Hameçonnage et la couche humaine
Presque tous les incidents sur lesquels on nous appelle ont commencé par une connexion, pas par une faille. Ce n’est pas un problème de formation, c’est un problème de conception : le système a permis qu’une seule erreur suffise.
La sensibilisation réduit les clics mais jamais à zéro : une conception qui repose sur le fait que personne ne cliquera va échouer. Partez du principe que le clic aura lieu et faites en sorte qu’on y survive.
Trois contrôles arrêtent la plupart des attaques sur les identifiants : une authentification multifacteur résistante à l’hameçonnage, un accès conditionnel qui bloque les connexions venant d’endroits inattendus, et une procédure de paiement où aucun changement de facture n’est accepté par courriel seul.
La première heure compte plus que la formation. Désactivez le compte, révoquez les sessions actives, vérifiez ce que le compte a touché, et dites ce qui s’est passé sans blâmer la personne qui a cliqué.
Pourquoi la sensibilisation seule n’y suffit pas
La sensibilisation fonctionne, au sens où elle fait baisser le taux de clics. Elle ne le ramène pas à zéro et ne le fera jamais, parce que les messages sont bons et que les gens sont pressés. Une personne de la comptabilité qui reçoit quarante courriels de fournisseurs par jour finira par ouvrir celui qui a été conçu pour ressembler aux trente-neuf autres.
L’erreur est d’en faire la dernière ligne de défense. Si un seul clic suffit à perdre un compte, le problème n’est pas le clic. La formation a sa place dans le plan, mais comme moyen de raccourcir le délai avant qu’une personne signale, pas comme le contrôle qui empêche.
Les trois contrôles qui l’arrêtent vraiment
| Contrôle | Ce qu’il arrête | Effort |
|---|---|---|
| Multifacteur résistant à l’hameçonnage | Un mot de passe volé seul ne sert à rien | Faible, essentiellement de la configuration |
| Accès conditionnel | Les connexions depuis des pays et des appareils qui n’ont aucun sens | Faible, demande une décision de politique |
| Procédure de changement de paiement | La fraude à la facture et aux coordonnées bancaires, là où part l’argent | Aucun sur le plan technique, c’est un processus |
Notez que le troisième n’est pas du tout une mesure informatique. C’est celui qui évite la catégorie de perte la plus coûteuse, et il ne demande rien d’autre qu’une règle.
Tous les multifacteurs ne se valent pas
Les notifications push qui demandent d’approuver une connexion sont pratiques et de moins en moins efficaces. Les attaquants envoient la demande en boucle jusqu’à ce que quelqu’un appuie sur approuver pour que cela cesse, généralement à un moment mal choisi. C’est ce qu’on appelle la fatigue MFA, et cela marche assez souvent pour être une technique standard.
La correspondance de nombres, où vous devez saisir un code affiché sur l’écran depuis lequel vous vous connectez, en supprime l’essentiel. Les clés matérielles la suppriment quasi totalement. Pour une organisation de taille intermédiaire, la correspondance de nombres partout plus des clés matérielles pour la comptabilité et les administrateurs est une réponse proportionnée.
L’attaque la plus coûteuse n’est pas technique
La fraude à la facture et le changement de coordonnées bancaires causent plus de pertes financières directes que le chiffrement. Un attaquant qui lit une boîte aux lettres pendant deux semaines apprend qui sont vos fournisseurs, votre ton et votre cycle de paiement, puis envoie un message plausible au sujet d’un numéro de compte modifié exactement au bon moment.
La défense est une règle sans exception : un changement de coordonnées bancaires se vérifie en appelant un numéro que vous déteniez déjà, jamais celui du courriel. Mettez-la par écrit, appliquez-la aussi à la direction, et rendez socialement acceptable le fait d’insister. La plupart des organisations ont la règle et l’écartent discrètement quand la demande vient de quelqu’un de haut placé, ce qui est précisément le cas pour lequel elle a été écrite.
Quoi faire dans la première heure
- Désactivez le compte et révoquez les sessions. Changer le mot de passe ne suffit pas ; une session active y survit.
- Vérifiez ce qui a changé. Règles de transfert de courrier, appareils ajoutés, informations de récupération modifiées. Les attaquants mettent cela en place en quelques minutes.
- Vérifiez ce qui était atteignable. Quels fichiers et quelles boîtes le compte pouvait ouvrir, pas seulement ceux qu’il a ouverts.
- Prévenez les gens. D’autres ont reçu le même message. Le silence garantit un deuxième clic.
- Ne blâmez pas la personne qui a signalé. Le signalement suivant prendra un jour de plus, et ce jour fait toute la différence.
La place de tout cela dans une procédure d’incident est décrite sous cybersécurité, et les obligations de notification au titre de NIS2 sous ce que vous devez pouvoir prouver.
Les simulations sont utiles si on s’en sert bien
Une simulation d’hameçonnage qui produit un pourcentage de clics et un courriel de réprimande n’apporte pas grand-chose. Celle qui mesure en combien de temps la première personne signale apporte énormément, parce que le délai de signalement est le chiffre qui détermine l’ampleur des dégâts.
Faites-en régulièrement, gardez-les réalistes plutôt qu’absurdement faciles, et publiez le délai de signalement plutôt que le taux de clics. Cela change ce que les gens cherchent à optimiser.
Ce qu’on nous demande à ce sujet
Ce que les organisations demandent après une frayeur.
La sensibilisation sert-elle vraiment à quelque chose ?
Elle fait baisser le taux de clics mais jamais jusqu’à zéro. Sa vraie valeur est de raccourcir le délai avant qu’une personne signale un message suspect, et ce délai détermine l’ampleur des dégâts d’un incident. Voyez-la comme un moyen d’accélérer la détection, pas d’empêcher les clics.
L’authentification multifacteur suffit-elle à elle seule ?
C’est le contrôle le plus efficace, mais le multifacteur par approbation push peut être contourné en envoyant des demandes répétées jusqu’à ce que quelqu’un en approuve une. La correspondance de nombres supprime l’essentiel de ce risque et les clés matérielles le suppriment quasi totalement.
Que faire en premier si quelqu’un a cliqué ?
Désactiver le compte et révoquer les sessions actives, car changer seulement le mot de passe laisse une session ouverte fonctionner. Ensuite vérifier les règles de transfert et les appareils ajoutés, établir ce que le compte pouvait atteindre, et prévenir tous ceux qui ont reçu le même message.
Comment éviter la fraude à la facture ?
Une règle, appliquée sans exception : les changements de coordonnées bancaires se vérifient en appelant un numéro que vous déteniez déjà, jamais celui du courriel. Cela ne coûte rien et évite la catégorie de perte la plus coûteuse que nous voyons.
Où cela s’inscrit dans notre travail
Où cela se raccorde.
Envie qu’on regarde votre organisation ?
Une demi-heure au téléphone suffit généralement à savoir si nous sommes le bon interlocuteur, et nous le dirons si ce n’est pas le cas.