Arnaque au président

Arnaque au président

Connaissez-vous le moyen de se faire beaucoup d’argent en arnaquant les gens ? Il y bien sur les pyramides de Ponzi, mais finalement le mieux n’est-il pas de recevoir directement de l’argent d’une entreprise via un virement ? Oui et vous savez comment cela s’appelle ? Une arnaque au président.

Depuis   2010, plusieurs centaines d’arnaques ont été recensées pour un préjudice global de 485 millions d’euros. L’Office central de répression de la grande délinquance financière ( OCRGDF ), appelle les sociétés à la vigilance .

Le Bureau fédéral des enquêtes (FBI) n’est pas en reste et a prévenu cette semaine une augmentation «dramatique» de la «défaite du chef de la direction», des escroqueries par courrier électronique dans lesquelles l’attaquant falsifie un message du patron et trompe quelqu’un dans l’organisation en fonds de câblage aux fraudeurs. Le FBI estime que ces escroqueries ont coûté aux organisations plus de 2,3 milliards de dollars de pertes au cours des trois dernières années.

Dans une alerte affichée sur son site, le FBI a déclaré que, depuis janvier 2015, l’agence a vu une augmentation de 270 pour cent des victimes identifiées et des pertes exposées par les escroqueries du chef de la direction. L’alerte a noté que l’application de la loi à l’échelle mondiale a reçu des plaintes de victimes dans tous les États-Unis et dans au moins 79 pays.

La « Fraude au président » c’est le fait de convaincre un salarié de l’entreprise (le service comptabilité est en première ligne)de faire un virement urgent à quelqu’un pour une affaire urgente, un ordre d’en haut. Bien entendu l#escroc va jouer sur l’urgence, la pénalité que l’entreprise devra payé et surtout mettre la pression sur le salarié qui devra assumer la responsabilité, la peur du chômage et l’obéissance à la hiérarchie aidant grandement. Toute l’astuce étant de faire en sorte que le salarié ne puisse pas demander confirmation du dirigeant pour détourner les fonds. La fraude se fait le plus souvent par téléphone et/ou e-mail. Pour cela tout le savoir-faire des escrocs va reposer sur une très bonne connaissance de l’entreprise, il peut même y avoir travaillé ou avoir un complice.

Pour paraitre plus officiel, les bandits utiliseront des papiers d’avocat (avec des numéros français bien entendu) voir la technique de l’engagement. Cette technique consiste à faire signer une clause de confidentialité au salarié, non seulement il aura tendance à faire ce qu’on lui dit, mais en plus cela évitera qu’il révèle la fraude.

La fraude au PDG débute habituellement avec le phishing d’un cadre exécutif afin accéder à sa boîte mail, soit en envoyant un e-mail à des employés d’un nom de domaine semblable à une ou deux lettres du vrai nom de domaine de l’entreprise cible. Par exemple, si le domaine de la société cible était « example.com », les voleurs pourraient enregistrer « examp1e.com » (en remplaçant la lettre « L » par le chiffre 1) ou « example.co » et envoyer des messages de ce domaine.

Contrairement aux arnaques de phishing traditionnelles, les courriels falsifiés utilisés dans les programmes de fraude aux PDG suppriment rarement les pièges à spam, car ceux-ci sont des escroqueries ciblées qui ne sont pas envoyées en masse. En outre, les escrocs   prennent le temps de comprendre les relations, les activités, les intérêts et les plans de voyage et/ou d’achat de l’organisation cible.

Ils le font en grattant les adresses électroniques des employés et d’autres informations sur le site Web de la cible afin de rendre les courriels plus convaincants. Dans le cas où les cadres ou les employés ont leurs boîtes de réception compromises par les voleurs, les escrocs exploreront la correspondance électronique de la victime pour trouver certaines notes qui pourraient révéler si l’entreprise traite régulièrement les transferts bancaires – la recherche de messages avec des mots clés comme «facture», Dépôt « et » directeur ».

