L’Internet Crime Complaint Center (IC3) du FBI a publié ses données de 2017 et ce n’est pas joli. BEC et toutes les formes d’hameçonnage ont causé beaucoup de dommages, un nombre record de plaintes ont été déposées et les pertes totales signalées n’étaient que légèrement inférieures à celles de l’année précédente, soit un peu plus de 1,4 milliard de dollars. Il est intéressant de voir les données du FBI, elles informent et confirment une grande partie de ce que nous savons sur le paysage actuel des menaces, et il y a beaucoup d’autres informations intéressantes dans le rapport de cette année.

Il est important de commencer par une mise en garde : ces données ne sont fondées que sur la déclaration volontaire par IC3.gov et constituent une représentation incomplète des pertes nationales et mondiales dues aux cyberattaques et à la cybercriminalité. Il n’y a pas de mesure de l’importance de la sous-déclaration des cyberattaques, réussies ou non, ni des dommages indirects des attaques. Par exemple, l’atteinte à la protection des données d’Equifax a entraîné des coûts estimés à 600 millions de dollars. Les dommages causés par les plus grandes attaques de 2017 pourraient facilement s’élever à 1,4 milliard de dollars. Il y a des effets d’entraînement en jeu ici qui devraient rendre ce rapport du FBI encore plus inquiétant à la fois pour ceux qui travaillent dans l’industrie de la sécurité et pour les cibles potentielles.

Dans cet esprit, voici quelques-uns des points à retenir les plus intéressants de ce rapport.

Coût annuel moyen inférieur par plainte, mais forte augmentation sur 5 ans

IC3 a reçu environ 2500 (~ 1%) plaintes de plus en 2017 qu’en 2016, mais les pertes déclarées de 1,4 milliard de dollars ont diminué de 2,2% par rapport à 2016. Cela semble faible par rapport à la plupart des données que nous voyons, y compris certaines données pessimistes prédisant 9 milliards de dollars de dommages causés par des attaques de type BEC en 2018. Les 1,4 milliard de dollars ne semblent pas enregistrer de dommages au-delà du calcul de ce que les plaignants ont envoyé ou payé aux escrocs. Il convient également de noter que si les plaintes ont augmenté d’environ 15% en 2017 par rapport à 2013, les pertes ont augmenté de 85%. En 2013, la perte moyenne déclarée était d’environ 3000 $. En 2017, il était d’environ 4700 $. C’est bien au-dessus de l’inflation.

Le BEC et le CAE continuent d’être une menace dominante

Voici une statistique très effrayante : le coût moyen d’une compromission de courriel d’entreprise (BEC) ou d’une compromission de compte de courriel était de 43 000 $, avec 15 690 plaintes et pertes déclarées à 675 millions de dollars. Et cela ne semble pas inclure les dommages collatéraux et de marque!

Fait intéressant, 2 vecteurs d’attaque sont mis en évidence par le FBI. La première est l’escroquerie W-2, qui consiste à glaner des informations fiscales hautement confidentielles provenant de la paie ou d’autres sources qui sont ensuite vendues sur le marché noir ou utilisées pour produire de fausses déclarations de revenus. Le deuxième est le marché immobilier, ciblé parce qu’il contient les 3 ingrédients clés pour qu’une arnaque réussisse : 1) l’urgence, 2) les parties prenantes souvent non conscientes du cyber et 3) les transactions financières importantes.

Les rançongiciels attirent toute l’attention, mais pas l’argent.

Étonnamment, en 2017, ils ont reçu un nombre apparemment faible de 1 783 plaintes pour rançongiciels, avec des pertes de plus de 2,3 millions de dollars (environ 1290 $ par plainte). À elle seule, Wannacry a infecté 200 000 ordinateurs dans le monde (il n’y aurait qu’une seule plainte par entreprise, et non par ordinateur). Les estimations situent les dommages réels de Wannacry entre « des centaines de millions » et 4 milliards de dollars. Il est donc difficile de faire pile ou face sur celui-ci. Nous nous serions attendus à un nombre beaucoup plus élevé de plaintes pour rançongiciels, compte tenu de l’attention qu’il a reçue en 2017.

