Pour éviter les tentatives de hameçonnage, le ministère de l’Économie et des Finances lance plusieurs outils pour sécuriser les emails envoyés par les entreprises. Parmi eux, un service de vérification des domaines de messagerie.
L’année dernière, le service de sécurité des systèmes informatiques de Bercy avait envoyé un faux email frauduleux à ses agents. Le but: vérifier s’ils étaient suffisamment attentifs pour ne pas céder aux sirènes du hameçonnage, une technique de piratage informatique qui consiste à se faire passer pour une organisation ou une personne, et d’inciter un internaute à cliquer sur un lien véreux. Les résultats furent éloquents. Sur 145.000 personnes ayant reçu le message, qui promettait des places de cinéma gratuites, plus de 30.000 ont cliqué sur le lien.
Une prise de conscience
Les employés du ministère de l’Économie ne sont pas les seuls à se laisser avoir par ce phénomène. En 2017, une entreprise française sur trois a subi une fraude informatique avérée, d’après une étude réalisée par Euler Hermes, pour le compte de l’association nationale des Directeurs Financiers et des Contrôles de Gestion. Il s’agit souvent d’usurpations d’identité, sous la forme d’emails envoyés par des fausses banques, fournisseurs, avocats, etc… faisant peser un risque sur les données des entreprises. À l’occasion du «Cyberoctobre», la campagne annuelle du gouvernement pour le mois de la cybersécurité, Bercy fait une série d’annonces pour aider les entreprises à améliorer leurs pratiques en la matière. Parmi elles, la mise en place d’un service de vérification des domaines de messagerie, qui signale leur niveau de sécurité et donc la possibilité qu’ils soient utilisés pour des emails de contrefaçon. Chaque nom de domaine (ce qui se trouve derrière le «@» d’une adresse mail) se voit attribuer une note, de E à A++, selon plusieurs critères techniques (présence des normes de sécurité DKIM ou SPF, origine du serveur dont sont envoyés les mails, etc.).
«Pour lutter contre le hameçonnage, on a appris aux internautes à être attentifs aux contenus de leurs emails. Mais on demande trop à l’utilisateur de combler les failles de sécurité de tout un système qu’il ne contrôle pas», juge Jean-Philippe Papillon, responsable de la sécurité des systèmes d’information pour le Ministère de l’Économie et des Finances, auprès du Figaro. «Il faut faire remonter la responsabilité là où il est encore possible d’améliorer les choses, au niveau des entreprises et de leurs intermédiaires.» Bercy espère ainsi une prise de conscience des entreprises afin qu’elles sécurisent davantage leur système mis en place pour envoyer des emails, à leurs employés, partenaires ou clients.
Deuxième outil proposé aux entreprises: l’installation, sur le site d’une entreprise, d’un bandeau indiquant aux internautes si leur navigateur Web dispose de la mise à jour la plus récente. Il est disponible via une bibliothèque publiée sur le site Github. «Cet outil vise particulièrement les professionnels. Les particuliers pensent généralement à mettre à jour leur navigateur. C’est plus compliqué en entreprise, où les salariés n’ont souvent pas le droit de télécharger eux-mêmes la dernière version de leur navigateur», explique Jean-Philippe Papillon. «Nous voulons attirer l’attention de l’employé, et donc de son entreprise.»
