Piratage et fraude des comptes de messagerie d'entreprise

Entrée

Le piratage de comptes de messagerie d'entreprise est l'une des méthodes de cyberfraude les plus dangereuses auxquelles les entreprises sont confrontées aujourd'hui. Les comptes de messagerie des employés, des gestionnaires, des services comptables, des services d'achats ou du personnel en charge des relations fournisseurs sont ciblés ; des instructions de paiement frauduleuses sont envoyées, les informations IBAN sont modifiées, les factures des fournisseurs sont falsifiées, les paiements des clients sont détournés vers des fraudeurs ou la correspondance interne confidentielle de l'entreprise est interceptée.

Ce type d'incident est souvent désigné sous le terme de fraude au président ( ou compromission de messagerie professionnelle ) dans la littérature internationale . Le FBI définit la fraude au président comme l'un des crimes en ligne les plus préjudiciables financièrement. Elle exploite la dépendance de nombreux particuliers et entreprises à l'égard de la messagerie électronique dans leurs activités quotidiennes et se manifeste par des demandes de paiement ou de transaction frauduleuses semblant provenir d'une source connue. Le FBI cite en exemple un fournisseur habituel dont l'adresse de facturation semble avoir changé ou un ordre de paiement urgent envoyé au nom d'un cadre dirigeant.

En Turquie, ces incidents ne doivent pas être considérés comme de simples problèmes techniques tels que le « piratage de messagerie ». Le détournement de comptes de messagerie d'entreprise doit être examiné au regard d'autres notamment : l'article 243 (accès non autorisé à un système d'information), l'article 244 (obstruction, perturbation, destruction ou altération de données), l'article 158 (fraude aggravée), l'acquisition ou la diffusion illicite de données personnelles, la violation de données en vertu de la loi sur la protection des données personnelles (KVKK), la violation de secrets commerciaux, la responsabilité en matière de droit du travail, les procédures de remboursement bancaire et de paiement , ainsi que les demandes d'indemnisation .

Que signifie le piratage d'un compte de messagerie professionnelle ?

La compromission d'un compte de messagerie d'entreprise correspond à l'accès non autorisé à un compte de messagerie appartenant à un employé, un responsable, le service comptable ou toute autre personne autorisée d'une entreprise. Cet accès peut se produire directement par vol de mot de passe, ou via des liens d'hameçonnage, de fausses pages de connexion Microsoft 365/Google Workspace, des pièces jointes malveillantes, des mots de passe faibles, l'utilisation du même mot de passe sur différentes plateformes, l'absence d'authentification multifacteurs, le maintien d'un ancien compte employé ouvert ou la compromission du système d'un fournisseur.

Un pirate qui accède à un compte de messagerie ne commet généralement pas de fraude immédiatement. Il commence par examiner la correspondance. Il repère les clients contactés pour un paiement, les fournisseurs payés, les factures en cours, les personnes habilitées, le calendrier des paiements de l'entreprise, ses comptes bancaires et le langage utilisé dans les communications internes. Puis, attendant le moment opportun, il insère un faux IBAN ou une fausse instruction de paiement dans la correspondance légitime.

Par conséquent, le piratage de messagerie d'entreprise est plus dangereux que les cas classiques de « spam ». L'escroc utilise l'historique des communications, le ton, les numéros de factures, les noms des clients et les procédures de paiement de l'entreprise. Cela renforce considérablement la force de persuasion de l'attaque. Un employé du service comptable ou un client peut alors effectuer un virement en croyant à l'authenticité du courriel.

Qu’est-ce que la compromission de messagerie professionnelle et la fraude au PDG ?

