Depuis quelques années, les entreprises font l’objet d’un nombre croissant d’attaques aux coûts toujours plus élevés. En effet, les escrocs connaissent de mieux en mieux leurs cibles et exploitent leurs moindres failles, profitant d’un manque de moyens et de vigilance, nous apprend une table ronde organisée en avril dernier par la société Deveryware, spécialiste des questions de sécurité. 

C’est une nouvelle dont on se passerait bien : jamais la fraude ne s’est aussi bien portée. En 2021, un quart des entreprises en ont ainsi fait les frais, avec un manque à gagner de plusieurs centaines de millions d’euros. Les entités frauduleuses seraient quant à elles « en progression de 300 % en un an », assure, lors d’une table ronde organisée le 13 avril dernier, Alain Vernadat, directeur général de Deveryware, société spécialiste de la sécurité. Des chiffres officiels « largement sous-estimés », indique éric Vernier, directeur de l’ISCID-CO (école de commerce international) et spécialiste du blanchiment. La fraude serait en réalité bien plus importante, « car il y a tout un pan qu’on ne connaît pas et parce qu’on ne la détecte pas forcément ».

En cause, un accélérateur idéal : la transformation digitale, qui génère « de nouvelles failles à exploiter dans toutes les innovations », souligne la rédactrice en chef de Sécurité & Défense magazine, Mélanie Beynard-Crozat. La fraude et la cybercriminalité explosent donc, boostées par la crise du Covid et le développement du travail à distance, notamment du fait de l’utilisation de réseaux non sécurisés.

Une ingénierie sociale de plus en plus rodée 

Ce qui inquiète éric Vernier, c’est la persistance des attaques. « Auparavant, quand les criminels opéraient massivement par ransomware¹, ils voyaient si cela marchait, et si ce n’était pas le cas, ils lâchaient l’affaire. Aujourd’hui, les escrocs vont jusqu’au bout. Ils peuvent envoyer un virus ou un cheval de Troie sur un système informatique et attendre six mois, un an. » Il y a là un véritable « danger mortel » pour l’économie, alerte-t-il.

En outre, en pénétrant dans le système informatique d’une entreprise, les pirates peuvent savoir tout ce qui s’y passe, et identifier les périodes les plus propices aux attaques. Une tactique consiste notamment à lancer l'offensive lorsque le chef comptable a pris sa retraite, au moment où son remplaçant « a pris ses marques mais n’a pas encore une totale connaissance de la structure, ni reçu de formation sur la lutte contre la fraude ».

Xavier Houillon, directeur fraude et criminalité financière chez Deverywhere, explique que les escrocs vont identifier tous les secteurs d’activité dans lesquels l’entreprise est susceptible d’avoir des failles – qu’elles soient réglementaires, technologiques, ou qu’elles portent sur les dispositifs de contrôle, sur les marchés nouveaux, etc. « Les criminels se livrent à un véritable audit de votre organisation », relève-t-il. « Aujourd’hui, on arrive à un perfectionnement assez pointu dans l'ingénierie sociale, c’est-à-dire la connaissance de l’entreprise attaquée », complète éric Vernier, qui rappelle que l’on est très loin de l’époque d’Al Capone, mais plutôt à l'ère des experts recrutés sur le darknet. « L’univers de la fraude semble sans limites, quant à la résilience des fraudeurs, elle est à toute épreuve », s’inquiète Mélanie Beynard-Crozat.

L’arnaque au président a la cote

Exemple « symptomatique » de l’ingénierie sociale à l'œuvre, illustre éric Vernier : l’arnaque au président, entre autres types de stratagèmes. Via ce procédé bien huilé, le fraudeur se fait passer pour le donneur d’ordre d’une entreprise (président, directeur…) afin d’exiger d’un collaborateur un virement international en urgence. Si dès les années 2000, les sociétés ont été appelées à se prémunir via des workflows et des doubles signatures, ce type de fraude est revenu en force il y a cinq ans, et la France, dont le tissu de PME est considérable, fait figure de cible idéale.

