Préambule :
Ce document propose une synthèse de notre nouveau service d’accompagnement à la gestion de campagnes de simulation d’e-mails frauduleux en collaboration avec Gottaphish, visant à renforcer la sécurité des organisations qui feront appel à nous.
Il présente dans un premier temps un panorama de la situation des cyberattaques et compromissions de données pour l’année 2023 à partir des sources :
– Cert-FR
– Cybermalveillance.gouv.fr
– CNIL
Le but est de faire prendre conscience que le risque existe, qu’il n’est pas sans conséquence et que même si vous ne faites pas appel à nos services, en cas de sinistre n’oubliez jamais que vous êtes une victime avant tout.
Amicalement,
Hervé Desremaux de CH17-Cyber
(Filiale de CH17 qui comprend aussi CH17RGPD)
Nota : retrouvez-nous aussi en tant qu’intervenant sur le site cybermalveillance.gouv.fr.
Tables des matières
Panorama des risques pour 2023
Mais quel est le risque suite à une cyberattaque ?
L’outil c’est combien réellement ?
Panorama des risques pour 2023
Dans le rapport du CERT-FR pour 2023, les TPE/PME/ETI
représentent au niveau national 34 % des attaques identifiées.
Source : Cert-fr rapport 2023, https://www.cert.ssi.gouv.fr/cti/CERTFR-2024-CTI-001/, Page 11
Dans le détail, l’année précédente uniquement pour les entreprises, un volume en constante augmentation.
Source :
Cybermalveillance rapport 2023 :
Pour les collectivités et administrations, le constat est identique, il suffit de parcourir l’actualité pour constater que les cyberattaques sont monnaie courante .
Source :
Cybermalveillance rapport 2023 :
Voici les chiffres détaillés pour les collectivités.
Source :
Cybermalveillance rapport 2023 :
Ces attaques ont bien pour but principal, d’atteindre les données personnelles stockées par la cible (PME/ETI/TPE/Collectivité) et à minima :
- Exercer un chantage (ransomware),
- Revendre les données sur le DarkWeb.
Dans son rapport de l’année 2023 la CNIL constate elle aussi une augmentation des compromissions de données qui est significative.
Attention ce chiffre ne représente que la partie officiellement déclarée, il est possible que certaines compromissions de données ne soient pas portées à la connaissance de la CNIL.
Nota :
Même si une déclaration de compromission de données n’est pas réalisée (ignorance de la compromission, absence de détection,…), les lanceurs d’alertes remonteront les informations au moins vers les sociétés concernées et publierons probablement les informations pour le public dès qu’ils en ont connaissance en parcourant le darkweb.
Source :
CNIL rapport 2023, https://www.cnil.fr/fr/la-cnil-publie-son-rapport-annuel-2023, page 54
Mais quel est le risque suite à une cyberattaque ?
Le risque reste assez difficile à quantifier, mais les grands acteurs vont tous dans le même sens, il est réel et non négligeable.
Voici l’extrait d’un article en date du 19 juin 2024 qui dit
Source :
https://www.lemagit.fr/conseil/Combien-de-PME-mettent-la-cle-sous-la-porte-apres-une-cyberattaque
Quelles sont les tendances ?
Source pour l’intégralité du paragraphe :
Cybermalveillance rapport 2023 : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/rapport-activite-2023#chiffres-cles-plateforme
L’hameçonnage (phishing en anglais) reste la principale menace pour toutes les catégories de publics en 2023, avec près de 1,5 million de consultations des contenus sur les principales formes d’hameçonnage.
Ce sont ainsi plus 50 000 particuliers et professionnels qui ont recherché une assistance sur cette menace qui se diversifie et se sophistique.
Déjà identifiées en 2022, les escroqueries au faux conseiller bancaire sont le phénomène de 2023 (+78% vs 2022) avec 80 000 consultations de l’article en ligne.
Autre menace majeure, le piratage de compte prend la deuxième place toutes catégories de publics confondus, avec des conséquences pouvant mener à l’usurpation d’identité avec un préjudice financier.