L’usurpation d’identité par courriel professionnel (BEC) est un type de fraude qui consiste à utiliser des adresses courriel d’entreprise ou de fausses adresses courriel semblant appartenir à une entreprise. Lors d’attaques de ce type, les fraudeurs utilisent généralement les méthodes suivantes :

Ils se font passer pour des dirigeants d'entreprise et envoient des instructions de paiement urgentes au service comptable. Cette méthode est connue sous le nom de « fraude au PDG ». Ils piratent la messagerie d'un fournisseur et envoient des messages ressemblant à des correspondances légitimes, tels que « Nos coordonnées IBAN ont changé ». Ils envoient de fausses factures aux clients au nom de l'entreprise et modifient le compte de paiement. Ils piratent le compte d'un employé du service des achats ou des finances et manipulent les correspondances de paiement légitimes. Parfois, ils créent un faux nom de domaine qui ressemble beaucoup à la véritable adresse électronique ; par exemple, ils modifient une lettre du nom de domaine de l'entreprise pour créer une adresse électronique difficile à détecter.

Les déclarations du FBI indiquent que dans la fraude BEC (Business Email Compromise), les attaquants peuvent imiter de vrais comptes, tromper les victimes avec de légères variations de nom de domaine et accéder aux comptes, calendriers et données de l'entreprise grâce à des courriels d'hameçonnage ciblés.

En Turquie, de tels incidents sont fréquents, notamment dans les secteurs de l'import-export, des paiements aux entreprises de construction et aux sous-traitants, des échanges de paiements entre cabinets d'avocats et clients, des factures fournisseurs, des transactions commerciales en devises étrangères, des acomptes et prix de vente immobiliers, ainsi que des procédures logistiques et douanières. Même si l'entreprise victime semble avoir effectué le virement de son plein gré, ce transfert volontaire a été compromis par une fraude.

Quels sont les crimes liés aux incidents de détournement de messagerie électronique ?

Si un compte de messagerie professionnelle est compromis, plusieurs infractions peuvent survenir simultanément. Premièrement, si l'auteur de l'attaque a accédé illégalement au compte de messagerie ou au système d'information de l'entreprise, l'infraction d'accès non autorisé à un système d'information, prévue par l'article 243 du Code pénal turc (TCK), est applicable. L'article 243 du TCK punit le fait d'accéder illégalement à tout ou partie d'un système d'information ou d'y rester illégalement.

Si l'auteur de l'infraction a modifié, supprimé, rendu inaccessible, transféré ou perturbé le fonctionnement du compte de messagerie, l'article 244 du Code pénal turc s'applique. Selon cet article, quiconque entrave ou perturbe le fonctionnement d'un système d'information est punissable ; quiconque corrompt, détruit, modifie, rend inaccessible, insère des données dans le système ou transfère des données existantes au sein de celui-ci encourt également des poursuites pénales.

Il y a fraude lorsqu'une instruction de paiement frauduleuse est transmise par courriel, que l'IBAN est modifié ou que la victime (entreprise ou particulier) est incitée à effectuer un virement. L'article 158 du Code pénal turc stipule que la fraude commise au moyen de systèmes d'information, de banques ou d'établissements de crédit constitue une infraction aggravée. Ce même article prévoit une peine plus lourde pour les fraudes commises au moyen de banques ou d'établissements de crédit.

Par conséquent, dans les cas de fraude par courriel en entreprise, il convient de considérer non seulement « l’accès non autorisé à un système d’information », mais aussi, selon l’issue de l’incident, de fraude aggravée, l’utilisation d’un système d’information comme outil, l’utilisation d’institutions bancaires comme outil, les crimes portant sur les données personnelles, le vol de secrets commerciaux et la falsification de documents officiels/privés .

Faux IBAN et fraude à la facture

La forme la plus courante de piratage de messagerie d'entreprise est la fraude à l'usurpation d'IBAN. L'auteur de la fraude accède au compte de messagerie du fournisseur ou du créancier, ou utilise une fausse adresse dont le nom de domaine est très proche de celui de l'entreprise. Il envoie ensuite des messages tels que : « Nos coordonnées bancaires ont changé », « Veuillez effectuer le paiement sur le compte suivant » ou « Le compte de la facture précédente a été clôturé ». Comme le message s'intègre souvent à une facture, un produit, une livraison et une correspondance légitimes, la victime ne se doute de rien.

