Regardez l\u2019adresse de l\u2019exp\u00e9diteur.<\/p>\n\n\n\n
V\u00e9rifiez le domaine.<\/p>\n\n\n\n
M\u00e9fiez-vous des fautes d\u2019orthographe.<\/p>\n\n\n\n
Ne cliquez pas sur un lien suspect.<\/p>\n\n\n\n
Ce sont de bons r\u00e9flexes face au phishing.<\/p>\n\n\n\n
Mais que se passe-t-il lorsque l\u2019e-mail provient r\u00e9ellement du domaine d\u2019une organisation officielle<\/strong> ?<\/p>\n\n\n\n C\u2019est pr\u00e9cis\u00e9ment ce qui rend l\u2019incident ayant touch\u00e9 Revolut particuli\u00e8rement int\u00e9ressant.<\/p>\n\n\n\n En septembre 2026, la fintech britannique a confirm\u00e9 avoir transmis des informations sensibles concernant certains de ses clients apr\u00e8s avoir re\u00e7u de fausses demandes d\u2019informations envoy\u00e9es depuis le domaine e-mail l\u00e9gitime d\u2019une agence gouvernementale<\/strong>. Revolut d\u00e9crit l\u2019incident comme une op\u00e9ration sophistiqu\u00e9e d\u2019usurpation externe et indique que ses propres syst\u00e8mes n\u2019ont pas \u00e9t\u00e9 compromis.<\/p>\n\n\n\n Autrement dit :<\/p>\n\n\n\n l\u2019attaquant n\u2019a pas n\u00e9cessairement eu besoin de pirater Revolut.<\/strong><\/p>\n\n\n\n Il lui a suffi de pr\u00e9senter une demande suffisamment cr\u00e9dible \u00e0 des personnes autoris\u00e9es \u00e0 transmettre les donn\u00e9es.<\/p>\n\n\n\n Et surtout, le traditionnel :<\/p>\n\n\n\n \u00ab V\u00e9rifiez que l\u2019adresse e-mail est correcte \u00bb<\/p>\n<\/blockquote>\n\n\n\n n\u2019aurait pas suffi.<\/p>\n\n\n\n Selon Revolut, un tiers non autoris\u00e9 a envoy\u00e9 des demandes frauduleuses d\u2019informations en utilisant une adresse appartenant au domaine r\u00e9el d\u2019une agence gouvernementale<\/strong>.<\/p>\n\n\n\n Les demandes poss\u00e9daient donc certains attributs techniques normalement associ\u00e9s \u00e0 une communication l\u00e9gitime.<\/p>\n\n\n\n Elles ont ensuite \u00e9t\u00e9 trait\u00e9es dans le cadre des proc\u00e9dures habituelles de conformit\u00e9 de l\u2019entreprise.<\/p>\n\n\n\n Lorsque Revolut a d\u00e9couvert la fraude, l\u2019entreprise indique avoir :<\/p>\n\n\n\n Revolut affirme \u00e9galement que ses syst\u00e8mes informatiques et les fonds de ses clients n\u2019ont pas \u00e9t\u00e9 compromis<\/strong>.<\/p>\n\n\n\n C\u2019est justement ce qui rend cet incident diff\u00e9rent de l\u2019image classique d\u2019une cyberattaque.<\/p>\n\n\n\n Lorsque l\u2019on parle de fuite de donn\u00e9es, on imagine souvent :<\/p>\n\n\n\n un pirate<\/strong><\/p>\n\n\n\n \u2193<\/p>\n\n\n\n une vuln\u00e9rabilit\u00e9<\/strong><\/p>\n\n\n\n \u2193<\/p>\n\n\n\n un serveur compromis<\/strong><\/p>\n\n\n\n \u2193<\/p>\n\n\n\n une base de donn\u00e9es t\u00e9l\u00e9charg\u00e9e<\/strong><\/p>\n\n\n\n Mais une entreprise peut perdre des donn\u00e9es d\u2019une mani\u00e8re beaucoup plus simple :<\/p>\n\n\n\n un attaquant demande les informations \u00e0 quelqu\u2019un qui poss\u00e8de d\u00e9j\u00e0 le droit de les consulter ou de les transmettre.<\/strong><\/p>\n\n\n\n Dans ce cas, la faille principale ne se trouve pas n\u00e9cessairement dans un serveur.<\/p>\n\n\n\n Elle se trouve dans le processus de validation<\/strong>.<\/p>\n\n\n\n C\u2019est l\u2019une des nombreuses formes que peut prendre l\u2019ing\u00e9nierie sociale<\/strong>.