Voici quelques idées pour expliquer cet écart :

• Le FBI recommande de ne pas payer la rançon, peut-être que les gens ne signalent pas les rançongiciels à IC3?
• Si l’objectif principal du signalement est probablement de récupérer des fonds plutôt que d’arrêter les criminels. Quelqu’un va déclarer un BEC de 43 000 $, mais pas de soucis avec une rançon de 300 $. Il est intéressant de noter que la rançon de Wannacry se situait entre 300 $ et 600 $, tandis que la perte moyenne déclarée d’IC3 était de 2 à 4 fois. Peut-être est-ce une explication de cette sous-déclaration?
• Il est plausible qu’une protection plus forte contre les rançongiciels dissuade les criminels plus avertis d’attaques plus rentables. Les internautes informés sont moins susceptibles d’être victimes d’un rançongiciel parce qu’ils auront une protection en place. (Remarque : alors que les utilisateurs informés peuvent tomber dans le piège d’attaques d’ingénierie sociale à des taux surprenants, les rançongiciels peuvent être déjoués plus facilement avec la bonne technologie.)
• La prolifération des rançongiciels en tant que service entraîne également inévitablement des attaques plus défendables et de moindre qualité.

L’Initiative de justice pour les aînés

Nous ne nous concentrons pas beaucoup sur ce domaine, car nous nous concentrons principalement sur le milieu des petites et moyennes entreprises, mais la lecture de ceci était un peu inquiétante. 49 523 plaintes (16%) provenaient de victimes de plus de 60 ans ayant subi des pertes de plus de 342 millions de dollars, ce qui représente plus de 24% de toutes les pertes déclarées. L’Initiative de justice pour les aînés a été lancée par le procureur général Sessions pour lutter contre la fraude envers les aînés. Espérons que des initiatives comme celle-ci permettront d’améliorer les chiffres de l’année prochaine.

La tranche d’âge de 10 ans avec le plus grand nombre de victimes? 30-39 ans!

Un peu surprenant au début, 45 458 victimes qui ont déposé une plainte avaient entre 30 et 39 ans. Il diminue jusqu’aux 60+ qui ont enregistré 49 523 mais englobent un groupe d’âge plus large. Mais il convient de noter que cela peut peut-être être expliqué;

• Le rôle de la déclaration au nom des entreprises incombe au (niveau intermédiaire?) Le personnel informatique qui est plus jeune.
• Les taux d’utilisation d’Internet plus élevés dans ce groupe, en particulier dans le milieu professionnel, signifient que, bien qu’en termes absolus, ce nombre soit plus élevé, en tant que ratio d’utilisateurs, il pourrait être beaucoup plus faible.
• La plus grande probabilité que les personnes de ce groupe d’âge sachent comment et où signaler ce type de fraude, ou même identifier qu’elle s’est produite en premier lieu, est un autre facteur (et peut-être très important – compte tenu de l’Initiative de justice pour les aînés mentionnée ci-dessus).

Mais toute surprise s’arrête là. La perte moyenne par plainte est corrélée à l « âge. Ainsi, alors que les 30-39 ans peuvent avoir le plus grand nombre de victimes par décennie, le groupe d » âge 60+ a eu une perte moyenne de plus de 2 fois par plainte.

Pour conclure.

En tant qu’industrie et entreprise individuelle de sécurité des courriels, nous concentrons nos produits et les efforts de contenu de ce blogue sur la sécurité des entreprises. Nous voulons que les plaintes et les pertes diminuent. C’est une prise intéressante 22. Il y a un plus grand appétit pour dépenser lorsqu’il y a un niveau de menace plus élevé, mais investir lorsque les niveaux de menace sont faibles est la façon la plus rentable de dépenser. L’assainissement coûte beaucoup plus cher que la protection. Si nous voyons certains niveaux de menace diminuer, cela signifie que nous gagnons sur ce front. Lorsque nous voyons les pertes signalées au FBI diminuer, cela peut être considéré comme un signe que nous faisons notre travail, mais compte tenu de la fréquence des attaques et des tactiques d’escroquerie sophistiquées que nous voyons quotidiennement, nous savons qu’il y a plus dans les menaces que ne le montrent ces données. Le courrier en masse, les URL d’hameçonnage, les courriels malveillants, les pourriels sophistiqués, les rançongiciels et bien d’autres vecteurs menacent de plus en plus les utilisateurs, et bien que la technologie comme la nôtre aide, la formation et l’éducation des utilisateurs sont la dernière frontière – après tout, ils sont la véritable cible de ces attaques.

[highlight_sc bg_color= »#21c2f8″ text_color= »#ffffff » border_color= » »]LIRE LA SUITE :[/highlight_sc]

Consultez le rapport complet de l’IC3 ici.