Lorsque les organisations envisagent le scénario d’une fuite de données, elles pensent souvent à des attaquants exploitant des failles, volant des identifiants ou accédant à un réseau. Le récent incident chez Revolut met en lumière une autre voie : persuader une organisation de divulguer des informations par le biais d’une demande apparemment légitime.
Selon certaines informations, un tiers non autorisé aurait obtenu des informations sur des clients en soumettant des demandes frauduleuses à partir d’une adresse e-mail associée au domaine d’une véritable agence gouvernementale. Revolut a déclaré que ses systèmes et les fonds de ses clients n’avaient pas été affectés. Les notifications envoyées aux clients et décrites dans le rapport indiquaient que des documents d’identité, des selfies de vérification et des documents financiers figuraient parmi les informations exposées.
Cet incident illustre pourquoi la protection des données et la cybersécurité ne peuvent pas être considérées comme deux choses totalement distinctes. La technologie peut fonctionner exactement comme prévu ; la vulnérabilité peut néanmoins résider dans la décision prise par une personne lorsqu’une demande semble légitime.
Une apparence d’autorité ne doit jamais remplacer la nécessité d’une vérification indépendante. Les demandes d’informations sensibles méritent d’être examinées de près, même lorsqu’elles semblent provenir d’une agence gouvernementale, d’un organisme de régulation ou d’un tiers connu, comme l’a souligné notre directeur technique, Richard Ford, dansses commentaires à Sync NI.
Une adresse e-mail crédible n’est qu’un élément d’information parmi d’autres. Elle ne permet pas de déterminer si la personne qui l’utilise est habilitée à recevoir des documents particuliers, si l’objectif est légitime ou si la quantité d’informations demandée est appropriée.
Les informations rendues publiques ne fournissent pas suffisamment de détails pour évaluer chaque étape du processus interne de Revolut. Cependant, les organisations peuvent se servir de cet incident pour examiner leurs propres procédures. Si une demande d’apparence officielle arrivait demain, que se passerait-il avant que quelqu’un ne communique des informations sur les clients ? Les vérifications seraient-elles claires et cohérentes, ou dépendraient-elles du jugement d’une personne estimant que quelque chose ne tournait pas rond ?
Cette distinction est importante, car les demandes convaincantes sont conçues pour ne pas éveiller les soupçons.
Un employé peut s’authentifier en toute sécurité, ouvrir un fichier auquel il est autorisé à accéder et le partager via une plateforme approuvée, tout en divulguant néanmoins des informations à la mauvaise personne.
Les contrôles d’accès définissent ce qu’un employé peut faire au sein d’un système. Ils ne déterminent pas nécessairement si une action métier particulière est justifiée. Cela nécessite de prendre en compte le contexte : l’objet de la demande, l’autorité du destinataire et les informations nécessaires pour y répondre.
C’est là que les équipes chargées de la sécurité, de la protection des données et des opérations doivent s’appuyer sur un processus commun. Ensemble, elles doivent définir qui est habilité à approuver les divulgations, comment les documents sensibles peuvent être partagés et quelles preuves doivent être conservées.
Une politique stipulant que les informations clients doivent être protégées doit se traduire par des décisions concrètes et des contrôles système. Sinon, les employés sont laissés à eux-mêmes pour interpréter cette exigence tout en gérant une boîte de réception débordant de demandes contradictoires.
Les procédures de vérification doivent couvrir aussi bien les demandes de documents sensibles que les transactions financières. Une source apparemment crédible ne doit pas suffire à autoriser une divulgation.
Dans la pratique, une vérification indépendante implique d’utiliser un canal de communication établi séparément du message reçu. Répondre au même e-mail ou appeler un numéro fourni dans celui-ci ne constitue pas une vérification indépendante.
Le processus doit permettre de répondre à plusieurs questions :
Les organisations doivent également rendre le résultat de ces vérifications visible pour la personne chargée de communiquer les données. L’enregistrement d’une autorisation, de son champ d’application et du destinataire vérifié permet d’éviter qu’une demande initialement valide ne débouche sur une divulgation inappropriée.
Les attaquants peuvent se servir de l’autorité, de l’urgence et du contexte pour rendre leurs demandes convaincantes. La formation à la sensibilisation doit aider les employés à reconnaître ces pressions et à les remettre en question, en particulier lorsqu’un message semble s’inscrire dans le cadre d’une relation professionnelle existante.
Un exercice utile consiste à passer en revue une demande de divulgation réaliste avec les équipes chargées de la traiter. Où serait-elle transmise ? Qui l’évaluerait ? Que se passerait-il si la personne habituellement chargée de l’approuver n’était pas disponible ? Un collaborateur peut-il suspendre la demande sans être critiqué pour avoir retardé une réponse ?
Ces discussions peuvent mettre en évidence des faiblesses que ne couvre pas une politique écrite. Elles donnent également au personnel l’occasion de s’entraîner à prendre des décisions avant d’y être confronté sous pression.
La responsabilité ne peut pas reposer entièrement sur la personne qui lit le message. Les responsables doivent faciliter la vérification, tandis que les processus doivent rendre les contrôles faciles à effectuer et difficiles à contourner. Une validation supplémentaire pour les divulgations sensibles, des restrictions sur les exportations en masse et la surveillance des partages inhabituels peuvent offrir une protection supplémentaire.
Les informations personnelles volées peuvent conserver leur valeur longtemps après la divulgation initiale, facilitant ainsi la fraude et rendant les tentatives d’hameçonnage de plus en plus convaincantes. Les détails obtenus lors d’un incident peuvent conférer à une approche ultérieure suffisamment de crédibilité pour persuader quelqu’un de partager davantage d’informations.
C’est pourquoi l’étendue de toute divulgation revêt une grande importance. Même une demande vérifiée ne devrait pas entraîner automatiquement le partage d’un dossier client complet. Les organisations doivent déterminer précisément ce qui est nécessaire et limiter la divulgation en conséquence.
La planification des incidents doit également associer dès le départ les équipes de sécurité et de protection des données. Les employés ont besoin d’une procédure de signalement claire, tandis que les enquêteurs doivent déterminer ce qui a été divulgué, à qui, et si d’autres divulgations peuvent être empêchées.
Integrity360 aborde la cybersécurité sous l’angle des personnes, des processus et de la technologie, car la protection des informations repose sur la collaboration de ces trois éléments.
La leçon pratique à en tirer est d’examiner le moment où une personne décide de donner suite à une demande. Une authentification forte et des systèmes sécurisés restent essentiels, mais ils doivent s’appuyer sur des procédures d’approbation claires, une vérification proportionnée et des employés qui se sentent à même de poser des questions.
Les organisations doivent être en mesure d’expliquer pourquoi des informations ont été communiquées, qui en a donné l’autorisation et comment l’identité du destinataire a été vérifiée. Intégrer ces contrôles dans le travail quotidien permet de concilier protection des données et cybersécurité là où cela compte vraiment : avant que les informations sensibles ne quittent l’organisation.
Contactez Integrity360 pour renforcer votre approche en matière de protection des données sensibles et de gestion des risques liés à l’ingénierie sociale.