Même les entreprises les plus avisées ne sont pas à l’abri face à l’ingéniosité de certains pirates et aux technologies redoutables dont ils s’arment, à l’instar de l’intelligence artificielle. éric Vernier évoque à ce titre une affaire dont il a eu à connaître. Il s'agit du directeur financier d’une PME qui reçoit un appel : au téléphone, visiblement paniquée, une dame d’un certain âge qui n’est autre que la femme du fondateur et la mère du président actuel, « vénérée par toute l’entreprise ». Alors qu’elle se trouve en vacances aux Maldives depuis un mois, on vient de lui voler son sac, et l’hôtel dans lequel elle réside lui demande de régler sa note de 100 000 euros, sans quoi elle sera amenée au poste de police, assure-t-elle. Le directeur financier, affolé, appelle l’hôtel : le receptionniste confirme toute l’histoire et demande le paiement de la somme due. L’homme réalise donc le virement en catastrophe sur le compte indiqué. Il s’avérera par la suite qu’il s’agissait d’une arnaque, puisque ses interlocuteurs n’étaient en réalité ni la mère du PDG ni le personnel de l’hôtel, mais des escrocs très bien informés, au scénario redoutable. « Ici, la mère du président était la seule faille pour attaquer une entreprise parfaitement préparée contre les risques », note éric Vernier.

Certains pièges arrivent heureusement à être déjoués in extremis. Le spécialiste revient ainsi sur une tentative d’arnaque au président à l’encontre d’une société spécialisée dans la promotion immobilière internationale. Un jour, la PDG reçoit un appel de son frère, également à la tête de l'entreprise qui lui demande un virement rapide de 200 000 dollars pour finaliser un contrat. Ils en discutent plusieurs fois au téléphone, mais au bout de quelques jours, la dirigeante a des soupçons : pourquoi ne pas avoir parlé plus tôt de cette grosse affaire ? Elle a donc le réflexe d’appeler son frère sur son téléphone fixe. « Ahuri, il lui répond qu’il n’est au courant de rien. Là encore, des pirates avaient imité sa voix avec tous les tics verbaux possibles. Imaginez tout ce que ces escrocs ont dû connaître et mettre en place [pour tenter de duper l'entreprise !] » 

Quand la vigilance baisse, attention à l’impact !

Malgré leur vulnérabilité et en dépit des risques, les entreprises rechignent à se prémunir, remarque éric Vernier, souvent par manque de moyens. Parfois, elles investissent dans des dispositifs de protection et sont sensibilisées à la problématique, mais c’est la routine qui vient les trahir. « On fait attention au début, puis au bout d’un moment, la vigilance s’abaisse. On oublie par exemple qu’il faut former les nouveaux arrivants », pointe le spécialiste. Ce dernier mentionne également les biais de surconfiance qui peuvent intervenir. « Les salariés se disent que des procédures sont en place, qu’ils sont tranquilles », et là encore, la prudence décroît. 

Problème : quand l'arnaque se produit, elle fait mal, très mal. Fait marquant, l’impact financier s’avère de plus en plus élevé, puisque selon le dernier baromètre Euler Hermès de 2021, 14 % des entreprises interrogées déclarent un préjudice supérieur à 100 000?euros, en augmentation de 4?points par rapport à l’année précédente, et 1/5^e déclarent avoir subi des dommages supérieurs à près d’1 million de dollars. « Les escrocs tapent beaucoup plus fort », observe Mélanie Beynard-Crozat. Parallèlement, le coût de la fraude est bien souvent sous-estimé, signale Xavier Houillon. « Financièrement, il ne faut pas oublier que si une entreprise est victime de 5 millions d’euros de fraude sur un faux virement prestataire, par exemple, le vrai prestataire lui aussi va réclamer les 5 millions. Cela signifie 10 millions de trésorerie qui sortent : or, toutes les entreprises n’ont pas la solidité financière pour pouvoir absorber ce double règlement, ni d’assurance qui va payer sous 24h. » 