<\/p>\n\n\n\n L\u2019objectif est de manipuler une personne ou un processus afin d\u2019obtenir quelque chose auquel l\u2019attaquant ne devrait normalement pas avoir acc\u00e8s.<\/p>\n\n\n\n Une adresse comme :<\/p>\n\n\n\n peut inspirer confiance.<\/p>\n\n\n\n Encore davantage lorsque le domaine appartient r\u00e9ellement \u00e0 l\u2019organisation annonc\u00e9e.<\/p>\n\n\n\n Dans de nombreuses entreprises, v\u00e9rifier le domaine constitue justement l\u2019une des premi\u00e8res recommandations de s\u00e9curit\u00e9.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n \u274c semble \u00e9videmment suspect.<\/p>\n\n\n\n Alors que :<\/p>\n\n\n\n \u2705 semble beaucoup plus cr\u00e9dible.<\/p>\n\n\n\n Dans l\u2019affaire Revolut, le domaine utilis\u00e9 \u00e9tait selon l\u2019entreprise celui d\u2019une v\u00e9ritable agence gouvernementale<\/strong>.<\/p>\n\n\n\n Cela change compl\u00e8tement le niveau de sophistication de l\u2019attaque.<\/p>\n\n\n\n Les syst\u00e8mes de messagerie modernes disposent de plusieurs m\u00e9canismes destin\u00e9s \u00e0 limiter l\u2019usurpation de domaines.<\/p>\n\n\n\n Parmi eux :<\/p>\n\n\n\n SPF<\/strong><\/p>\n\n\n\n permet d\u2019indiquer quels serveurs peuvent envoyer des messages pour un domaine.<\/p>\n\n\n\n DKIM<\/strong><\/p>\n\n\n\n ajoute une signature cryptographique permettant de v\u00e9rifier qu\u2019un message a bien \u00e9t\u00e9 envoy\u00e9 par une infrastructure autoris\u00e9e et n\u2019a pas \u00e9t\u00e9 modifi\u00e9.<\/p>\n\n\n\n DMARC<\/strong><\/p>\n\n\n\n permet notamment au propri\u00e9taire du domaine de d\u00e9finir une politique concernant les messages qui \u00e9chouent \u00e0 ces v\u00e9rifications.<\/p>\n\n\n\n Ces m\u00e9canismes sont extr\u00eamement utiles contre certaines formes de spoofing.<\/p>\n\n\n\n Mais ils ont une limite fondamentale.<\/p>\n\n\n\n Si l\u2019attaquant contr\u00f4le une v\u00e9ritable bo\u00eete mail appartenant au domaine<\/strong>, le message peut parfaitement r\u00e9ussir ces v\u00e9rifications techniques.<\/p>\n\n\n\n Le syst\u00e8me de messagerie peut alors conclure :<\/p>\n\n\n\n \u00ab Ce message provient bien de cette infrastructure. \u00bb<\/p>\n<\/blockquote>\n\n\n\n Mais il ne peut pas conclure :<\/p>\n\n\n\n \u00ab La personne qui l\u2019envoie a une intention l\u00e9gitime. \u00bb<\/strong><\/p>\n<\/blockquote>\n\n\n\n Cette nuance est essentielle.<\/p>\n\n\n\n C\u2019est probablement l\u2019une des principales le\u00e7ons de cet incident.<\/p>\n\n\n\n Un \u00e9l\u00e9ment peut \u00eatre :<\/p>\n\n\n\n authentique techniquement<\/strong><\/p>\n\n\n\n tout en \u00e9tant :<\/p>\n\n\n\n frauduleux fonctionnellement.<\/strong><\/p>\n\n\n\n Imaginez qu\u2019une personne vole le badge d\u2019acc\u00e8s d\u2019un salari\u00e9.<\/p>\n\n\n\n Le badge est r\u00e9el.<\/p>\n\n\n\n La porte reconna\u00eet parfaitement sa puce.<\/p>\n\n\n\n Pourtant, la personne qui l\u2019utilise n\u2019est pas autoris\u00e9e \u00e0 entrer.<\/p>\n\n\n\n Un compte e-mail compromis fonctionne de mani\u00e8re similaire.<\/p>\n\n\n\n L\u2019identit\u00e9 technique est valide.<\/p>\n\n\n\n C\u2019est l\u2019usage qui ne l\u2019est pas.