Les réseaux sociaux des employés sont vulnérables pour les entreprises. Comment les hackers les utilisent-ils pour pirater les entreprises ? Et comment peut-on s’en prémunir ?
La nouvelle astuce des pirates pour percer l’armure informatique des entreprises consiste à se faire passer pour de hauts dirigeants, afin d’orchestrer un détournement de fonds. Emmanuel Napolitano, consultant informatique et président associé de Sécurité Abakus, donne un exemple simple : « Un pirate prend l’identité d’un PDG pour écrire un courriel au comptable en lui ordonnant de virer des fonds en urgence dans un compte bancaire qui appartient au hacker. »
Le rôle des médias sociaux, dans tout cela ? « Les pirates vont y glaner des informations pour avoir le titre exact du PDG, et certaines informations personnelles qui ajouteront de la crédibilité au courriel. On parle d’une attaque ciblée, ici. »
Ces attaques tombent en effet dans la catégorie d’ingénierie sociale. Dans son plus récent rapport de cybersécurité, Cisco révélait que ces « compromissions par courriel d’affaires » représentaient en ce moment « la méthode la plus lucrative et la plus profitable pour extraire de grosses sommes d’argent ». Aux États-Unis, le Internet Crime Complaint Center (IC3) a évalué ces fraudes à 1,7 milliard par année entre 2013 et 2016, comparativement à un milliard pour les rançons informatiques.
Que faire ?
Sensibiliser ses collaborateurs aux menaces qui circulent sur internet est la première mesure à prendre pour contrer le phénomène, croit Emmanuel Napolitano. « Quand on reçoit des courriels, quand on navigue sur le web, on doit prendre conscience qu’on peut être exposé à de faux messages, à de fausses publicités. »
Doit-on demander aux employés de mettre moins d’information sur internet ? « On ne peut contrôler ce que les employés font dans leur vie privée, ce serait illégal, répond le consultant. Toutefois, en sensibilisant ses employés, il y a de bonnes chances qu’ils transposent leur vigilance dans leur usage personnel des médias sociaux. »
Ensuite, une entreprise doit se doter d’un protocole pour les transactions bancaires : « Pour reprendre l’exemple du comptable, dit Emmanuel Napolitano, il doit y avoir une manière de confirmer que la demande de fonds est bien légitime avant de l’autoriser. » Cela s’ajoute aux bonnes pratiques à observer en matière de cybersécurité : l’implantation d’un bon gestionnaire de courriel antipourriel, une gestion proactive des brèches informatiques et l’utilisation d’une application SIEM (Security Information and Event Management) permettant de faire le suivi des connexions sur le système de l’entreprise.
Comment sécuriser les médias sociaux d’une entreprise
Il n’y a pas que les comptes personnels des employés qui mettent à risque les entreprises. Un pirate qui s’empare du compte Facebook, Twitter ou LinkedIn d’une entreprise peut facilement miner sa crédibilité en publiant des messages diffamatoires, ou en soulevant des doutes sur sa marque de commerce.
Voici six conseils d’Emmanuel Napolitano pour sécuriser les médias sociaux d’une entreprise :
- Choisir un mot de passe différent pour chaque plateforme.
- Choisir une adresse courriel ou un identifiant différent pour chaque plateforme.
- Utiliser un gestionnaire de mots de passe pour bénéficier de mots de passe renforcés et de la saisie automatique ; cela permet de contrer les logiciels malveillants de type key logger, qui enregistrent les touches saisies au clavier.
- Activer la double authentification lorsqu’elle est disponible ; la firme Deloitte aurait omis de le faire récemment, sur un compte administrateur d’entreprise, et elle en a payé le prix avec une brèche informatique.
- Ne pas lier les différents comptes de réseaux sociaux d’une entreprise entre eux (ex : se connecter sur Instagram à partir de Facebook)
- Faire surveiller ces comptes par un SIEM pour être informé en temps réel des incidents et pouvoir réagir rapidement.
À lire aussi:
Votre entreprise est-elle attirante pour de futurs candidats?
Le recrutement : miroir et marketing de l’entreprise
Comment faire face aux absences répétées d’un collaborateur ?
_______
– Suivre Workopolis sur Twitter
– Afficher une offre d’emploi sur Workopolis maintenant