En outre, avec 2 782 demandes d’assistance, les attaques par rançongiciel ont atteint un niveau record depuis 4 ans, tous publics confondus (+12%).
L’arnaque au faux support technique, quant à elle, repose sur un mode opératoire toujours plus agressif et suscite 140 000 consultations de l’article sur le sujet.
Enfin, les programmes malveillants (virus) font un retour en force et se positionnent à la 4e place des causes principales de demandes d’assistance chez les particuliers.
Entreprises
Le piratage de compte prend en 2023 la première place des recherches d’assistance des entreprises et associations avec une hausse de +26%.
L’hameçonnage (21%) et les attaques par rançongiciels suivent (17%) toujours en augmentation en volume.
Globalement, le classement des principales menaces reste assez similaire à 2022.
Les attaques en hausse les plus significatives concernent les faux ordres de virement (+62,7%), ainsi que les sites Internet professionnels avec les défigurations de sites (+61%) et les dénis de service (+41%).
Collectivités
Côté collectivités, le trio de tête reste inchangé même si en volume, les proportions augmentent, notamment pour les rançongiciels (+36%).
Un constat plus significatif encore pour les défigurations de sites Internet (+73%) et les virus (+54%)
Les ravages des escroqueries au faux conseiller bancaire
Ces escroqueries d’ingénierie sociale sont généralement consécutives d’un hameçonnage réussi qui
permet aux escrocs de récupérer les informations nécessaires pour crédibiliser leur arnaque (identité,adresse, numéro de carte bancaire, voire mot de passe du compte en ligne…).
Dans d’autres cas rapportés, l’hypothèse d’un virus voleur d’informations (infostealer) sur un des appareils de la victime ne peut être exclue.
Les montants de préjudice pour les victimes peuvent être considérables, car en abusant de leur confiance pour leur faire valider des opérations frauduleuses, les escrocs peuvent aller jusqu’à vider l’intégralité de leurs comptes bancaires.
Faux support technique
Des modes opératoires toujours plus agressifs
Les professionnels, et surtout ceux qui ne disposent pas de support informatique, ne sont pas épargnés par cette menace.
Les modes de déclenchement d’une alerte anxiogène indiquant une infection virale et demandant d’appeler en urgence un prétendu support technique « gratuit » restent globalement similaires.
Ils reposent principalement sur un hameçonnage par courrier électronique (fausses notifications ou lettres d’informations par exemple) contenant des liens malveillants ou par des pages frauduleuses sponsorisés sur les moteurs de recherche.
Le piratage de compte en ligne
Menace majeure qui demeure en forte expansion
Le piratage de compte en ligne concerne tous types de comptes et principalement les messageries, réseaux sociaux, banques, opérateurs téléphoniques, mais également des sites d’administrations (Ameli, impôts, CAF, CPF…).
Là aussi, ces piratages sont généralement consécutifs d’un hameçonnage auquel aura répondu la victime, à la réutilisation d’un même mot de passe sur plusieurs accès dont l’un aura été compromis, ou à l’infection d’un de ses appareils par un virus voleur d’information (Infostealer).
Qu’est-ce que nous vous apportons ?
Création et Gestion de campagnes de phishing avancées selon vos besoins.
Pilotage des campagnes.
Analyse des tableaux de bord dédiés à votre entreprise.
Analyse des résultats en fonction des règles de l’art.
Création de séances de sensibilisation sur mesure en relation avec les résultats des campagnes pour tout public si besoin.
Nous gérons l’ensemble pour vous, selon vos besoins et votre rythme.
Pour quel but ?
Identifier les risques réels pour le périmètre des échanges eXTERNES,
Réduire le risque,
Sensibiliser si nécessaire,
Vous fournir une vue de votre état de protection pour le périmètre des emails,
Corriger lES vulnérabilitéS dans la mesure du possible.
Cas d’usages possibles
Formez vos employés à recevoir et examiner les risques éventuels.
Connaître les conséquences d’une attaque sur votre entreprise.
