(Photo: 123RF)

Les fraudeurs se montrent de plus en plus créatifs dans l'enrobage de courriels contenant des liens et des pièces jointes dangereux, et les entreprises canadiennes semblent plus susceptibles de se laisser prendre au piège que celles d'autres pays.

«Nous avons tout vu, des faux papiers de divorce aux faux diagnostics médicaux, qui ne s'adressent parfois même pas au destinataire du courriel», a observé Ryan Kalember, vice-président principal de Proofpoint, lors d'une entrevue réalisée en marge d'une conférence sur la cybersécurité à Toronto. 

«Les humains sont des créatures naturellement curieuses. Nous allons nous faire avoir jusqu'à un certain point.»

Une analyse récente de Proofpoint a révélé que près de 100 campagnes de cybercriminalité avaient visé le Canada entre le 1er janvier et le 1er mai de cette année, en plus de milliers de campagnes génériques ayant rejoint le Canada par l'entremise d'internet.

Un type de logiciel malveillant observé par Proofpoint était DanaBot, qui a été utilisé pour envoyer des leurres évoquant Postes Canada. 

«Nous avons vu plusieurs campagnes s'appuyer sur l'image de marque de Postes Canada. Et ce n'est pas inhabituel. Les leurres de livraison de colis figurent toujours dans le top cinq en termes d'hameçonnage efficace pour les fraudeurs», a expliqué M. Kalember.

Pour les personnes qui reçoivent de tels courriels, le danger est de télécharger par inadvertance un logiciel susceptible de saisir des mots de passe, envoyer davantage de pourriels frauduleux pour atteindre d'autres victimes ou verrouiller l'accès aux fichiers système. 

David Masson, directeur national de Darktrace au Canada, une entreprise spécialisée dans la cybersécurité, reconnaît que les escroqueries visant à détourner des marques connues sont assez courantes à travers le monde et que l'expérience du Canada est similaire.

Mais le spécialiste note aussi que, selon les résultats d'une analyse effectuée par Darktrace l'année dernière, ses clients canadiens étaient environ trois fois plus susceptibles de télécharger des logiciels malveillants que ses clients d'autres pays.

«Cela m'indique que des personnes reçoivent des liens, des courriels d'hameçonnage, des arnaques commerciales - des personnes qui se font piéger (...) et se retrouvent à lancer elles-mêmes les attaques. Vous savez, des attaques commises par leurs victimes», a expliqué M. Masson. 

Celui-ci regrette toutefois l'absence de statistiques officielles sur ce type d'atteinte à la sécurité. 

Une recherche dans la base de données effectuée par le Centre antifraude du Canada pour La Presse canadienne donne à penser qu'il y a eu une augmentation du nombre de signalements d'escroqueries présumées liées à Postes Canada cette année. La recherche a permis de relever 35 fraudes présumées utilisant la marque Postes Canada sur la période de 12 mois terminée le 1er mai, dont 26 en 2019.

Le Commissariat à la protection de la vie privée du Canada a indiqué dans un courriel qu'il était au courant de ce type d'usurpation de courriel, mais qu'il n'avait entendu parler de rien de spécifique à Postes Canada et qu'il «n'avait reçu aucune plainte récente concernant spécifiquement ce type de violation».

Certains travailleurs plus vulnérables

M. Kalember a précisé que les criminels avaient également eu recours à des campagnes plus sophistiquées pour cibler les Canadiens, en utilisant des informations précises sur leurs cibles, qui ont été accumulées au cours de nombreuses années de piratage de base de données.

«Chacun de nous a des informations d'identification de courriel liées à tous ces énormes piratages dont nous entendons parler.»

Cela signifie que les pirates informatiques ont de nombreux exemples sur la manière dont les entreprises envoient des messages internes, savent quelles personnes sont en position d'autorité, et ont même un registre d'anciens mots de passe qui fournissent des indices sur les nouveaux mots de passe, a-t-il souligné. 

«Et plus une personne travaille depuis longtemps dans une organisation, plus son mot de passe sera prévisible», a ajouté M. Kalember.

En conséquence, cela a créé un type de vulnérabilité de messagerie différent pour les entreprises qui construisent leurs communications professionnelles autour d'un service d'infonuagique tel que Microsoft Office 365 ou Google Docs. 

Une fois que les fraudeurs ont déterminé le mot de passe d'un utilisateur clé, ils peuvent faire des ravages dans une entreprise en se faisant passer pour un superviseur et en demandant à un membre du personnel de rediriger la paie ou d'autres paiements vers un autre compte.

«Si un acteur frauduleux réussit à vider ce compte bancaire, cela peut être catastrophique. Et c'est quelque chose que nous voyons assez régulièrement», a noté M. Kalember.

Souvent, les campagnes criminelles ne sont pas signalées, et il est conséquemment difficile de quantifier leur fréquence, a-t-il ajouté.

«Cela dit, les assaillants mesurent tout cela extrêmement soigneusement et le fait qu'ils en fassent plus indique clairement que cela fonctionne d'une manière ou d'une autre.»

Un représentant de Postes Canada a affirmé dans un courriel que «malheureusement, des courriels d'hameçonnage malveillants circulent de temps en temps» et a recommandé de consulter le site internet de Postes Canada pour obtenir des conseils sur la façon de détecter les courriels frauduleux et d'éviter de tomber dans les pièges. 

«Quand Postes Canada fait une tentative de livraison, elle laisse une carte Avis de livraison à votre porte ou dans votre boîte aux lettres. Nous ne communiquons pas avec vous par courriel à moins que vous ne l'ayez demandé», indique le site web.

Le service des postes recommande également aux clients de supprimer les courriels suspects contenant un lien ou un fichier et de signaler les courriels suspects au Centre antifraude du Canada ou au service à la clientèle de Postes Canada.