Threat Spotlight : l'influence de la taille de l'entreprise sur les menaces par e-mail qui ciblent votre activité

Il faut moins d'une minute pour que quelqu'un tombe dans le piège d'une escroquerie par hameçonnage. Selon le rapport d'enquête sur les violations de données de 2024, le temps moyen pendant lequel un destinataire clique sur un lien malveillant après avoir ouvert l'e-mail est de 21 secondes, suivi de 28 secondes pour saisir les données demandées.

Les attaques par e-mail ne sont pas seulement rapides, elles sont généralisées et efficaces. C'est parce qu'elles sont relativement peu coûteuses, faciles à mettre en œuvre et qu'elles peuvent être étendues et adaptées au fur et à mesure que de nouveaux outils et fonctionnalités seront disponibles.

Notre nouveau rapport sur les principales menaces et tendances en matière d'e-mail montre une augmentation constante, d'une année sur l'autre, des menaces ciblées sur la messagerie, telles que la compromission de la messagerie professionnelle (BEC) et le détournement de conversation. Dans ce blog, nous explorons comment le type et la prévalence des menaces ciblées par e-mail peuvent varier en fonction de la taille de l'entreprise.

Les données de détection des menaces par e-mail recueillies par Barracuda entre début juin 2023 et fin mai 2024 montrent que les entreprises de différentes tailles présentent des profils de risque différents en ce qui concerne le type d'attaques par e-mail qu'elles reçoivent.

Nous avons concentré notre analyse sur les attaques ciblées par e-mail, notamment le phishing, la compromission des e-mails professionnels et le détournement de conversations.

Le volume des attaques par hameçonnage ciblées par taille d'entreprise

En termes de phishing, les plus grandes organisations, disposant de 2 000 messageries ou plus, ont reçu en moyenne environ 7 500 menaces de phishing sur une période de 12 mois. Toutefois, les messageries individuelles n'ont été touchées en moyenne qu'une seule fois au cours de la même période.

Cela passe à six incidents par messagerie pour les plus petites entreprises, soit un risque nettement plus élevé malgré une moyenne de seulement 180 attaques au total.

Cette disparité pourrait être liée à la diversité des structures organisationnelles et des ressources dans des entreprises de tailles différentes. Par exemple, les petites entreprises ont tendance à avoir des structures organisationnelles plus plates avec un accès plus facile aux noms ou aux coordonnées. Cela pourrait signifier que les pirates peuvent cibler un large éventail d'employés.

En raison de leur petite taille, elles sont également susceptibles d'avoir plus de personnes ayant un accès privilégié aux données et aux systèmes. Il y a moins de degrés de séparation entre les employés, ce qui permet aux pirates de se déplacer latéralement rapidement. Par conséquent, les e-mails d'attaque entrants sont répartis de manière plus uniforme au sein de l'entreprise et peuvent cibler le stagiaire comme le PDG.

Dans une grande organisation, les comptes privilégiés de grande valeur sont généralement concentrés entre les mains de quelques employés ou dirigeants d'entreprise. Ces utilisateurs sont souvent les destinataires de la majeure partie des attaques, alors que de nombreuses autres boîtes de réception ne reçoivent aucune menace entrante, ce qui fait baisser la moyenne.

Profils d'attaque par e-mail ciblés par taille d'entreprise

Les données suggèrent que la prévalence du BEC et du détournement de conversation reste relativement constante, quelle que soit la taille de l'entreprise. 

Cependant, le profil des autres menaces par e-mail ciblées est plus variable. Par exemple, les petites entreprises sont les plus susceptibles d'être touchées par l'hameçonnage et l'extorsion.

Le phishing a représenté 71 % des attaques par e-mail ciblées auxquelles ont été confrontées les entreprises possédant jusqu'à 100 messageries sur 12 mois, contre 41 % pour les grandes organisations. Les petites entreprises sont également victimes d'environ trois fois plus d'attaques par extorsion que leurs homologues plus grandes. Les attaques par extorsion représentaient 7 % des incidents ciblés pour les plus petites entreprises, contre 2 % pour celles possédant 2 000 messageries ou plus.