<\/p>\n\n\n\n Selon plusieurs informations rapport\u00e9es apr\u00e8s l\u2019incident, les donn\u00e9es concern\u00e9es pouvaient inclure notamment :<\/p>\n\n\n\n Le Financial Times a ensuite rapport\u00e9 que 680 clients avaient \u00e9t\u00e9 inform\u00e9s<\/strong> de l\u2019exposition de leurs donn\u00e9es.<\/p>\n\n\n\n Ces informations sont particuli\u00e8rement sensibles parce qu\u2019elles peuvent \u00eatre r\u00e9utilis\u00e9es pour construire de nouvelles attaques.<\/p>\n\n\n\n Supposons qu\u2019un attaquant dispose d\u00e9sormais de :<\/p>\n\n\n\n votre nom<\/strong><\/p>\n\n\n\n votre adresse<\/strong><\/p>\n\n\n\n votre num\u00e9ro de t\u00e9l\u00e9phone<\/strong><\/p>\n\n\n\n votre banque<\/strong><\/p>\n\n\n\n certaines informations sur vos transactions.<\/strong><\/p>\n\n\n\n Il peut ensuite vous contacter.<\/p>\n\n\n\n Bonjour Monsieur Dupont, Le message semble soudain beaucoup plus cr\u00e9dible.<\/p>\n\n\n\n L\u2019attaquant poss\u00e8de de v\u00e9ritables informations.<\/p>\n\n\n\n Il ne doit plus deviner.<\/p>\n\n\n\n C\u2019est ce qui rend les fuites de donn\u00e9es particuli\u00e8rement dangereuses :<\/p>\n\n\n\n elles peuvent servir \u00e0 fabriquer de futures attaques beaucoup plus convaincantes.<\/strong><\/p>\n\n\n\n Ce probl\u00e8me ne concerne \u00e9videmment pas uniquement les banques.<\/p>\n\n\n\n Imaginez une PME recevant un message provenant r\u00e9ellement de l\u2019adresse e-mail d\u2019un fournisseur habituel :<\/p>\n\n\n\n Bonjour, Le salari\u00e9 conna\u00eet le fournisseur.<\/p>\n\n\n\n Le nom est correct.<\/p>\n\n\n\n L\u2019adresse est correcte.<\/p>\n\n\n\n La signature est correcte.<\/p>\n\n\n\n Le fil de discussion peut m\u00eame \u00eatre r\u00e9el si la bo\u00eete e-mail a \u00e9t\u00e9 compromise.<\/p>\n\n\n\n Et pourtant :<\/p>\n\n\n\n l\u2019IBAN appartient \u00e0 l\u2019attaquant.<\/strong><\/p>\n\n\n\n C\u2019est une forme classique de fraude pouvant \u00eatre associ\u00e9e aux compromissions de messagerie professionnelle, souvent d\u00e9sign\u00e9es par l\u2019expression Business Email Compromise (BEC)<\/strong>.<\/p>\n\n\n\n Il faut parfois poser une autre question :<\/p>\n\n\n\n \u00ab Cette demande est-elle normale ? \u00bb<\/strong><\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n Pourquoi ce fournisseur change-t-il soudainement son IBAN ?<\/p>\n\n\n\n Pourquoi cette personne demande-t-elle maintenant un export de 5 000 clients ?<\/p>\n\n\n\n Pourquoi ce dirigeant demande-t-il un virement urgent alors qu\u2019il utilise normalement une autre proc\u00e9dure ?<\/p>\n\n\n\n Pourquoi cette administration demande-t-elle soudainement davantage d\u2019informations que d\u2019habitude ?<\/p>\n\n\n\n La s\u00e9curit\u00e9 doit donc aussi analyser le contexte et le comportement<\/strong>.<\/p>\n\n\n\n Une excellente protection contre ce type d\u2019attaque consiste \u00e0 v\u00e9rifier certaines demandes sensibles via un autre canal<\/strong>.<\/p>\n\n\n\n C\u2019est ce que l\u2019on appelle parfois une validation hors bande.<\/p>\n\n\n\n Vous recevez par e-mail :<\/p>\n\n\n\n Notre IBAN a chang\u00e9.<\/p>\n<\/blockquote>\n\n\n\n Ne r\u00e9pondez pas simplement :<\/p>\n\n\n\n Vous confirmez ?<\/p>\n<\/blockquote>\n\n\n\n Si la bo\u00eete e-mail est compromise, l\u2019attaquant r\u00e9pondra \u00e9videmment :<\/p>\n\n\n\n Oui.