Cybersécurité, fraude : "des mesures simples pourraient éviter bien des escroqueries !" [ABO]

Il y a eu AerTicket, Voyageurs du Monde, et des tentatives de phishing avec Air France, Amadeus ou Sabre... Mais les cyberattaques ne se réduisent pas à des noms bien connus du secteur au contraire.

"Les pirates peuvent rentrer au Pentagone, ils peuvent donc rentrer chez vous" a résumé simplement Boris Reibenberg, Président du Comité Stratégique de Xplorassur à l'occasion de la convention des EDV Grand-Est pour faire prendre conscience aux entreprises présentes du danger qui les guette.

"Depuis le début de l'année, deux entreprises que vous connaissez tous ont fermé à cause d'un piratage" poursuit-il. "Mettez-vous bien dans la tête qu'il y a dans le monde, des endroits en Asie, dans l'Est de l'Europe où il y a des personnes derrière des ordinateurs dont le seul boulot, c'est de rentrer chez vous".

Les TPE font donc aussi partie des cibles. Les pirates visent les entreprises petites ou moyennes ou grande, encore mal préparées à parer ce genre d'attaque. Pourtant "les escroqueries pourraient être évitées avec des mesures simples, un peu contraignantes mais pas difficiles à mettre en œuvre" rappelle Guillaume Beurdeley, secrétaire général adjoint des Entreprises du Voyages.

Cyberattaque mais pas que. Dans bien des cas d’escroquerie, le facteur humain joue aussi un rôle déterminant.

Certaines pratiques persistent, comme le paiement par carte bancaire transmis… par téléphone. "C’est la catastrophe, c’est jouer à la roulette russe. Sans système d'authentification fort, il ne faut pas !", insiste Guillaume Beurdeley.

"Il n'y a pas de solution miracle" abonde Boris Reibenberg "il y a des gestes extrêmement simples à mettre en place".

Les mots de passe non renouvelés, partagés entre collaborateurs, ou dépourvus de double authentification, constituent également une faille récurrente.

"Vous avez accès à de plus en plus de systèmes de réservation : GDS, plateformes, sites B2B, banque... Il faut prendre les bonnes précautions. C'est toujours le même processus : du vendredi soir au lundi matin, ça émet à fond et l'entreprise se retrouve avec un préjudice qui peut se monter à des dizaines, voire des centaines de milliers d'euros... " détaille le secrétaire général adjoint des Entreprises du Voyage.

A lire aussi : GDS et sécurité : un angle mort dans les agences de voyages ?

"Le soir et le week-end, éteignez vos ordinateurs, éteignez vos serveurs si vous n'en avez pas besoin, c'est souvent à ce moment-là que les attaques ont lieu" ajoute Boris Reibenberg qui poursuit : "Ne laissez pas vos mots de passe durer indéfiniment ni accessibles à tous. Lorsqu’un collaborateur quitte l’entreprise, même de confiance, il est essentiel de changer immédiatement tous les accès liés à vos systèmes".

Les boîtes email non protégées par une double authentification sont aussi une porte d’entrée privilégiée pour les pirates.

"Une fois qu'ils ont la boîte mail, ils peuvent ouvrir toutes les portes de votre entreprise. Installer une double authentification est parfois contraignant en agence car tous les collaborateurs n’ont pas accès à un téléphone professionnel, mais elle demeure aujourd’hui indispensable", explique Guillaume Beurdeley.

Au-delà des intrusions informatiques, il y a aussi les menaces liées aux fraudes au président. Le système repose sur des fausses voix, des mails imitant un dirigeant et demandes de virements qui sont « urgents ».

"Il faut enseigner à vos équipes que dès qu’il y a urgence, c’est suspect," résume le représentant de Xplorassur. "Déléguer les paiements est utile, mais limitez le nombre de personnes habilitées : moins il y en a, moins il y a de risques. Idéalement un payeur dédié, ou au maximum deux qui doivent être spécialement sensibilisés et vérifier systématiquement que tout ordre de paiement provient bien de la direction. C’est fondamental."

Guillaume Beurdeley va dans le même sens : "La double authentification ne nécessite pas forcément des dispositifs techniques sophistiqués : elle peut prendre la forme d’un simple processus de vérification. Par exemple, le dirigeant confirme l’accord sur une facture par courriel, puis signe ou valide en personne dans son bureau."

Autre réflexe essentiel : la sauvegarde quotidienne des données de l'entreprise. "Sans sauvegarde, votre entreprise a 80 % de chances de mourir en cas d’attaque" estime Boris Reibenberg.

Et lorsque l’incident se produit, il faut communiquer immédiatement. Un clic malheureux sur un email suspect... "Si vous pensez avoir fait une bêtise, dites-le. Ne laissez pas le mail se propager et dites à vos équipes de vous informer. Plus vite on agit, plus on limite les dégâts" précise-t-il.

Boris Reibenberg recommande aux gérants de souscrire à une assurance cyber pour se protéger mais aussi pour mettre en place toutes les précautions d'usage : "En souscrivant vous aurez des contraintes, et des obligations, mais cela permettra aussi de vous protéger en amont".

Il rappelle que certaines banques demandent désormais aux entreprises pour des prêts d’attester qu’elles disposent de garanties en cas de cyberattaque.

A lire aussi : Phishing, faux sites : le tourisme, cible privilégiée des cybercriminels !

"Il existe bien sûr des cas beaucoup plus complexes, mais sur des situations simples, on constate des arnaques fréquentes, particulièrement douloureuses, car il n’est pas toujours possible de récupérer les fonds ensuite." conclut Guillaume Beurdeley.