Nouveau rapport : La compromission de messagerie professionnelle représente 1 attaque sur 10

Alors que les attaquants continuent de s’adapter et de faire évoluer leurs tactiques pour augmenter leurs chances de réussite, les menaces de social engineering basées sur les e-mails se multiplient.

La dernière analyse des données de détection des e-mails menée par les chercheurs de Barracuda révèle que, si le paysage reste dominé par les attaques massives d’hameçonnage et d’escroquerie générale, on assiste à une augmentation constante de menaces plus ciblées et potentiellement plus dommageables telles que la compromission de messagerie professionnelle et le détournement de conversation.

Les chercheurs ont analysé 69 millions d’attaques par e-mail portant sur 4,5 millions de boîtes de messagerie sur une période d’un an. Les résultats sont résumés dans le nouveau rapport sur les menaces et les tendances par e-mail, vol. 1, qui montre que les attaquants tirent parti des capacités de l’IA générative pour étendre et adapter leurs attaques, et utilisent des codes QR, des liens de raccourcissement Web et des service de messagerie Web pour dissimuler leur véritable nature et leurs intentions.

Le rapport montre entre autres que :

• Les attaques par compromission de messagerie professionnelle (Business Email Compromise, BEC) ont représenté 10,6 % (soit plus d’une attaque sur 10) des attaques d’ingénierie sociale en 2023, et les chiffres indiquent une augmentation constante au fil du temps. Les attaques BEC ont représenté 8 % des attaques en 2022 et 9 % en 2021. 
  
• Le détournement de conversations a représenté 0,5 % des attaques d’ingénierie sociale de l’année écoulée, soit une hausse de près de 70 % par rapport à 2022, où il représentait à 0,3 % des attaques. Les attaques par détournement de conversations demandent beaucoup d’efforts, mais les gains peuvent être importants.
  
• L’hameçonnage a représenté un tiers (35,5 %) des attaques de social engineering l’année dernière. Ces attaques massives, généralement non ciblées, tentent d’inciter les victimes à cliquer sur un lien d’hameçonnage. Les e-mails d’hameçonnage sont utilisés par les pirates depuis des années, et ils continuent de connaître un succès inquiétant. Le Rapport sur les violations de données de 2024 a révélé qu’il fallait en moyenne moins de 60 secondes à quelqu’un pour tomber dans le piège d’une escroquerie par hameçonnage.
  
• Environ 1 boîte de réception sur 20 a été ciblée par des attaques par code QR au cours du dernier trimestre 2023. Les attaques par code QR sont difficiles à détecter à l’aide des méthodes traditionnelles de filtrage des e-mails. Elles éloignent également les victimes des machines de l’entreprise et les obligent à utiliser un appareil personnel, tel qu’un téléphone ou un iPad, qui n’est pas protégé par le logiciel de sécurité de l’entreprise.
• Gmail est le service de messagerie Web gratuit le plus populaire utilisé pour le social engineering. En 2023, Gmail représentait 22 % des domaines utilisés pour les attaques de social engineering, selon les données de Barracuda. Un peu plus de la moitié des attaques Gmail détectées ont été utilisées pour des attaques BEC.
• Le service bit.ly a été utilisé dans près de 40 % des attaques de social engineering qui comprennent une URL raccourcie. Les réducteurs d’URL réduisent la longueur du lien de sorte qu’il soit masqué par des lettres ou des chiffres aléatoires. Cette tactique permet de dissimuler la nature et la destination réelles du lien.

Les gens sont des cibles vulnérables pour le social engineering. L’année dernière, un peu plus des deux tiers (68 %) des violations de données impliquaient un élément humain « non malveillant », en d’autres termes, un employé ordinaire qui essayait simplement de faire son travail et qui est tombé dans le panneau.

Les attaques de social engineering par compromission de messagerie professionnelle et détournement de conversations, l’extorsion, le hameçonnage, les scams et les spams sont des attaques qui doivent être prises au sérieux et bloquées dès le départ ou rapidement contenues, neutralisées et éliminées si elles réussissent.

Il ne s’agit pas seulement de mettre en place les bons outils, politiques et programmes de sécurité, bien que cela reste essentiel. Les professionnels de l’informatique et de la sécurité doivent comprendre l’évolution de l’écosystème des menaces véhiculées par e-mail et ce que cela signifie pour l’entreprise et ses employés en termes de risques, de résilience et de réponse aux incidents.