Compromission des emails professionnels : comment l'IA modifie les attaques BEC et comment les prévenir

Compromission des e-mails professionnels : comment les attaques personnalisées par IA ciblent des personnes spécifiques

Le BEC ne nécessite souvent ni malware, ni exploit, ni pièce jointe suspecte. Dans les attaques d’usurpation d’identité, l’attaquant a besoin d’un domaine similaire ou d’une adresse usurpée et de quelqu’un prêt à agir sur le message. Dans le cas de account takeover, l’attaquant accède à une vraie boîte mail, parfois via un malware voleur d’informations ou des kits de phishing qui capturent les sessions de connexion, et écrit depuis un compte de confiance. L’IA rend les deux moins coûteux à créer et faciles à reproduire sur des centaines de cibles à la fois.

Qu'est-ce que le business email compromise ?

Dans une arnaque BEC, l’attaquant se fait passer pour une personne de confiance de la cible : un cadre, un fournisseur, un collègue. Le but est d’obtenir de l’argent, des identifiants ou des données. Certains attaques utilisent des domaines usurpés ou similaires. D’autres compromettent un compte email, où l’attaquant se connecte à une vraie boîte aux lettres et écrit depuis celle-ci. Cette version est plus difficile à détecter. Le message provient de l’adresse authentique, souvent dans un fil de discussion existant.

Exemples courants d’attaques BEC

Quatre schémas réapparaissent sans cesse.

• Fraude sur les factures fournisseurs : Un attaquant ayant accès à la boîte mail d’un fournisseur répond à un fil de facturation réel avec des coordonnées bancaires mises à jour. Le service comptable voit un expéditeur familier dans une conversation connue, et le paiement est envoyé à l’attaquant.
• Usurpation d'identité d'un cadre : Un message semblant provenir du CEO demande à un employé des finances un virement urgent et décourage les appels de suivi.
• Détournement de la paie : Quelqu’un se faisant passer pour un employé demande aux RH de modifier les coordonnées du dépôt direct.
• Détournement de fil : Avec un compte compromis, l'attaquant lit les conversations en cours et attend le bon moment pour intervenir.

Comment l'IA modifie la fraude BEC

Le BEC traditionnel reposait sur un travail manuel. Les attaquants recherchaient une entreprise, identifiaient qui approuve les paiements et rédigeaient chaque message à la main. Cela limitait le volume et le nombre de cibles qu’un attaquant pouvait viser. L’IA modifie l’économie à chaque étape.

Beaucoup de cadres, pas de pause

Le BEC ciblant les cadres était manuel. Un attaquant choisissait un ou deux cadres et continuait d’essayer jusqu’à ce que la cible réponde ou que l’attaquant abandonne. Chaque tentative prenait du temps, donc les listes de cibles restaient courtes.

Avec l’IA, un attaquant peut constituer une liste de centaines de contacts C-level et finance senior, générer un message distinct pour chacun, et continuer à envoyer sans arrêt. Ignorez-en un et vous obtenez un suivi sous un autre prétexte. L’automatisation suit qui a répondu, qui ne l’a pas fait, et quoi essayer ensuite. Les cadres ont généralement un accès étendu, donc une réussite peut atteindre les approbations de paiement, les documents du conseil et les données sensibles.

Recherche à l’échelle de l’organisation

Les sites web d’entreprise, les communiqués de presse, les offres d’emploi et les profils de réseaux professionnels révèlent les noms, titres, lignes hiérarchiques et relations avec les fournisseurs. Les outils automatisés collectent ces informations pour toute une entreprise en quelques minutes. Si l’attaquant contrôle déjà une boîte mail, la boîte de réception ajoute les vrais noms de projets, numéros de factures et la manière dont les collègues communiquent réellement.

Écriture qui correspond à l’expéditeur

Un modèle linguistique peut lire quelques dizaines d’e-mails d’un compte compromis et reproduire la salutation, la formule de politesse et la longueur des phrases de l’expéditeur. Le résultat est un texte clair et fluide dans la langue que la cible lit. Les fautes d’orthographe et les formulations maladroites étaient autrefois les signes d’alerte standards. Ils disparaissent.