Par ailleurs, tout aussi dommageables sont les répercussions portant sur l’image de l’entreprise. Le directeur fraude et criminalité financière fait remarquer que traditionnellement, les entreprises associaient la fraude « à un risque économique », car ce phénomène a « longtemps été appréhendé comme un business model ». Les dirigeants chiffraient en amont la perte liée à la fraude et la réintégraient dans le système de prix global des ventes qu’ils souhaitaient réaliser. « Or, on s’aperçoit que la fraude a des incidences plus importantes : avec la digitalisation, les entreprises courent de nombreux risques sur le plan réputationnel. Aujourd’hui, la concurrence est indexée sur la bonne presse d’une entreprise », affirme Xavier Houillon. Lorsque les entreprises sont cotées sur les marchés, il y a ainsi une incidence directe de la cotation sur la valorisation. De façon encore plus palpable, la fraude peut avoir un impact sur l’attractivité, et décourager des talents à postuler ; freiner les recrutements ou accélérer les départs. « L’entreprise va donc avoir des difficultés à préserver ses ressources internes si elle est exposée fortement à la fraude, car cela crée une ambiance anxiogène, synthétise Xavier Houillon. D’autant qu’avec la crise sanitaire, le climat n’est pas toujours facile, beaucoup de contraintes sont venues altérer la vie de tout un chacun. » 

Une meilleure sensibilisation

Alors, quelles solutions pour protéger son entreprise ou pour éviter une récidive ?

En amont, Eric Vernier plaide pour la sensibilisation de tous dans l’entreprise, et la formation des services les plus sensibles à la question, le tout « avec des piqûres de rappel ». Les grandes campagnes de communication, le spécialiste y croit peu. Selon lui, si les formations juridiques sont importantes, « il faut d’abord expliquer aux gens pourquoi il est nécessaire de lutter contre la fraude, et utiliser des images fortes. Mettre en avant les risques pour l’entreprise ; faire comprendre que s’il n’y a pas de blanchiment, il n’y aura pratiquement plus de crime organisé. » Sans quoi, les gens « n’intégreront pas », assure-t-il. Le sujet de la lutte contre la fraude doit toutefois passer en premier lieu par la gouvernance, juge Xavier Houillon. « Dans un système pyramidal d’entreprise de gouvernance, il est difficile d’attendre de la base qu’elle soit acteur majeur si la gouvernance ne porte pas le discours et n’a pas organisé son entité pour pouvoir intégrer cette menace et y faire face. » 

Par ailleurs, lorsque l’entreprise est malgré tout victime d’une fraude, pas question de rester attentiste. Xavier Houillon utilise l’ « analogie de la fuite d’eau ». « Quand il y a une fuite d’eau dans une maison, généralement on se demande si l’on a assez de moyens pour l’éponger : est-ce que mon seau est assez gros, est-ce que j’ai assez de serpillières ? Mais surtout, on doit se poser la question de savoir par où est passée l’eau, comment elle s’est infiltrée, comment elle a ruisselé pour pouvoir arriver là. » S’attaquer à l’origine de l’infiltration, voilà donc la stratégie à adopter pour comprendre ses failles et éviter de faire l’objet du même type d’attaque à l’avenir.   

En parallèle, le directeur fraude et criminalité financière estime également qu’il faudrait que le législateur encadre davantage le sujet pour éviter que la croissance de la fraude ne se poursuive. Mais de l’avis d’Eric Vernier, « tout existe déjà » : des dispositions suffisantes, des services spécialisés… À son sens, « Il n’y a pas besoin de créer quoi que ce soit. Ce n’est pas une question de loi, mais de volonté sur le terrain. » Pour les dirigeants en quête d’accompagnement, Deveryware vient de publier un livre blanc consacré à ce « fléau aux mille visages », et propose une série de solutions pour anticiper et se protéger contre ce phénomène « qui touche tout le monde ».

1) Logiciel malveillant qui bloque l'accès à l'ordinateur ou à certains fichiers.

Bérengère Margaritelli