Lorsque la pandémie de COVID-19 a accéléré la transition vers un mode de travail plus flexible et à distance, les entreprises ont dû changer leur manière de procéder. Les applications de communication en interne, les e-mails et les portails en ligne ont submergé le monde du B2B. À l'ère de l'e-commerce, de nombreux secteurs ont dû migrer vers un modèle cloud.

D'après un rapport d'IBM, en 2021, le coût des violations de données est passé de 3,86 millions de dollars à 4,24 millions de dollars, un record à ce jour. Cette transformation numérique a engendré de nouvelles menaces et de nouveaux risques pour la sécurité.

Dans cet article, nous aborderons les méthodes les plus couramment utilisées par les pirates, les conséquences des violations de données et comment les empêcher.

Pratiques de messagerie dans le B2B

Pour les vendeurs B2B qui ont un site d'e-commerce, les e-mails restent l'un des canaux les plus utilisés comme moyen de paiement. En effet, 77 % des vendeurs B2B déclarent se servir des e-mails à cette fin. De plus, les sociétés B2B utilisent les e-mails comme stratégie principale de marketing afin de communiquer avec leurs clients de manière personnalisée et interactive.

L'e-mail est la tactique de génération de prospects la plus efficace et qui présente le meilleur retour sur investissement pour les entreprises B2B. Mais les e-mails sont aussi le canal le plus vulnérable pour les entreprises en matière de sécurité des données.

Et pour cause : nous envoyons tous des e-mails quotidiennement, que ce soit dans notre vie personnelle ou professionnelle. Les cybercriminels en profitent pour envoyer des volumes considérables de spam sous diverses formes afin de dérober des données et de détecter des faiblesses.

En effet, 45 % de tous les e-mails envoyés aujourd'hui sont des spams.

Ainsi, ce ne sont pas moins de 14,5 milliards d'e-mails de spam qui sont envoyés chaque jour. Bien que la plupart de ces menaces soient automatiquement filtrées, les hackers emploient désormais des méthodes plus sophistiquées qui peuvent avoir des conséquences désastreuses.

Les vastes répercussions d'une faille de données

D'après l'Internet Crime Complaint Center (centre du FBI dédié aux réclamations sur les cybercrimes, aussi nommé IC3), l'un des délits les plus dévastateurs pour l'aspect financier est le piratage d'adresses e-mail professionnelles. Entre 2014 et 2019, ce type d'arnaque a coûté plus de 2,1 milliards de dollars aux entreprises américaines. Il ciblait les organisations qui utilisent des services populaires de messagerie cloud.

Selon le rapport d'IBM, bien que le piratage des adresses e-mail professionnelles ne représente que 4 % des failles, il génère le coût moyen le plus élevé (5,01 millions de dollars). Le phishing arrive en seconde position des attaques les plus coûteuses (4,65 millions de dollars), devant les acteurs malveillants en interne (4,61 millions de dollars).

Les fraudeurs ciblent particulièrement les entreprises américaines, en témoignent les rapports qui indiquent que les États-Unis enregistrent, pour la 11e année consécutive, le coût moyen le plus élevé pour une violation de données.

Les violations de données peuvent avoir des répercussions très vastes, de l'image de marque au manque à gagner sur le chiffre d'affaires. Le coût du cybercrime est vaste pour une entreprise : interruption des services, baisse de productivité, enquêtes judiciaires, fonds volés, perte de clients et réputation entachée, destruction de données et dégâts et enfin, coûts de récupération des données piratées.

Mais le plus préoccupant, c'est que bien que la plupart des entreprises reconnaissent qu'une violation de données peut endommager leur réputation, seules 48 % d'entre elles disposent des bons outils pour réagir si elles venaient à être attaquées.

Différents types de menaces par e-mail

Les cyberattaques ont explosé depuis quelques années, tant par leur volume que leur gravité.  Parmi les menaces e-mail les plus populaires, on note le spoofing, le spear phishing, les malwares, jusqu'aux plus complexes comme l'usurpation de la marque ou du nom de domaine et le phishing latéral.

Malwares envoyés par l'intermédiaire d'e-mails de spam

Les malwares font partie des menaces les plus graves et les plus courantes envoyées par e-mail. Les cybercriminels s'en servent pour cibler les employés au sein des entreprises en leur envoyant des e-mails pour transmettre des documents, des fichiers et des URL qui poussent les utilisateurs à télécharger des fichiers contenant le malware.