<\/p>\n<\/blockquote>\n\n\n\n Il faut plut\u00f4t :<\/p>\n\n\n\n appeler le fournisseur avec un num\u00e9ro d\u00e9j\u00e0 connu<\/strong>, et non celui indiqu\u00e9 dans le nouvel e-mail.<\/p>\n\n\n\n M\u00eame logique pour une demande sensible provenant d\u2019une administration ou d\u2019un partenaire.<\/p>\n\n\n\n La v\u00e9rification doit utiliser une source ind\u00e9pendante de la communication potentiellement compromise.<\/p>\n\n\n\n Toutes les op\u00e9rations ne doivent \u00e9videmment pas n\u00e9cessiter une validation complexe.<\/p>\n\n\n\n Cr\u00e9er une t\u00e2che dans un agenda ne pr\u00e9sente pas le m\u00eame risque que :<\/p>\n\n\n\n Pour certaines actions critiques, il peut \u00eatre pertinent d\u2019utiliser un double contr\u00f4le<\/strong>.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n Employ\u00e9 A<\/strong> pr\u00e9pare la transmission.<\/p>\n\n\n\n Employ\u00e9 B<\/strong> v\u00e9rifie la demande et autorise l\u2019envoi.<\/p>\n\n\n\n C\u2019est parfois moins rapide.<\/p>\n\n\n\n Mais c\u2019est pr\u00e9cis\u00e9ment le r\u00f4le d\u2019un contr\u00f4le de s\u00e9curit\u00e9 :<\/p>\n\n\n\n ajouter de la friction lorsque le co\u00fbt potentiel d\u2019une erreur est \u00e9lev\u00e9<\/strong>.<\/p>\n\n\n\n Une demande portant sur une seule information n\u2019a pas n\u00e9cessairement le m\u00eame risque qu\u2019une demande concernant :<\/p>\n\n\n\n 100 comptes<\/strong><\/p>\n\n\n\n ou<\/p>\n\n\n\n 10 000 clients.<\/strong><\/p>\n\n\n\n Il peut donc \u00eatre pertinent d\u2019instaurer des seuils.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n 1 \u00e0 5 dossiers<\/strong> 6 \u00e0 50 dossiers<\/strong> export massif<\/strong> Le principe g\u00e9n\u00e9ral est simple :<\/p>\n\n\n\n plus l\u2019action peut avoir de cons\u00e9quences, plus la validation doit \u00eatre forte.<\/strong><\/p>\n\n\n\n Tous les salari\u00e9s n\u2019ont pas besoin de pouvoir exporter l\u2019int\u00e9gralit\u00e9 d\u2019une base clients.<\/p>\n\n\n\n Tous les comptes support n\u2019ont pas besoin d\u2019acc\u00e9der aux pi\u00e8ces d\u2019identit\u00e9.<\/p>\n\n\n\n Tous les administrateurs ne doivent pas n\u00e9cessairement disposer des m\u00eames droits.<\/p>\n\n\n\n Le principe du moindre privil\u00e8ge<\/strong> consiste \u00e0 fournir uniquement les droits n\u00e9cessaires \u00e0 une personne pour accomplir sa mission.<\/p>\n\n\n\n Ce principe permet de r\u00e9duire les cons\u00e9quences d\u2019un :<\/p>\n\n\n\n Lorsqu\u2019une demande suspecte est d\u00e9couverte, l\u2019entreprise doit pouvoir reconstruire ce qu\u2019il s\u2019est pass\u00e9.<\/p>\n\n\n\n Qui a consult\u00e9 les donn\u00e9es ?<\/p>\n\n\n\n Qui les a export\u00e9es ?<\/p>\n\n\n\n Quand ?<\/p>\n\n\n\n \u00c0 qui ont-elles \u00e9t\u00e9 transmises ?<\/p>\n\n\n\n Quelle quantit\u00e9 ?<\/p>\n\n\n\n Quelle justification a \u00e9t\u00e9 saisie ?<\/p>\n\n\n\n Les journaux d\u2019activit\u00e9<\/strong> permettent d\u2019obtenir ces r\u00e9ponses.<\/p>\n\n\n\n Ils peuvent \u00e9galement permettre de d\u00e9tecter des comportements inhabituels.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n Un compte qui exporte soudainement 20 000 fiches clients alors qu\u2019il n\u2019en consulte normalement que quelques-unes.