BUSINESS Cap décideurs

Les menaces de la cyberfraude

Publié le mardi 3 juin 2014 . 5 min. 52

https://player.vimeo.com/video/123462303 Georges-Abou-Harb-Les-menaces-de-la-cyberfraude-2534.jpg

Georges Abou Harb

- Vice-Président chez CGI

Georges Abou Harb

- Vice-Président chez CGI

Voir plus tard

Commenter

Imprimer

Xerfi Canal a reçu Georges Abou Harb, vice-président chez CGI Business Consulting.

Depuis 2010, le nombre de cyberattaques a plus que doublé. C'est l'une des conséquences de la transformation digitale qui a déplacé et démultiplié les formes de fraude dans le cyberespace. Mais il n'est pas toujours facile pour les entreprises d'appréhender ces dangers impalpables. Alors comment s'en protéger ? Pour en parler, Xerfi Canal a reçu Georges Abou Harb, vice-président chez CGI Business Consulting.

D'abord, d'où viennent les menaces et quelles sont les types de cyberfraudes auxquelles les entreprises font face ?

Les menaces viennent de partout ou presque ! Elles peuvent être le fait des Hackers ou d'activistes aux motivations diverses, ou encore de concurrents qui veulent récupérer des données sensibles ou nuire à la réputation d'une entreprise. Il ne faut pas non plus négliger le risque que représente un salarié en conflit avec sa hiérarchie et qui voudrait se venger ! Par ailleurs, avec l'essor des nouvelles organisations dans les entreprises, les outils et autres appareils personnels sont de plus en plus utilisés dans le cadre professionnel - je pense notamment au phénomène du Bring Your Own Device (BYOD). Tout cela contribue aujourd'hui à brouiller les frontières entre vie privée et vie professionnelle et l'on ne maîtrise pas forcément encore les effets de bord de ces nouvelles pratiques.

Ce qui ressort, c'est qu'il s'agit là d'attaques asymétriques, comme le terrorisme. Il y a opposition entre des groupuscules et des entreprises comme des multinationales…

Oui, mais il faut aussi aller plus loin dans l'analyse en soulignant le rôle des Etats qui ont intégré le cyberespace comme la 5ème dimension de leur stratégie de Défense (après Terre, Mer, Air & Espace) ou certaines structures mafieuses qui se spécialisent dans la fraude organisée. Elles ont mis au point des techniques très sophistiquées de vol de données bancaires ou de données personnelles à des fins d'usurpation d'identité. On parle de professionnalisation de la cyberfraude avec un risque de sanctions pour les auteurs qui est beaucoup plus faible que d'attaquer physiquement une banque, sans parler de l'extraterritorialité de cette menace qui pose des problèmes concernant la poursuite d'enquêtes par les forces de police.

Professionnalisation, c'est-à-dire ? Auriez-vous des exemples concrets pour bien comprendre ?

Eh bien prenons la plus grande fraude à la carte bancaire jamais réalisée. Elle a visé en 2013 la Bank of Muscat du sultanat d'Oman. Les fraudeurs ont d'abord acquis en toute légalité des cartes bancaires prépayées. Ils en ont fait des copies qu'ils ont envoyées à des complices dans une vingtaine de pays, avant de pénétrer le système de la banque pour faire annuler les limites de retrait. En quelques heures, 40 000 retraits ont été effectués pour près de 45 millions de dollars de préjudice !

En quoi cet exemple est-il significatif des difficultés auxquelles les entreprises font face pour se protéger ?

Déjà, l'attaque a eu lieu dans un laps de temps très court. Autre enseignement : la fraude est venue de l'étranger, ce qui pose des problèmes d'identification de l'origine de l'attaque mais aussi de droit. Le cyberespace est un espace sans frontières ! Alors quel droit s'applique ? Comment faire coopérer les autorités ? Que faire si l'attaque vient d'un pays réputé « laxiste » en la matière ? Les réponses juridiques ne sont pas évidentes… Enfin, je voudrais souligner que comme souvent ces attaques sont automatisées. Les fraudeurs ont aujourd'hui recours à des ordinateurs-zombies, ce que l'on appelle des botnets, qui peuvent être programmés pour lancer des centaines de millions d'attaques quasi-simultanées.

Alors comment les entreprises peuvent-elles se défendre ? Quelles sont les bonnes pratiques ? Je pense notamment aux plus petites entreprises qui n'ont pas forcément beaucoup de moyens et pour lesquelles faire appel à des conseils de spécialistes coûte cher.

Ce qui est important, c'est de développer des capacités d'anticipation et de réaction. Par anticipation d'abord, je veux dire qu'il faut détecter les signaux de fraude. Par exemple si l'on constate une hausse brutale des transactions réalisées à partir d'un pays « exotique ». D'ailleurs, le Big data ouvre des perspectives intéressantes, puisque, plus l'entreprise collecte de données, plus ses machines « apprennent » à reconnaître les anomalies. C'est ce qu'on appelle le datamining à base d'échantillonnages statistiques. Et puis deuxième point : les entreprises doivent développer des plans de réaction qui peuvent être déployés immédiatement en cas de fraude. Cette capacité de réaction est d'autant plus importante que même si l'entreprise se protège, elle sera presque à coup sûr victime tôt ou tard de tentatives de cyberattaque.

La transformation digitale a amplifié l'exposition des entreprises aux risques de fraudes, si bien que, aujourd'hui, ces risques concernent toutes les entreprises. Mais la transformation digitale permet aussi le développement de nouvelles armes de cybersécurité pour s'en prémunir. Reste maintenant aux entreprises à s'en saisir.

Georges Abou Harb, Les menaces de la cyberfraude, une vidéo Xerfi Canal

Mots clés : Conseil
Management
Sécurité de l'information
CGI
Services informatiques

Téléchargez l'application

Les dernières vidéos
Cap décideurs

BUSINESS Paix économique : comment répondre à nos besoins ? Fiona Ottaviani 07/07/2021

Fiona-Ottaviani-Paix-economique-comment-repondre-a-nos-besoins--306348038.jpg