D’après le rapport 2020 des incidents détectés par la solution Kaspersky Fraud Prevention, plus de la moitié des transactions frauduleuses constatées dans le secteur des services financiers (banque et services de paiement en ligne) relève dorénavant d’un piratage de compte bancaire (54 % en 2020 contre 34 % en 2019). Deux techniques de piratage de comptes bancaires ont notamment été citées au cours de l’année 2020 : la technique du « sauveur » et celle de « l’investisseur », de plus en plus courantes depuis 2019.
Du fait de la pandémie et des restrictions de déplacement ; les services financiers numériques et le e-commerce n’ont cessé de gagner du terrain au cours de l’année 2020. Dans ce contexte et au regard des rapports sur les menaces échu par les différentes solutions de Kaspersky, les équipes de recherche de l’entreprise observent une augmentation des techniques d’ingénierie sociale employées par les cybercriminels, qui cherchent à tirer profit de cette montée des usages numériques. Pour qu’elles puissent protéger leurs clients et leurs propres activités, il est particulièrement important que les institutions financières soient conscientes des stratagèmes frauduleux récurrents.Outre l’augmentation des opérations de piratage de comptes bancaires réussies (12 % des incidents frauduleux) Kaspersky observe l’usage frauduleux d’outils légitimes d’administration et de support à distance (RAT) tels que TeamViewer pour tenter d’accéder aux comptes des utilisateurs. » s
Les équipes d’assistance et de recherche de Kaspersky Fraud Prevention distinguent notamment deux types d’approches communes utilisées par les attaquants pour obtenir l’accès aux comptes – toutes deux s’inscrivant dans la continuité de tendances similaires constatées en 2019.
- Le « sauveur » : les escrocs se font passer pour des experts en sécurité et mettent en scène des scénarios pour « sauver » les utilisateurs. Ils appellent les clients des banques en prétextant des mesures de sécurité, signalent des frais inconnus ou des paiements suspects et proposent leur aide. Le faux sauveur peut ainsi demander à la victime de vérifier son identité au moyen d’un code envoyé dans un SMS ou via une notification sur leur smartphone (notification Push), d’arrêter une transaction suspecte ou de transférer de l’argent vers un « compte sécurisé ». Il peut également demander à une victime d’installer une application de visualisation à distance en prétendant qu’elle est nécessaire pour le dépannage. Les escrocs se présentent souvent comme des employés de la plus grande banque régionale de la victime potentielle et utilisent un numéro usurpé afin d’inspirer confiance aux utilisateurs.
- L’« investisseur » : dans ce scénario, les fraudeurs se font passer pour des employés d’une société d’investissement ou pour des gestionnaires de portefeuilles d’actions. Ils appellent des clients en leur proposant un moyen rapide de gagner de l’argent en investissant dans des devises ou des actions cryptographiques directement à partir de leur compte client, sans avoir à se rendre dans une agence bancaire. Comme condition préalable à la fourniture du « service d’investissement », l’investisseur demande à la victime potentielle le code reçu dans un message texte ou une notification Push.
« De manière générale, la majorité des propriétaires de comptes bancaires accordent une très grande importance à ce que leurs comptes soient accessibles facilement, afin qu’ils puissent notamment gérer leurs opérations financières courantes. Ce phénomène n’a de cesse de s’accélérer et les services de gestion bancaires en ligne sont de plus en plus demandés par les utilisateurs, sans distinction d’âge. Mais ces derniers ne sont pas toujours au fait des risques liés à cette nouvelle forme de gestion financière. Dans ce contexte en pleine mutation, nous pensons que les solutions destinées au secteur financier doivent offrir un niveau de protection toujours plus élevé, notamment pour faire face aux tentatives de fraude et de piratage. Et bien sûr, il est utile de rappeler régulièrement à chacun les techniques imaginées par les cybercriminels, afin qu’ils soient susceptibles d’identifier les situations dangereuses et qu’ils puissent s’en prémunir en disposant d’outils pour bloquer et dénoncer de telles pratiques », explique Claire Hatcher, responsable du développement commercial, Kaspersky Fraud Prevention.
Pour aider les particuliers et les entreprises à se protéger contre les techniques de fraude en constante évolution, Kaspersky recommande aux banques et organismes de services financiers de :
- Limiter le nombre de tentatives d’identification pour la validation de transactions : les cybercriminels peuvent actuellement tenter à plusieurs reprises de saisir des données d’identification correctes.
- Informer les clients de l’entreprise des stratagèmes et méthodes employées par les attaquants. Leur transmettre régulièrement des informations et consignes leur permettant d’identifier une tentative de fraude et sur la meilleure façon de se comporter dans cette situation.
- Effectuer des audits de sécurité et des tests d’intrusion annuels pour détecter les problèmes de sécurité et failles existants au sein du réseau de l’entreprise
- Créer une équipe d’analyse des fraudes capable de traquer et d’analyser les nouvelles typologies d’attaques et de fraudes.
- Mettre en place une authentification à plusieurs facteurs pour réduire au minimum les risques de prise de contrôle des comptes.
- Adopter une solution de prévention des tentatives de fraude, régulièrement mise à jour et augmentée, pour protéger les utilisateurs et permettre l’identification de nouveaux schémas et méthodes d’attaque.
Le rapport de Kaspersky Fraud Prevention est fondé sur le recoupage des incidents survenus au cours de l’année et des mouvements et attaques détectés par Kaspersky Fraud Prevention. Les données sont extraites dans le cadre de l’utilisation de services bancaires et de e-commerce par les utilisateurs avant d’être anonymement analysées pour la définition de modus operandi et techniques des cyberattaquants. Pour en savoir plus sur les principales tentatives de fraude auxquelles les entreprises sont confrontées, consulter le rapport complet ici.