou d’un message frauduleux, provenant d’une personne qui se fait passer pour le président, un membre de la direction ou un fournisseur et qui demande un virement d’argent immédiat, une modification concernant un compte bancaire ou une facture, ou l’accès à des données confidentielles.
Exemples de fraude
La fraude du président
Les fraudeurs envoient des courriels frauduleux aux employés de l’équipe financière, se faisant passer pour des membres de la haute direction (chef de la direction, chef des Affaires financières) ou toute autre personne autorisée à demander un virement. Le fraudeur falsifie l’adresse de l’expéditeur du courriel afin que le courriel ait l’air d’avoir été envoyé depuis une adresse courriel légitime.
Le courriel d’hameçonnage se fonde sur des tactiques de piratage psychologique, et a pour but de convaincre le destinataire à envoyer de l’argent à un tiers inconnu.
Le courriel est rédigé de manière à susciter un sentiment d’urgence, et l’expéditeur insistera probablement pour que le virement reste confidentiel.
Modification des modes de paiement
Les fraudeurs envoient parfois des courriels qui semblent provenir de fournisseurs ou de clients avec lesquels votre entreprise entretient une relation bien établie.
Ils créent un compte frauduleux au moyen d’une fausse adresse courriel ou d’un faux numéro de téléphone et se font passer pour un fournisseur de confiance ou un client existant. Dans leur courriel, ils demandent de modifier le compte dans lequel les paiements sont effectués. Ils détournent ainsi dans leur propre compte les fonds destinés à un fournisseur ou à un client.
Vol de renseignements
Les fraudeurs peuvent aussi chercher à manipuler les employés pour qu’ils fournissent des renseignements permettant d’identifier une personne (RPIP) concernant d’autres employés ou des clients. Ces renseignements peuvent ensuite être utilisés pour commettre des fraudes (tentatives d’hameçonnage, usurpation d’identité du président, création de fausses factures ou de faux comptes).
Comment protéger votre entreprise
Enseignez à vos employés à repérer les tentatives d’hameçonnage, surtout de harponnage et de compromission de courriel d’entreprise. Insistez sur le fait que les adresses courriel peuvent être falsifiées et qu’elles doivent être vérifiées avec attention.
Rappelez à vos employés qu’il est essentiel d’être à l’affût des signaux d’alerte, comme le sentiment d’urgence. Expliquez-leur qu’ils doivent informer leur supérieur de toute demande de télévirement ou de paiement urgent.
Les employés devraient toujours communiquer avec les clients et fournisseurs, au moyen de numéros connus, pour confirmer les demandes de paiements ou de virements de fonds.
-
Fraude par chèque
De quoi s’agit-il?
Les fraudes par chèque sont toujours en hausse. Les entreprises de toute taille peuvent être la cible de fraude par chèque.
L’utilisation illégale d’un chèque pour obtenir des fonds constitue une fraude par chèque.
Les chèques peuvent être interceptés et volés dans le courrier.
Apprenez à reconnaître les différents types de fraude pour protéger votre entreprise et vous-même des fraudeurs.
Exemples de fraude
Chèque contrefait
Les chèques contrefaits sont souvent légèrement différents des chèques authentiques.
La couleur, le logo, la police ou les éléments de sécurité peuvent varier.
Chèque falsifié
Les chèques falsifiés sont valides et autorisés, mais les éléments suivants ont été modifiés:
- le nom du bénéficiaire
- la date
- le montant (en chiffres et écrit)
- la date du paiement
Comment protéger votre entreprise
Protégez votre entreprise de la fraude par carte et par chèque en passant en revue vos opérations quotidiennement. Plus vous serez au courant de vos finances, plus le niveau de sécurité sera élevé.
Si vous soupçonnez que votre carte ou votre NIP a été compromis, ou si vous repérez des opérations frauduleuses sur votre compte, communiquez immédiatement avec nous au 1-866-625-0561.
-
Fraude par télévirement
De quoi s’agit-il?
Les télévirements demeurent une cible de choix des fraudeurs en raison de la vitesse et de la limite plus élevées des opérations. Parmi les méthodes courantes de fraude par télévirement, on retrouve les fraudes par compte de courriel d’entreprise compromis (piratage du courriel du client ou du fournisseur), prises de contrôle de compte, maliciels et hameçonnage (notamment par téléphone et par texto).
Rappelez-vous: vous ne devriez jamais vous sentir pressés de répondre quand vous faites affaire avec une entreprise de confiance.
Les fraudeurs savent que l’argent envoyé au moyen d’un télévirement est difficile à recouvrer en raison de la rapidité du règlement et de la difficulté à recouvrer des fonds envoyés à l’étranger.
Les employés chargés de traiter les télévirements sont délibérément ciblés.
Les tactiques de piratage psychologique ont un rôle central, car les fraudeurs comptent sur le sens du devoir des employés et sur leur désir d’agir correctement dans une situation d’urgence.
Avant d’effectuer une opération, les employés doivent toujours prendre le temps d’évaluer la demande de télévirement et déterminer si elle est légitime ou non.
Exemples de fraude
Modification des instructions de paiement
La fraude par télévirement survient habituellement lorsqu’un fraudeur envoie un courriel se faisant passer pour un fournisseur de confiance et demande une modification des instructions de télévirement ou des renseignements du compte. Il peut demander une modification des renseignements relatifs au compte de paiement afin de recevoir les fonds dans un compte frauduleux. Le courriel peut aussi contenir un hyperlien malveillant qui lance le téléchargement d’un maliciel sur votre appareil et votre réseau.
Usurpation
L’usurpation de courriels se fait au moyen d’un courriel frauduleux, créé sous un faux nom pour tromper le destinataire. Il existe trois grandes méthodes pour usurper un courriel:
- falsifier le nom et l’adresse courriel que le destinataire voit
- créer une vraie adresse courriel au nom d’une personne de votre entreprise
- créer une nouvelle adresse courriel qui ressemble à la vraie
Urgence
Bien que certains fraudeurs passent des semaines à préparer leur plan d’action, l’un des plus grands signaux d’alerte concernant la fraude par télévirement reste le faux sentiment d’urgence.
Avant d’effectuer un télévirement, prenez toujours le temps de vous assurer que tous les protocoles sont respectés.
Comment protéger votre entreprise
Signaler un incident ou une opération douteuse