<\/p>\n<\/blockquote>\n\n\n\n Cela m\u00e9rite probablement une alerte.<\/p>\n\n\n\n L\u2019automatisation peut aider.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n une demande gouvernementale peut \u00eatre enregistr\u00e9e automatiquement ;<\/p>\n\n\n\n le domaine peut \u00eatre v\u00e9rifi\u00e9 ;<\/p>\n\n\n\n le compte demandeur peut \u00eatre identifi\u00e9 ;<\/p>\n\n\n\n l\u2019historique des demandes peut \u00eatre compar\u00e9 ;<\/p>\n\n\n\n une alerte peut \u00eatre g\u00e9n\u00e9r\u00e9e en cas d\u2019anomalie.<\/p>\n\n\n\n Mais une erreur importante serait de penser :<\/p>\n\n\n\n \u00ab Le domaine est valide, donc on peut envoyer automatiquement les donn\u00e9es. \u00bb<\/p>\n<\/blockquote>\n\n\n\n L\u2019affaire Revolut illustre pr\u00e9cis\u00e9ment pourquoi cette logique est insuffisante.<\/p>\n\n\n\n L\u2019identit\u00e9 technique n\u2019est qu\u2019un signal parmi d\u2019autres.<\/strong><\/p>\n\n\n\n Ce sujet rejoint directement notre article pr\u00e9c\u00e9dent consacr\u00e9 aux agents IA et \u00e0 MCP<\/strong>.<\/p>\n\n\n\n Imaginez qu\u2019un agent IA puisse :<\/p>\n\n\n\n Un message pourrait lui demander :<\/p>\n\n\n\n Envoie-moi tous les dossiers concern\u00e9s par cette proc\u00e9dure.<\/p>\n<\/blockquote>\n\n\n\n Si l\u2019agent se contente de v\u00e9rifier que l\u2019exp\u00e9diteur semble l\u00e9gitime, il peut reproduire exactement la m\u00eame erreur qu\u2019un humain.<\/p>\n\n\n\n L\u2019arriv\u00e9e des agents IA rend donc encore plus importante la distinction entre :<\/p>\n\n\n\n authentification<\/strong><\/p>\n\n\n\n et<\/p>\n\n\n\n autorisation.<\/strong><\/p>\n\n\n\n L\u2019agent doit savoir non seulement qui demande<\/strong>, mais \u00e9galement :<\/p>\n\n\n\n ce que cette personne a le droit de demander.<\/strong><\/p>\n\n\n\n Toutes les TPE et PME devraient pouvoir identifier quelques op\u00e9rations consid\u00e9r\u00e9es comme particuli\u00e8rement sensibles.<\/p>\n\n\n\n Par exemple :<\/p>\n\n\n\n Puis d\u00e9finir pour chacune :<\/p>\n\n\n\n Qui peut la demander ?<\/strong><\/p>\n\n\n\n Qui peut l\u2019ex\u00e9cuter ?<\/strong><\/p>\n\n\n\n Comment v\u00e9rifier la demande ?<\/strong><\/p>\n\n\n\n Une seconde validation est-elle n\u00e9cessaire ?<\/strong><\/p>\n\n\n\n L\u2019action est-elle journalis\u00e9e ?<\/strong><\/p>\n\n\n\n Cette r\u00e9flexion ne n\u00e9cessite pas forc\u00e9ment une infrastructure extr\u00eamement complexe.<\/p>\n\n\n\n Elle n\u00e9cessite surtout des proc\u00e9dures claires<\/strong>.<\/p>\n\n\n\n Dans une petite entreprise, la confiance joue souvent un r\u00f4le tr\u00e8s important.<\/p>\n\n\n\n Un collaborateur conna\u00eet personnellement :<\/p>\n\n\n\n le dirigeant, Cette proximit\u00e9 est un avantage.<\/p>\n\n\n\n Mais elle peut \u00e9galement devenir une faiblesse.<\/p>\n\n\n\n Un attaquant peut chercher \u00e0 exploiter exactement cette confiance :<\/p>\n\n\n\n \u00ab C\u2019est Paul, fais-moi rapidement ce virement. \u00bb<\/p>\n<\/blockquote>\n\n\n\n \u00ab C\u2019est notre fournisseur habituel. \u00bb<\/p>\n<\/blockquote>\n\n\n\n \u00ab Je connais cette adresse. \u00bb<\/p>\n<\/blockquote>\n\n\n\n La cybers\u00e9curit\u00e9 consiste parfois \u00e0 accepter une r\u00e8gle simple :<\/p>\n\n\n\n m\u00eame une personne connue peut utiliser un compte compromis sans le savoir.