Lors de ce piratage silencieux, le logiciel malveillant peut s'immiscer dans les réseaux de l'entreprise et accéder aux factures confidentielles, aux demandes de paiements et aux données personnelles. L'intrusion n'a pas forcément lieu immédiatement, aussi, la plupart du temps, les utilisateurs ne savent pas qu'ils ont installé un malware comme un virus, un cheval de Troie, un logiciel espion ou un ver.

Souvent, les intrusions sont détectées une fois que les données sensibles ont été divulguées, et la plus grande partie du système informatique est alors déjà compromise.

E-mails de spear phishing

Le spear phishing est similaire au spam, mais ces attaques par hameçonnage sont très personnalisées. Ces e-mails visent à faire croire aux victimes qu'ils proviennent d'un expéditeur ou d'une entreprise de confiance et les incitent à révéler des informations confidentielles.

Les pirates peuvent ainsi avoir accès aux comptes de l'entreprise, transférer de l'argent et mettre la main sur des données qui peuvent leur permettre de se connecter à de vrais comptes d'employés. D'après une enquête de Barracuda, 43 % des entreprises ont signalé avoir été ciblées au moyen d'une attaque par spear phishing au cours des 12 derniers mois.

Usurpation d'identité et piratage d'adresse e-mail professionnelle

L'ingénierie sociale consiste pour les cybercriminels à étudier leurs victimes et leurs profils sur les réseaux sociaux pour personnaliser davantage leurs attaques.

Ces arnaques sont un genre de spear phishing ultra-sophistiqué, dans lequel les pirates passent beaucoup de temps en amont à étudier la victime en question. Les pirates se font passer pour une personne, un service ou une entreprise connue et envoient des e-mails qui contiennent des informations confidentielles pour rendre les choses plus réalistes et l'arnaque plus difficile à détecter.

L'usurpation d'identité est une catégorie d'arnaque plus vaste qui peut englober différentes formes de phishing, comme l'usurpation de marque ou de nom de domaine ou encore le piratage d'adresse e-mail professionnelle. Ce dernier type est également connu sous le nom de fraude au PDG : les pirates se font souvent passer pour des personnes importantes ou haut placées au sein de l'entreprise et font pression ou mettent en scène une situation d'urgence pour demander aux victimes des transferts d'argent.

Exfiltration de données, extortion et ransomware

L'exfiltration de données est un type de faille de sécurité lors de laquelle les pirates mettent la main sur les données d'une victime ou d'une entreprise, qui sont ensuite copiées, récupérées ou transférées à partir d'un ordinateur ou d'un serveur. Les pirates menacent ensuite les victimes de les divulguer et leur extorquent des fonds. Dans d'autres cas, les pirates demandent aux victimes de payer une rançon si elles veulent récupérer leurs données.

Comment protéger votre entreprise

Pour protéger une entreprise des attaques malveillantes, il est essentiel de protéger le serveur et le client de messagerie. Côté client, il est capital de sensibiliser les utilisateurs et de les informer sur toutes les menaces qu'ils pourraient rencontrer. Les employés doivent pouvoir reconnaître les spams et les attaques par hameçonnage.

Cependant, comme ces attaques sont de plus en plus sophistiquées, il est déconseillé de compter uniquement sur la sécurité côté client. Il suffit à un seul employé de télécharger la mauvaise pièce jointe sur le réseau de l'entreprise pour qu'une catastrophe arrive.

C'est pourquoi sécuriser le côté serveur est tout aussi important. De cette manière, les spams sont filtrés dès le départ et vous évitez les attaques DDoS. Les pirates ont appris à contourner les systèmes de défense traditionnels, d'où le besoin de se protéger davantage.

Les solutions de passerelle de messagerie, associées à un système de défense dans la boîte de réception basé sur une API, peuvent détecter les e-mails malveillants et empêcher les attaques. Grâce à l'intelligence artificielle, cette solution réussit à identifier les schémas de communication et à détecter toute anomalie.

Les e-mails restent l'un des canaux de marketing les plus efficaces, c'est pourquoi les entreprises qui mettent la priorité sur la protection des données ont besoin de cette double couche de protection.

Solution de protection des e-mails la plus complète qui soit, Barracuda Email Protection vous simplifie la vie. Commencez un essai gratuit ou programmez une démo sur www.barracuda.com.