{"id":20323,"date":"2023-03-27T09:21:23","date_gmt":"2023-03-27T07:21:23","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=20323"},"modified":"2023-03-27T09:21:23","modified_gmt":"2023-03-27T07:21:23","slug":"new-employee-scam","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/new-employee-scam\/20323\/","title":{"rendered":"Comment les employ\u00e9s qui veulent bien faire sont arnaqu\u00e9s"},"content":{"rendered":"

Les premier jours dans une nouvelle entreprise sont souvent synonymes de r\u00e9unions d\u2019\u00e9quipe, de formations, de processus d\u2019int\u00e9gration, etc. Beaucoup de bruit avec peu d\u2019informations et sans que la personne ne comprenne vraiment ce qui se passe. D\u2019autre part, les nouveaux membres passent par certains \u00ab\u00a0rituels\u00a0\u00bb, et un d\u2019eux consistent g\u00e9n\u00e9ralement \u00e0 l\u2019annoncer sur les r\u00e9seaux sociaux (principalement, mais pas seulement, sur LinkedIn). Les entreprises aussi annoncent \u00e0 quel point elles sont heureuses d\u2019avoir un nouveau membre dans l\u2019\u00e9quipe. C\u2019est \u00e0 ce moment-l\u00e0 que ces employ\u00e9s fra\u00eechement arriv\u00e9es attirent l\u2019attention des escrocs.<\/p>\n

En g\u00e9n\u00e9ral, ces publications sur les r\u00e9seaux sociaux donnent les noms de l\u2019employ\u00e9 et de l\u2019entreprise, ainsi que le poste occup\u00e9. Ces informations sont g\u00e9n\u00e9ralement suffisantes pour identifier le responsable du nouvel employ\u00e9 (via les r\u00e9seaux sociaux ou le site officiel de l\u2019entreprise). Maintenant que les cybercriminels connaissent les noms, ils peuvent facilement trouver ou deviner leurs adresses e-mail. Tout d\u2019abord, plusieurs outils permettent de chercher les adresses e-mail. Ensuite, beaucoup d\u2019entreprises utilisent le nom, ou les noms et pr\u00e9noms, de l\u2019employ\u00e9 pour cr\u00e9er l\u2019adresse e-mail. Les cybercriminels n\u2019ont qu\u2019\u00e0 v\u00e9rifier quel syst\u00e8me l\u2019entreprise utilise pour obtenir l\u2019adresse. Une fois qu\u2019ils ont l\u2019adresse e-mail, il est temps de faire un peu d\u2019ing\u00e9nierie sociale<\/a>.<\/p>\n

Premi\u00e8re chose \u00e0 accomplir\u00a0: faire un virement aux escrocs<\/h2>\n

Lors des premiers jours, l\u2019employ\u00e9 n\u2019est certainement pas \u00e0 la hauteur des esp\u00e9rances de ses coll\u00e8gues et de ses sup\u00e9rieurs m\u00eame s\u2019il fait tout pour montrer le contraire. C\u2019est pourquoi ce nouveau membre pourrait baisser la garde\u00a0: il r\u00e9alise rapidement presque n\u2019importe quelle t\u00e2che sans prendre le temps de se demander qui le lui demande, si la requ\u00eate est raisonnable ou si \u00e7a rel\u00e8ve de ses responsabilit\u00e9s. Quelqu\u2019un veut que \u00e7a soit fait, donc \u00e7a doit l\u2019\u00eatre. C\u2019est particuli\u00e8rement vrai si l\u2019ordre vient du responsable direct voire du PDG de l\u2019entreprise<\/a>.<\/p>\n

Les escrocs se servent de cette astuce pour tromper les nouveaux employ\u00e9s. Ils envoient un message soi-disant r\u00e9dig\u00e9 par le PDG ou un responsable, mais sans utiliser l\u2019adresse de l\u2019entreprise, et demande \u00e0 l\u2019employ\u00e9 de faire une t\u00e2che \u00ab\u00a0urgente\u00a0\u00bb. Le novice est \u00e9videmment ravi de faire ce qu\u2019on lui demande. Cette t\u00e2che consiste \u00e0 faire un virement \u00e0 un sous-traitant ou \u00e0 acheter des cartes-cadeaux d\u2019une certaine valeur. Le message indique clairement qu\u2019il est \u00ab\u00a0essentiel d\u2019agir vite\u00a0\u00bb et que \u00a0\u00bb vous serez rembours\u00e9 \u00e0 la fin de la journ\u00e9e \u00a0\u00bb (\u00e9videmment !). Les escrocs insistent sur le caract\u00e8re urgent de l\u2019op\u00e9ration pour que l\u2019employ\u00e9 n\u2019ait pas le temps de r\u00e9fl\u00e9chir ou de demander \u00e0 un coll\u00e8gue.<\/p>\n