<\/strong><\/p>\n\n\n\n L\u2019affaire Revolut permet de retenir plusieurs principes particuli\u00e8rement utiles :<\/p>\n\n\n\n 1. Une adresse correcte ne garantit pas une demande l\u00e9gitime.<\/strong><\/p>\n\n\n\n 2. Les op\u00e9rations sensibles doivent avoir leurs propres proc\u00e9dures de validation.<\/strong><\/p>\n\n\n\n 3. Une demande inhabituelle doit d\u00e9clencher une v\u00e9rification suppl\u00e9mentaire.<\/strong><\/p>\n\n\n\n 4. Les changements financiers doivent id\u00e9alement \u00eatre confirm\u00e9s via un autre canal.<\/strong><\/p>\n\n\n\n 5. Les acc\u00e8s aux donn\u00e9es doivent respecter le principe du moindre privil\u00e8ge.<\/strong><\/p>\n\n\n\n 6. Les actions sensibles doivent \u00eatre journalis\u00e9es.<\/strong><\/p>\n\n\n\n 7. La sensibilisation doit aller au-del\u00e0 du simple \u00ab ne cliquez pas sur les liens suspects \u00bb.<\/strong><\/p>\n\n\n\n Car les attaques \u00e9voluent.<\/p>\n\n\n\n Les conseils doivent \u00e9voluer avec elles.<\/p>\n\n\n\n L\u2019incident Revolut illustre parfaitement une \u00e9volution de la cybers\u00e9curit\u00e9.<\/p>\n\n\n\n Le danger n\u2019est plus n\u00e9cessairement un e-mail rempli de fautes envoy\u00e9 depuis une adresse douteuse.<\/p>\n\n\n\n Une attaque peut utiliser :<\/p>\n\n\n\n un v\u00e9ritable compte,<\/strong><\/p>\n\n\n\n un v\u00e9ritable domaine,<\/strong><\/p>\n\n\n\n une v\u00e9ritable infrastructure,<\/strong><\/p>\n\n\n\n et malgr\u00e9 tout contenir :<\/p>\n\n\n\n une demande frauduleuse.<\/strong><\/p>\n\n\n\n La cybers\u00e9curit\u00e9 moderne ne peut donc plus se limiter \u00e0 v\u00e9rifier d\u2019o\u00f9 vient une demande<\/strong>.<\/p>\n\n\n\n Elle doit \u00e9galement v\u00e9rifier :<\/p>\n\n\n\n ce qui est demand\u00e9,<\/strong><\/p>\n\n\n\n si cette demande est coh\u00e9rente,<\/strong><\/p>\n\n\n\n et si son auteur poss\u00e8de r\u00e9ellement le droit d\u2019obtenir ce qu\u2019il r\u00e9clame.<\/strong><\/p>\n\n\n\n En d\u2019autres termes :<\/p>\n\n\n\n faire confiance \u00e0 une identit\u00e9 ne signifie pas faire confiance \u00e0 toutes ses demandes.<\/strong><\/p>\n\n\n\n APT Informa accompagne les TPE, PME et ind\u00e9pendants dans la s\u00e9curisation de leurs syst\u00e8mes d\u2019information, la mise en place de bonnes pratiques, la gestion des acc\u00e8s et la protection de leurs donn\u00e9es.<\/strong><\/p>\n\n\n\n Une s\u00e9curit\u00e9 efficace repose autant sur la technologie que sur des proc\u00e9dures capables de r\u00e9sister lorsque la technologie seule ne suffit plus<\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":" Une adresse e-mail officielle peut \u00eatre parfaitement authentique tout en servant \u00e0 une demande frauduleuse. L\u2019affaire Revolut montre pourquoi v\u00e9rifier l\u2019exp\u00e9diteur ne suffit plus et pourquoi les entreprises doivent renforcer leurs proc\u00e9dures de validation.