Simulez une cyberattaque, testez votre équipe, et évaluer leur réponse aux incidents.
Exportez et affichez les KPI gratuitement, graphiquement et facilement.
Combien ça me coûte ?
Notre tarification ne change pas, nous travaillons au choix sur des demi-journées ou journées selon vos besoins dans le respect du RGPD, contactez-nous, nous sommes parmi les moins chers du marché c’est notre ADN ne l’oubliez pas.
Nous sommes en mesure d’intervenir en présentiel/visio sur la Nouvelle Aquitaine ou à distance au-delà.
L’outil c’est combien réellement ?
Il existe deux mode de tarification.
Tarification au réel :
- Location de la plateforme pour un an
- Facturation au nombre d’email
- Intégration « msgoogle (détection automatique des services SAAS) »
Tarification à la boîte mail :
- Coût par boîte mail
- Prévisibilité
- Simplicité
- Location de la plateforme incluse dans ce mode de fonctionnement
Nous préconisons une facturation à la boîte mail qui est beaucoup plus adaptée aux besoins de la société si vous disposez d’un nombre maîtrisé d’adresse email, facturée mensuellement ou annuellement selon vos besoins réel auprès de Gottaphish, la location de la plateforme est incluse dans ce mode de fonctionnement.
Par exemple :
Vous avez besoin de 120 boîte e-mail, le coût en tarification par boîte mail serait de 1.5€ *120 soit 180€/mois.
Ceci représente un prix de départ qui est dégressif en fonction du volume d’e-mail.
(*contactez-nous pour plus de renseignements)
Vos besoins augmentent, pas de soucis la solution supporte la scalabilité.
Avantage :
Planification aisée de votre budget.
Simplicité
Tarification claire
Pourquoi utilisons-nous Gottaphish ?
Pour
Vous laisser vous concentrer sur l’essentiel,
Conserver la flexibilité d’exécution des campagnes sophistiquées,
Un tableau de bord intuitif,
Gérer efficacement vos exigences,
Créer des visualisations personnalisées,
Générer les rapports nécessaires,
Une formation gratuite permettant aux employés de se familiariser avec les menaces de phishing,
Suivre l’évolution des résultats de vos collaborateurs.
Comment nous contacter ?
C’est très simple :
– Notre formulaire de contact
– Par e-mail : contact@ch17-rgpd.fr
– Via LinkedIn recherchez : ch17-rgpd
Lexique :
Arnaque au faux support technique :
L’arnaque au faux support technique consiste à vous effrayer en vous indiquant un problème technique grave afin de vous pousser à payer un pseudo-dépannage
Défigurations de sites :
Modification non sollicitée de la présentation d’un site Internet, à la suite d’un piratage du site.
Dénis de service :
Une attaque par déni de service (DoS) est une tentative malveillante consistant à submerger une propriété web de trafic afin de perturber ses opérations.
Escroqueries au faux conseiller bancaire :
Manipulation de clients par des escrocs se faisant passer pour des conseillers bancaires pour soustraite des informations sensibles ou détourner des fonds.
Faux ordres de virement :
Pousser un salarié ou un agent public à effectuer un virement bancaire sur un compte frauduleux, en usurpant l’identité du véritable créancier.
Hameçonnage , phishing :
Technique de fraude sur Internet visant à obtenir des renseignements confidentiels (mot de passe, informations bancaires…) afin d’usurper l’identité de la victime.
Infostealer :
Logiciel espion utilisé pour récupérer des informations sur votre appareil, à votre insu.
Ingénierie sociale :
Technique de manipulation qui exploite l’erreur humaine dans le but d’obtenir des informations confidentielles, un accès …
Programmes malveillants, malware, virus :
Un logiciel malveillant (ou malware) désigne un logiciel destiné à nuire à l’utilisateur.
Rançongiciel :
Programme malveillant qui chiffre les données personnelles de quelqu’un dans le but de lui extorquer de l’argent.
Spear phishing:
Technique d’attaque ciblée par e-mail qui vise spécifiquement des individus ou des organisations en adaptant le contenu du message à chaque profil.