À première vue, les fraudes au courrier électronique d’entreprise peuvent sembler peu sophistiquées par rapport aux programmes qui impliquent des logiciels malveillants complexes, tels que Dyre et ZeuS. Mais à bien des égards, la fraude des PDG est plus polyvalente et évidente pour contourner les stratégies de sécurité de base utilisées par les banques et leurs clients afin de minimiser les risques liés aux prises de contrôle des comptes. Le maillon faible dans la chine est alors l’humain, et les con, vous en trouverez toujours. Dans les escroqueries traditionnelles, les attaquants interagissent directement avec la banque de la victime, mais dans l’escroquerie du PDG, les escrocs trompent la victime qui va faire le virement pour eux.

Le FBI estime que les organisations victimes d’attaques à la fraude au président ou FOVI (Faux Ordres de Virement ) perdent en moyenne entre 25 000 $ et 75 000 $. Mais certains incidents de fraude de PDG au cours de 2016 ont coûté aux sociétés victimes des millions, voire des dizaines de millions, de dollars.

Associated Press a écrit que le fabricant de jouets Mattel a perdu 3 millions de dollars en 2015 grâce à une escroquerie de type fraude au FOVI. En 2015, la firme de technologie Ubiquiti a révélé dans un rapport financier trimestriel qu’il a subi un énorme coup de 46,7 millions de dollars en raison d’une escroquerie de fraude au président. En février 2015, les escrocs de courrier électronique ont démarré avec 17,2 millions de dollars auprès de The Scoular Co., un commerçant de commodité appartenant à des employés.

Une variante de la fraude au président existe, la demande de Changement de RIB , plus simple, moins lourde mais tout aussi efficace. Le but est de faire en sorte d’obtenir un virement d’un salarié du service de comptabilité ou trésorerie de l’entreprise en se faisant passer pour un fournisseur. Le but étant d’encaisser l’argent vers un autre compte bancaire appartenant aux escrocs. L’arnaque est simple dans le sens où les factures sont légitimes.

Se protéger

Pour se protéger des escrocs, il y a plusieurs solutions.

• Rappeler à l’ensemble des collaborateurs qu’il ne faut pas divulguer d’informations concernant le fonctionnement de l’entreprise.
• Sensibiliser régulièrement l’ensemble des employés des services comptables, trésoreries, secrétariats, standards, de ce type d’escroquerie.
• Former les remplaçants sur les postes comptabilité, trésorerie, secrétariat.
• Créer des procédures de vérifications et de signatures multiples pour les paiements internationaux.
• Saisir soi-même l’adresse habituelle du donneur d’ordre et ne pas utiliser le bouton répondre.
• Maintenir à jour le système de sécurité informatique.
• Accentuer la vigilance sur les périodes de congés scolaires, les jours fériés et les jours de paiement des loyers.
• Vous pouvez faire appel à des services spécialisés pour protéger vos mails des FOVI
• Le FBI demande aux entreprises d’adopter une authentification en deux étapes ou deux facteurs pour le courrier électronique, le cas échéant, et d’établir d’autres canaux de communication – comme les appels téléphoniques – pour vérifier les transactions importantes.
• Les entreprises sont également invitées à faire preuve de retenue lors de la publication d’informations sur les activités des employés sur leurs sites Web ou via les médias sociaux, car les attaquants qui perpètrent ces arnaques tentent souvent de découvrir des informations sur le moment où les dirigeants de l’organisation ciblée voyagent.

Les signes d’une attaque

• Une demande de virement à l’international, urgente et non planifié qui sera souvent urgente
• Se méfier de tout changement de coordonnées téléphoniques ou mails. Attention, la communication d’un nouveau numéro à l’indicatif français n’est pas une garantie.
• Se méfier d’un contact direct d’un escroc se faisant passer pour un membre de la société ou un responsable

Que faire en cas d’attaque ?

• Il faut demander immédiatement à la banque le retour des fonds et déposer une plainte auprès des services de police et de gendarmerie

Les attaques aux FOVI réussissent parce qu’elles s’appuient presque entièrement sur les employés en train d’ignorer ou de contourner certaines précautions de sécurité très élémentaires. Éduquer les employés afin qu’ils soient moins susceptibles de tomber dans ces escroqueries ne bloquera pas toutes les attaques d’ingénierie sociale, mais cela devrait aider. Rappelez-vous, les attaquants évaluent constamment la prise de conscience de la sécurité des utilisateurs. Les organisations pourraient également faire de même, en utilisant des tests périodiques pour identifier les utilisateurs problématiques et pour placer des contrôles de sécurité supplémentaires sur ces personnes.