Bercy a envoyé des faux emails de phishing à ses employés

Les cyberattaques visant des particuliers sont de plus en plus fréquentes, à l’exemple de ce malware sur Mac ou de Petya (qui a par ailleurs aussi visé des entreprises), pour n’en citer que deux. Mais au-delà du fait que les attaques s’intensifient, celles-ci se perfectionnent. C’est le cas des attaques par mail, à l’exemple du phishing (hameçonnage) et du spearphising (hameçonnage ciblé). Pour sensibiliser ses employés à ce type d’attaque informatique, Le Figaro révèle que Bercy a envoyé des faux emails phishing à ses 145 000 agents salariés.

Le phishing est une technique utilisée par des utilisateurs malveillants se faisant passer pour des sociétés ou des personnes afin de soutirer des informations personnelles au destinataire de l’email. Lorsque l’email est très personnalisé en fonction de la cible, on parle de spearphising. Cette dernière a par exemple été utilisé lors des élections présidentielles américaines par l’intelligence russe, en tout cas c’est ce que prétend un document de la NSA.

En envoyant des faux emails de phishing, le Ministère des Finances souhaitaient alerter les employés sur les liens piégés qui peuvent être cachés dans des emails dont l’apparence est anodine. L’expéditeur a aussi utilisé des pseudonymes tels que « Emma Bovary » ou « Jean-Baptiste Poquelin » (Molière !). Résultat (et ce n’est pas très rassurant), 30 000 personnes sur 145 000 ont cliqué, soit 1 personne sur 5. Le taux d’ouverture a été de 20% dans les 2h qui ont suivi l’envoi du mail. Lorsqu’un employé cliquait, il était ensuite redirigé vers une page indiquant les bonnes pratiques à tenir pour ne pas (re)tomber dans le piège.

À juste titre, le chef de la sécurité de Cisco envoie des mails utilisant la même technique chaque trimestre, à ses employés. Il explique cela a permis de « rédui[re] le nombre de gens qui cliquent sur ces liens de 60% depuis que nous avons commencé cette méthode. »

Une très bonne initiative de Bercy qui ouvre les festivités de la campagne du Mois de la cybersécurité qui a lieu durant ce mois d’octobre.

Source : Business Insider