• État de la situation en quelque chiffres

Selon cybermalveillance.gouv, en 2023, les attaques en hausse les plus significatives concernent les faux ordres de virement (+ 62,7 % par rapport à 2022).

Ces chiffres sont révélateurs d’attaques massives menées par de multiples acteurs qui exploitent toutes les formes d’échanges numériques à des fins frauduleuses. Ces criminels opèrent de façon invisible profitant de la concentration de données sur l’ensemble des réseaux. Bien que portant sur des montants plus ou moins importants, la récurrence de ces actions multiplie les coûts pour les entreprises.

Et c’est assez souvent qu’alertées par une transaction frauduleuse, les entreprises découvrent leur vulnérabilité et doivent en supporter les conséquences.

• Qu’est-ce que la cyberfraude ?

Les actes de fraude sont caractérisés par tous actes accomplis par tromperie dans le but d’obtenir un avantage.

La spécificité de la cyberfraude est que la fraude est accomplie en utilisant les outils numériques, de sorte que les cyberattaques sont devenues le moyen d’effectuer des opérations financières criminelles.

Elles reposent sur différentes techniques dont l’objectif principal est de cibler l’entreprise, exploitant tantôt ses vulnérabilités informatiques ou celles de ses utilisateurs, dans un contexte favorisé par l’essor des nouveaux moyens de communication (digitalisation des flux financiers, des échanges administratifs, des services).

« Les cyberfraudes qui se déclinent sous plusieurs formes, sont initiées systématiquement par une introduction malveillante, non autorisée dans le système informatique de l’entreprise.

L’usurpation d’identité, une véritable épreuve

Selon la CNIL, « l'usurpation d'identité consiste à utiliser, sans votre accord, des informations permettant de vous identifier [...]. » Ces informations seront utilisées, à l’insu de leur titulaire, pour la commission d’actes frauduleux en tout genre.

Les données récupérées à la suite de la divulgation d’informations induites par des manœuvres mal intentionnées sont utilisées soit directement contre la personne dont l’identité a été usurpée, en se faisant passer pour elle (par exemple obtention de prêt) ; ou alors contre des tiers en les trompant et en se faisant passer pour le titulaire des données volées. Le détournement d’identité s’exerce de multiples façons ; les plus pratiquées sont les suivantes :

> le phishing ou « hameçonnage »

La technique du phishing combine informatique et ingénierie sociale. Elle cible un important nombre de victimes et présente de multiples formes : mails, SMS, liens, appels téléphoniques… La technique est identique quel que soit le support informatique : en produisant des liens informatiques particulièrement bien imités, dont les utilisations faites par la victime sont finement ciblées et en conduisant l’utilisateur trompé à fournir des informations essentielles ou à effectuer un règlement.

Par exemple un lien renvoyant sur un site internet contrefait avec formulaire en ligne demandant la mise à jour de données, la communication de ces informations permettant, dans un 2^e temps, de réaliser des actes frauduleux.

> L’usurpation d’adresse IP

Utilisée pour infiltrer un réseau informatique sans être détecté, elle consiste, pour le pirate, à usurper l’adresse IP de l’expéditeur afin que les utilisateurs aient l’impression que l’expéditeur est bien celui qu’ils croient et ainsi s’introduire dans des systèmes tiers.

> La fraude au virement

Elle se décline généralement sous deux formes, la fraude au faux fournisseur ou l’arnaque au RIB.

Le but du fraudeur est d’amener une personne à opérer un virement à son bénéfice en usurpant l’identité d’un fournisseur, d’un client de l’entreprise, d’une administration, de prestataires de service en se basant sur la production de fausses factures ou de factures dérobées, en prétextant un changement d’adresse ou de coordonnées bancaires…, ou encore en substituant son RIB à son profit en se faisant passer pour un partenaire de l’entreprise.

• Conséquences

Les fraudes, qui représentent la majorité des infractions cyber enregistrées en 2023, en France, engendrent des coûts financiers significatifs pour les entreprises.

Ce type d’incidents peut requérir des investigations pour identifier l’origine des fuites de données.  Des données peuvent avoir été compromises, engageant la responsabilité du dirigeant notamment, dans le cadre de la règlementation RGPD.

Outre l’impact financier direct (vol de fonds) et les frais consécutifs à la gestion de l’incident selon la nature de l’attaque (remise en état des réseaux, reconstitution de fichiers …), la réputation de l’entreprise, à l’occasion d’usurpation d’identité, se trouve exposée pouvant engendrer un préjudice commercial.

• L’assurance des risques cyber

Si l’utilisation des outils numériques ne changent pas la qualification d’une fraude ou d’une escroquerie, les cyberattaques sont la porte d’entrée des détournements d’actifs, des extorsions ; il est donc essentiel pour les entreprises d’identifier les cyber menaces et de s’en protéger.

La sécurisation des données, des accès et des applications, la sensibilisation des utilisateurs constituent le meilleur rempart pour limiter les intrusions et les fraudes en résultant et la solution d’assurance vient compléter ces dispositifs pour assumer les risques résiduels.

Les garanties des contrats d’assurance cyber participent à cette protection en proposant une assistance 7j/7 et 24h/24. En cas d’attaque, l’assuré bénéficie d’une assistance afin d’identifier l’origine de l’intrusion et limiter les conséquences d’une fuite de données. Les garanties prévoient également un accompagnement pour répondre de ses obligations réglementaires.

Ces frais sont pris en charge par le contrat cyber risques ainsi que ceux qui seraient nécessaires pour la remise en état du système informatique endommagé par le piratage (reconstitution de données par exemple).