Chronométrage depuis l'intérieur du thread

Un modèle peut résumer un long fil de discussion et repérer le moment important : une facture approuvée, un virement en attente, un renouvellement de contrat. Le message de l’attaquant arrive alors qu’une conversation de paiement est déjà en cours, moment où les nouvelles coordonnées bancaires paraissent habituelles.

Attaques d’identifiants plus rapides

La prise de contrôle de compte est ce qui rend possible le détournement de thread, et l'IA accélère également ce processus. Les noms, animaux de compagnie, dates de naissance et employeurs extraits des profils publics alimentent des générateurs de suppositions qui produisent des mots de passe probables pour une personne spécifique. Les identifiants compromis sont testés sur de nombreux comptes en séquence, et l'automatisation gère les nouvelles tentatives.

Côte à côte :

La compromission d’un compte email commence par les identifiants

Les domaines similaires peuvent être bloqués ou signalés. Un compte réel compromis est plus difficile à détecter car l’expéditeur est légitime. La plupart des prises de contrôle commencent par une information d’identification : un mot de passe réutilisé depuis un site compromis, une phrase secrète construite à partir de données personnelles, ou une connexion partagée enregistrée dans un tableur accessible à des dizaines de personnes.

Les dirigeants sont plus exposés car les attaquants persistent. Un mot de passe faible ou réutilisé peut résister à quelques tentatives. Des milliers, c’est une autre affaire.

Une fois à l’intérieur, les attaquants lisent les mails, recherchent des mots comme « invoice », « wire » et « payment », et définissent des règles qui cachent leur activité. Une règle de transfert, ou une règle qui déplace les réponses dans un dossier obscur, peut garder le véritable propriétaire dans l’ignorance pendant des semaines.

Prévention BEC : Renforcez la couche de mot de passe

Le filtrage des emails et la formation des utilisateurs sont essentiels. Deux contrôles au niveau des identifiants réduisent les risques qu’un mot de passe volé ou réutilisé compromette une boîte mail.

Netwrix Password Policy Enforcer va bien au-delà des règles de complexité natives d’Active Directory. Il vérifie les nouveaux mots de passe contre des listes compromises comme Have I Been Pwned, bloque les mots du dictionnaire et les motifs prévisibles, et applique différentes politiques à différents utilisateurs, groupes et OUs. Les retours en temps réel expliquent pourquoi un mot de passe a été rejeté, permettant aux utilisateurs d’en choisir un plus fort immédiatement. Comme les politiques peuvent être attribuées par groupe, les cadres et les équipes financières peuvent bénéficier d’une politique plus stricte que les autres.

Netwrix Password Secure couvre les identifiants que les politiques centrales/AD ne couvrent pas : connexions aux boîtes aux lettres partagées, portails fournisseurs, comptes privilégiés. Il les stocke dans un coffre-fort chiffré, accorde l'accès par rôle et prend en charge les workflows d'approbation pour les comptes sensibles. Chaque accès est enregistré, et MFA ajoute une vérification supplémentaire au vault lui-même. Les identifiants sortent des feuilles de calcul et des discussions, et vous obtenez un enregistrement de qui a utilisé quoi et quand.

Netwrix Data Classification indique quelles boîtes aux lettres et dépôts contiennent les contenus les plus sensibles, afin que vous sachiez ce qu’un compte compromis pourrait atteindre.

Liste de contrôle pour la prévention de la compromission des emails professionnels

1. Appliquez une password policy qui bloque les mots de passe compromis, dictionnaires et prévisibles, avec une version plus stricte pour les cadres et les équipes financières.
2. Déplacez les connexions partagées et privilégiées hors des feuilles de calcul et dans un coffre avec un accès basé sur les rôles.
3. Exigez une MFA résistante au phishing sur les emails, les systèmes financiers et le vault.
4. Vérifiez toute modification des coordonnées bancaires ou des instructions de paiement via un canal séparé, comme un appel à un numéro connu.
5. Auditez les règles de transfert et de boîte de réception, et examinez l’activité de connexion pour les boîtes aux lettres finance, RH et direction.
6. Dites aux gens que les messages écrits par IA se lisent clairement. Les fautes de frappe ne sont plus le principal signe d’alerte.