<\/p>\n","protected":false},"author":1,"featured_media":73,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,1,10,9],"tags":[142,141,143,23,140,138,124,139,25,88,66,144,14],"class_list":["post-72","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-apt-informa","category-blog","category-cybersecurite","category-organisation","tag-bec","tag-business-email-compromise","tag-controle-dacces","tag-cybersecurite","tag-double-validation","tag-fraude","tag-fuite-de-donnees","tag-ingenierie-sociale","tag-phishing","tag-pme","tag-protection-des-donnees","tag-revolut","tag-tpe"],"_links":{"self":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/72","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/comments?post=72"}],"version-history":[{"count":1,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/72\/revisions"}],"predecessor-version":[{"id":74,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/72\/revisions\/74"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/media\/73"}],"wp:attachment":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/media?parent=72"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/categories?post=72"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/tags?post=72"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Que s\u2019est-il pass\u00e9 chez Revolut ?<\/h2>\n\n\n\n
\n
Une fuite de donn\u00e9es sans intrusion dans le syst\u00e8me<\/h2>\n\n\n\n
Pourquoi l\u2019adresse e-mail \u00e9tait-elle si convaincante ?<\/h2>\n\n\n\n
agent@organisme-officiel.example<\/code><\/p>\n\n\n\nsupport-paypal@service-client-123.com<\/code><\/p>\n\n\n\nagent@administration-officielle.gov<\/code><\/p>\n\n\n\nSPF, DKIM et DMARC ne r\u00e9solvent pas ce probl\u00e8me<\/h2>\n\n\n\n
\n
\n
Authentique ne signifie pas autoris\u00e9<\/h2>\n\n\n\n
Quelles donn\u00e9es auraient \u00e9t\u00e9 expos\u00e9es ?<\/h2>\n\n\n\n
\n
Une fuite peut devenir le carburant d\u2019une autre attaque<\/h2>\n\n\n\n
\n
\n
\n
\n
\n
nous vous appelons du service s\u00e9curit\u00e9 Revolut au sujet d\u2019une transaction effectu\u00e9e le\u2026<\/p>\n<\/blockquote>\n\n\n\n\u00ab Je connais cette personne \u00bb n\u2019est plus une garantie<\/h2>\n\n\n\n
\n
notre IBAN a chang\u00e9. Merci d\u2019utiliser d\u00e9sormais ce nouveau compte pour les prochains r\u00e8glements.<\/p>\n<\/blockquote>\n\n\n\nLe probl\u00e8me n\u2019est donc plus seulement \u00ab Est-ce un vrai e-mail ? \u00bb<\/h2>\n\n\n\n
Le principe de validation hors bande<\/h2>\n\n\n\n
\n
\n
\n
Deux personnes peuvent valoir mieux qu\u2019une pour certaines op\u00e9rations<\/h2>\n\n\n\n
\n
Les proc\u00e9dures doivent tenir compte de la quantit\u00e9 de donn\u00e9es<\/h2>\n\n\n\n
\u2192 proc\u00e9dure normale.<\/p>\n\n\n\n
\u2192 validation suppl\u00e9mentaire.<\/p>\n\n\n\n
\u2192 validation d\u2019un responsable + contr\u00f4le juridique ou s\u00e9curit\u00e9.<\/p>\n\n\n\nLe moindre privil\u00e8ge s\u2019applique aussi aux donn\u00e9es<\/h2>\n\n\n\n
\n
La journalisation devient essentielle<\/h2>\n\n\n\n
\n
Peut-on tout automatiser ?<\/h2>\n\n\n\n
\n
M\u00eame probl\u00e8me avec les agents IA<\/h2>\n\n\n\n
\n
\n
Une entreprise doit d\u00e9finir ses actions critiques<\/h2>\n\n\n\n
\n
Pourquoi les TPE sont particuli\u00e8rement concern\u00e9es<\/h2>\n\n\n\n
le comptable,
les principaux fournisseurs,
les clients importants.<\/p>\n\n\n\n\n
\n
\n
Quelles bonnes pratiques retenir ?<\/h2>\n\n\n\n
Conclusion<\/h2>\n\n\n\n
\n\n\n\nAPT Informa<\/h3>\n\n\n\n