Cela peut s'expliquer en partie par le fait que les petites organisations comptant moins d'employés sont moins susceptibles de disposer de plusieurs niveaux de sécurité pour détecter et bloquer les menaces par e-mail telles que le phishing, le plus tôt possible. Leurs paramètres de filtrage des e-mails ne sont souvent pas configurés de manière à garantir une sécurité optimale en raison du manque de ressources et d'expertise internes, ce qui pourrait permettre le passage d'un plus grand nombre d'attaques.

Le phishing latéral cible les grandes entreprises

Le phishing latéral, qui peut inclure du spam ou des menaces plus sophistiquées, est une attaque envoyée à des comptes au sein d'une organisation à partir d'un compte interne déjà compromis.

Un peu moins de la moitié (42 %) des attaques ciblées détectées par e-mail dans les plus grandes entreprises impliquaient du phishing latéral, contre seulement 2 % pour les plus petites entreprises. Ce vecteur d'attaque interne constitue un risque majeur pour les grandes entreprises.

La fréquence des compromissions de comptes dans les grandes entreprises reflète peut-être le fait que les identifiants de nombreuses entreprises sont probablement déjà disponibles à l'achat sur le Dark Web, ce qui fait du phishing latéral une attaque simple. Les grandes entreprises sont des cibles attrayantes pour les cybercriminels, car elles offrent potentiellement un meilleur retour sur investissement. Ces organisations détiennent souvent de grandes quantités de données sensibles, confidentielles et financières de grande valeur.

Les grandes entreprises offrent de nombreuses possibilités d'exploitation aux cybercriminels. Avec davantage de messageries et d'employés, les points d'entrée potentiels pour les pirates sont nettement plus nombreux. De plus, ces organisations disposent souvent de multiples canaux de communication, y compris des listes de distribution, qui peuvent diffuser rapidement des messages malveillants au sein de l'entreprise, se dissimulant ainsi dans le volume élevé du trafic interne.

Les employés reçoivent régulièrement un volume élevé d'e-mail par jour, ce qui les rend plus vulnérables aux cyberattaques lorsqu'ils consultent rapidement leur boîte de réception. Ils sont plus enclins à faire confiance aux e-mails qui semblent provenir de l'organisation, même si l'expéditeur ne leur est pas familier. Les cybercriminels peuvent exploiter ces tendances comportementales pour diffuser plus efficacement des messages de phishing latéral.

Les chercheurs de Barracuda ont découvert que les attaques de phishing latérales sont rarement ciblées. Les pirates utilisent l'approche « spray-and-pray » et la plupart des messages ressemblent à du spam. Chaque « campagne » d'attaque de phishing latérale peut souvent impliquer des milliers de messages. Cela signifie qu'il suffit de quelques incidents pour que les résultats aient un impact réel.

Comment se protéger

La formation est essentielle pour protéger votre organisation contre les attaques par e-mail, que vous soyez une petite entreprise comptant seulement quelques employés ou une grande entreprise possédant des centaines de messageries. Suivez une formation de sensibilisation à la sécurité pour informer tout le monde des dernières menaces afin qu'il puisse facilement repérer les e-mails suspects. Les employés doivent également rester attentifs aux activités inhabituelles sur leurs comptes, qui pourraient être le signe d'une compromission, et les signaler immédiatement.

Il est également important d'apprendre aux employés à ne pas faire confiance à un e-mail simplement parce qu'il provient d'un collègue. Incluez des attaques de phishing latérales dans le cadre des campagnes de simulation de phishing pour contribuer à renforcer ce message.

Une solution basée sur l'IA qui permet de détecter et d'éviter les attaques par piratage de comptes est un autre élément de protection essentiel que vous devez mettre en place pour vous protéger efficacement contre les menaces sophistiquées d'aujourd'hui par e-mail. Les outils aident à identifier les attaques de piratage de compte, les comptes compromis et les activités de reconnaissance. Veillez à surveiller les connexions suspectes, les changements de règles ou l'envoi de messages inhabituels ou malveillants.

La surveillance interne des e-mails est également importante. La plupart des passerelles de messagerie ne surveillent pas les e-mails internes. Assurez-vous que votre solution de sécurité des e-mails est capable de surveiller les e-mails internes pour détecter toute intention malveillante.