La fraude aux paiements autorisés (APP fraud) et le vol de données sont des tendances de fraude récurrentes contre lesquelles votre entreprise doit se prémunir et se protéger. Nous souhaitons partager quelques informations et conseils sur la manière de vous protéger contre ces menaces.

Fraude aux Paiements Autorisés (Authorised Push Payment Fraud ou APP Fraud)

Il est largement reconnu que la fraude aux paiements autorisés (APP fraud) est désormais la fraude la plus courante à l’échelle mondiale, et sans surprise, c’est aussi la typologie de fraude la plus fréquente chez Ebury. Voici un rappel des signaux d’alerte à surveiller :

• Un fournisseur existant modifie de manière inattendue ses coordonnées de paiement juste avant l’échéance d’une facture : Surtout si le nouveau compte bancaire est situé dans un pays différent de celui du fournisseur. Surtout si le nouveau compte bancaire est au nom d’une personne différente ou s’il s’agit d’un compte personnel. Surtout si le fournisseur donne une raison étrange pour le changement de coordonnées bancaires, comme « notre compte bancaire habituel est en cours d’audit »
• Un fournisseur existant exprime une urgence excessive pour l’envoi d’un paiement ou vous remarquez des fautes d’orthographe ou un changement de ton dans ses courriels
• Un fournisseur existant commence à vous envoyer des courriels depuis une adresse électronique différente, ou une adresse légèrement différente (par exemple, @supplier.com vs @suppplier.com)
• Un nouveau fournisseur a un tout nouveau site internet, qui peut être mal entretenu ou en construction, ou qui n’a que très peu de présence sur internet lors d’une recherche en ligne
• Un nouveau fournisseur présente des retombées médiatiques négatives lors de recherches en ligne, incluant notamment des avis le qualifiant d’arnaque.

Vol de Données

Les malfaiteurs cherchent constamment de nouveaux moyens de frauder les entreprises, notamment par le vol et la revente de données sensibles.

Seules quelques entreprises peuvent véritablement être considérées comme protégées face à cette menace. Il n’est donc guère étonnant que les estimations les plus récentes chiffrent le coût du vol de données à 190 millions de livres sterling par an.

Le risque de perte de données peut résulter d’une négligence, d’un manque de vigilance ou d’une attaque malveillante, en particulier dans un contexte où de nombreux services informatiques ont dû, dans l’urgence, permettre aux employés de travailler à distance. Les violations de cybersécurité peuvent être extrêmement coûteuses ; en plus du coût, elles peuvent entraîner un grave impact sur la réputation et une perte de confiance des clients, ainsi que, bien sûr, la perte de propriété intellectuelle (IP), de données personnelles et de fraude.

Comment les organisations peuvent-elles se protéger contre cette menace ?

• Les politiques d’accès aux données doivent être intégrées aux processus d’intégration (onboarding), de sensibilisation à la sécurité et de départ (offboarding). Des limites d’accès aux données doivent également être fixées afin que le personnel n’accède qu’aux données nécessaires à son rôle.
• Il est recommandé de mettre en place des programmes de formation visant à accroître la sensibilisation aux méthodes de recrutement interne, notamment les approches effectuées par l’intermédiaire de LinkedIn ou d’autres plateformes de réseaux sociaux.
• Des processus de vérification (vetting) doivent être utilisés pour contrer les risques posés par le « placement organisé » de candidats malveillants
• Des canaux de signalement anonymes doivent être établis pour que le personnel puisse signaler les incidents de comportement suspect.
• Les processus de d’offboarding doivent inclure la restitution de l’équipement, la désactivation des accès et l’analyse de l’activité précédente en cas de préoccupations.
• Le principe de confidentialité dès la conception (Privacy by Design) doit être mis en œuvre afin que les évaluations d’impact sur la protection des données (EIPD) et les évaluations d’impact sur la vie privée (EIVP) deviennent des activités de routine.
• L’apprentissage automatique (machine learning) et les analyses peuvent être mis en œuvre et configurés pour repérer les activités suspectes, telles que les transferts de données, l’accès à des fichiers en dehors des heures de bureau ou les tentatives de renommer des fichiers avec quelque chose d’anodin.

Il existe un certain nombre de ressources gratuites disponibles pour aider les entreprises à contrer certains des problèmes mis en évidence ci-dessus. Celles-ci comprennent le National Cyber Security Centre (NCSC) qui offre des conseils sur les questions liées à la cybernétique pour les particuliers et les entreprises, ainsi que le Centre for the Protection of National Infrastructure (CPNI) qui contient des informations utiles sur la sécurité physique. Même des actions simples, comme l’application de mots de passe robustes par les employés et l’authentification multifacteur, peuvent faire une réelle différence pour la posture de sécurité d’une entreprise.

Si vous remarquez une activité suspecte sur votre compte ou si vous avez été victime de fraude, veuillez envoyer un courriel à [email protected].