Le responsable a une certaine autorit\u00e9, et l\u2019employ\u00e9 veut \u00eatre utile. C\u2019est pourquoi il ne cherche pas \u00e0 savoir si c\u2019est raisonnable ou pourquoi il a \u00e9t\u00e9 choisi pour effectuer cette t\u00e2che. La victime transf\u00e8re l\u2019argent sur le compte indiqu\u00e9 sans h\u00e9sitation et le communique au \u00ab\u00a0patron\u00a0\u00bb en r\u00e9pondant \u00e0 la m\u00eame adresse e-mail, sans se rendre compte que le nom du domaine semble suspect.<\/p>\n

L\u2019escroc continue \u00e0 jouer le r\u00f4le du responsable\u00a0: il lui demande de fournir des documents qui confirment que la transaction a bien \u00e9t\u00e9 effectu\u00e9e et, une fois re\u00e7us, remercie chaleureusement l\u2019employ\u00e9 puis lui explique qu\u2019il va faire suivre les documents \u00e0 la personne qui a fait la demande (ce qui rend l\u2019op\u00e9ration un peu plus l\u00e9gitime). Pour que l\u2019employ\u00e9 ait l\u2019impression que cette op\u00e9ration est normale, l\u2019escroc lui dit qu\u2019il le recontactera si jamais il a besoin que l\u2019employ\u00e9 (malchanceux) fasse autre chose.<\/p>\n

Ce n\u2019est qu\u2019apr\u00e8s un certain temps que l\u2019employ\u00e9 se demande pourquoi on lui a demand\u00e9 de faire cette t\u00e2che, qu\u2019il r\u00e9alise que l\u2019adresse e-mail ne fait partie de l\u2019entreprise ou qu\u2019il parle de ce qu\u2019il a fait avec le responsable. C\u2019est \u00e0 ce moment-l\u00e0 qu\u2019il se rend compte de la triste v\u00e9rit\u00e9\u00a0: il s\u2019agissait d\u2019une arnaque.<\/p>\n

Des circonstances aggravantes<\/h2>\n

Comme les autres arnaques li\u00e9es au travail<\/a>, cette technique a grandement profit\u00e9 du passage massif au t\u00e9l\u00e9travail. M\u00eame les petites entreprises ont commenc\u00e9 \u00e0 embaucher partout dans le monde, ce qui signifie que les nouveaux employ\u00e9s pourraient ne pas savoir \u00e0 quoi ressemble le PDG ni comment ils pourraient rapidement demander de l\u2019aide \u00e0 un coll\u00e8gue pour savoir si la t\u00e2che en question est r\u00e9elle.<\/p>\n

De plus, si le superviseur et la plupart des employ\u00e9s travaillent dans diff\u00e9rents pays, une demande de virement \u00e0 quelqu\u2019un d\u2019une autre r\u00e9gion pourrait sembler plausible. Les virements bancaires nationaux sont toujours plus simples et plus rapides que les internationaux, ce qui conf\u00e8re une sensation de normalit\u00e9 \u00e0 la requ\u00eate qui est en r\u00e9alit\u00e9 une arnaque.<\/p>\n

Enfin, les entreprises plus petites, qui semblent \u00eatre des cibles courantes, ont tendance \u00e0 avoir des proc\u00e9dures de gestion des fonds beaucoup moins formelles, sans formulaire \u00e0 remplir ni contr\u00f4leur de gestion. Envoyez l\u2019argent, faites-le \u00e0 vos frais et r\u00e9cup\u00e9rez ce que vous avez avanc\u00e9 un peu plus tard. Cet autre fait apporte de l\u2019authenticit\u00e9 aux e-mails d\u2019arnaque.<\/p>\n

Comment les employ\u00e9s peuvent \u00e9viter le pi\u00e8ge<\/h2>\n

Le plus important pour un employ\u00e9 c\u2019est de ne pas perdre la t\u00eate en essayant d\u2019\u00eatre au service de l\u2019entreprise.<\/p>\n