Proofpoint dévoile les résultats de son rapport annuel sur le facteur humain (Human Factor Report), qui explique comment les cybercriminels œuvrent pour exploiter les failles humaines et non les failles logicielles afin d'extorquer de l'argent ou des données.

Ce rapport s'appuie sur une analyse des tentatives d'attaques perpétrées contre des milliers d’entreprises dans le monde. 

Il met en lumière les dernières tendances en matière de cyberattaques afin d’aider les entreprises à se protéger.

Proofpoint révèle ainsi que 99% des menaces nécessitent une action humaine pour s’exécuter (activer un macro, ouvrir une pièce-jointe, cliquer sur un lien, etc.), soulignant l’importance de l’ingénierie sociale dans l’efficacité des attaques.

Parmi les autres conclusions du rapport :

• Les cybercriminels ne ciblent pas nécessairement les VIPs au sein des organisations. 

Les personnes les plus ciblées - Very Attacked People (VAP) se situent à différents niveaux hiérarchiques. 36% des identités de VAP peuvent être trouvées en ligne sur le site web de l’entreprise, les réseaux sociaux, etc. 

Ces employés “visibles” ont plus de chance d’être ciblés par une attaque.

• Les attaquants capitalisent sur l’insécurité humaine. 

L’un des pièges les plus efficaces en 2018 a été “Brainfood”, un botnet menant sur des pages web proposant des pilules amaigrissantes ou des compléments censés booster l'intelligence et qui au final visait à dérober les données de cartes de crédit.  

Le taux de clic associé à ce leurre était de 1,6, soit deux fois mieux que le second leurre cliquable le plus efficace.

• Microsoft reste un leurre incontournable. 

Près d’1 email de phishing sur 4 envoyés en 2018 était associé à un produit Microsoft. En 2019, la menace a évolué vers le stockage cloud, DocuSign et le cloud de Microsoft. 

Les leurres de phishing visaient principalement à voler des identifiants ou créer des boucles de rétroaction pouvant générer de futures attaques.

• Les fraudeurs imitent les routines business pour passer en dehors du radar.  

Les messages frauduleux respectent globalement les pratiques d’entreprises, avec moins de 5% des messages envoyés le week-end, et plus de 30% le lundi.