Le FBI annonce une perte de 12,5 milliards de dollars à l'échelle mondiale dues à des attaques par emails. Alors que les attaques de logiciels malveillants attirent l'attention des médias en raison de leur forte ampleur, la fraude par email ciblé coûte discrètement des milliards de dollars chaque année aux entreprises du monde entier.
Selon le dernier rapport du Federal Bureau of Investigation (FBI), les pertes dues à la compromission des e-mails professionnels (BEC) et à la compromission de l'authentification des e-mails (EAC) ont atteint 12,5 milliards de dollars dans le monde entier. Ce rapport le plus récent du FBI fait état d'une hausse importante des pertes financières par rapport à mai 2017, alors que les pertes associées à la compromission des courriels d'affaires (BEC) avaient coûté 5,3 milliards de dollars aux organisations à l'échelle mondiale entre octobre 2013 et décembre 2016. En mai 2018, le rapport du FBI sur la criminalité sur Internet indiquait que plus de 675 millions de dollars ont été perdus en 2017. Proofpoint vient de publier un nouveau blog post sur ce sujet, et Ryan Kalember, SVP, Stratégie de cybersécurité, Proofpoint déclare : "La semaine dernière, le FBI annonçait une perte de 12,5 milliards de dollars à l'échelle mondiale suite aux attaques de compromission d’emails professionnels (BEC) et la compromission de comptes d’email (EAC), mettant ainsi en lumière l'impact financier réel de ces types d’attaques sur les organisations. Ces nouveaux chiffres viennent s'ajouter aux récentes conclusions de recherche Proofpoint selon lesquelles les attaques de fraude par emails ont touché plus de 90 % des organisations au cours des trois premiers mois de cette année et le nombre total a augmenté de 103 % d'une année sur l'autre. Bien que ces chiffres soient considérables, il convient de noter que de nombreuses cyberattaques de cette nature sont soit sous-déclarées, soit non déclarées chaque année. L’email est devenu un vecteur d'attaque de premier plan pour les attaquants BEC/EAC parce qu'il s'agit d'un moyen beaucoup plus efficace et plus facile pour eux de naviguer que de pirater l'infrastructure d'une organisation ciblée. Quelle que soit l'architecture de sécurité d'une organisation, les hackers sont capables d'utiliser deux des outils d'information les plus puissants de notre époque - LinkedIn et Google - pour effectuer des reconnaissances sur des individus potentiels à cibler. L'exploitation du canal de communication par email par le biais de messages hautement personnalisés leur permet d'usurper facilement l'identité d'un employé ou d'un partenaire de confiance. Bien sûr, dans les attaques EAC, les cybercriminels peuvent usurper l'identité de leurs victimes de manière encore plus convaincante, car ils peuvent se connecter avec des identifiants phishing ou volés et envoyer des e-mails à partir d'un compte authentique et fiable. Lors de nos dernières recherches, nous avons publié des informations détaillant que les acteurs malveillants compromettent de plus en plus les systèmes de messagerie d'entreprise en utilisant des attaques par force brute pour voler les identifiants de connexion Microsoft Office 365 des utilisateurs d'entreprise et ensuite se connecter sur le système. Grâce à cette méthode, les attaquants peuvent accéder à des comptes même si l'entreprise a déployé une authentification unique ou multifactorielle (MFA) dans le cadre de son système de sécurité. La réutilisation des identifiants, les attaques virulentes et le vol de documents confidentiels sont des tactiques de cybercriminalité favorites de l'EAC. Notamment, parce que les attaques BEC et EAC sont également peu nombreuses et ne nécessitent pas de logiciels malveillants coûteux ou de techniques avancées, la barrière cybercriminelle à l'entrée est faible, mais le coût pour les organisations peut être extrêmement élevé. En plus des implications financières, les attaques BEC ont également coûté aux cadres leurs emplois et aux entreprises leur réputation." Plus d'info sur le Blog. |