Trois éléments importants permettent de qualifier juridiquement de tels cas. Premièrement, la fraude : l’auteur trompe la victime en usurpant l’identité d’une personne physique ou morale. Deuxièmement, le préjudice : la victime transfère les fonds vers un compte erroné. Troisièmement, l’enrichissement sans cause : l’auteur ou ses complices reçoivent les fonds sur leur propre compte ou sur celui d’un tiers.

Si la transaction a été effectuée par virement bancaire, EFT, SWIFT ou via un établissement de paiement, elle peut être qualifiée de fraude aggravée au sens de l'article 158/1-f du Code pénal turc, pour utilisation abusive des systèmes d'information et des banques/établissements de crédit. La Direction générale de la sécurité précise également que le délit de fraude est régi par les articles 157 et 158 ​​du Code pénal turc et que l'utilisation abusive des systèmes d'information, des banques ou des établissements de crédit constitue une circonstance aggravante.

Que doit faire immédiatement l'entreprise victime ?

Lorsqu'il est constaté qu'un compte de messagerie professionnelle a été compromis ou qu'un paiement a été effectué vers un IBAN frauduleux, il est crucial d'agir rapidement. La première étape consiste à contacter immédiatement la banque émettrice. Une demande écrite et enregistrée doit lui être adressée, expliquant que le virement a été effectué frauduleusement et exigeant le blocage du compte du destinataire, le remboursement des fonds et la notification immédiate de la banque destinataire. Si la transaction a été effectuée via SWIFT, une procédure de rappel doit être immédiatement engagée auprès de la banque correspondante et de la banque destinataire.

La deuxième étape consiste à isoler le système de messagerie interne de l'entreprise et à bloquer l'accès au compte compromis. Il convient de modifier les mots de passe, de fermer les sessions actives, d'activer l'authentification multifacteurs, de vérifier les règles de routage et les filtres automatiques, et de déterminer si l'attaquant a mis en place des règles pour masquer les courriels.

La troisième étape consiste à préserver les preuves. Il est impératif de ne pas supprimer les courriels, d'exporter l'historique des échanges, de conserver les en-têtes, d'obtenir les journaux d'activité IP et de garder les reçus de paiement, les factures, les messages contenant de faux IBAN, les informations de domaine, les enregistrements DNS, les journaux de connexion, l'activité des utilisateurs et les alertes de sécurité.

La quatrième étape consiste à déposer rapidement une plainte pénale auprès du parquet, étayée par des preuves techniques. Cette démarche ne doit pas se limiter à une simple déclaration de « nous avons été victimes d'escroquerie » ; la plainte doit impérativement inclure les adresses électroniques, les noms de domaine, les adresses IP, les informations bancaires, les reçus de virement, les dates des échanges et tout autre élément technique permettant de confirmer ou d'infirmer l'escroc.

Pourquoi la préservation des preuves est-elle d'une importance capitale ?

Dans les affaires de fraude par courriel en entreprise, la preuve repose essentiellement sur des éléments numériques. Ces éléments révèlent le serveur d'envoi, l'identité de l'utilisateur du compte expéditeur, la date d'enregistrement du nom de domaine, les adresses IP ayant accédé au compte, la mise en place d'une règle de transfert de courriel, le compte destinataire des fonds et l'identité de l'utilisateur ayant ouvert le compte du destinataire.

Une simple capture d'écran peut ne pas suffire. Le dossier de preuves doit inclure les en-têtes bruts des e-mails, les journaux du serveur, les enregistrements d'audit Microsoft 365/Google Workspace, les journaux d'adresses IP, les enregistrements MFA, les informations sur l'appareil, les reçus de paiement, la correspondance bancaire, les informations WHOIS du faux nom de domaine, les enregistrements DNS et les rapports de sécurité (le cas échéant).

Après une attaque, les entreprises tentent souvent de nettoyer un compte, effaçant ainsi les traces de l'attaquant. C'est une erreur. Les règles suspectes, les dossiers supprimés, les redirections automatisées, les journaux de connexion récents et les autorisations d'application non autorisées d'un compte de messagerie ne doivent pas être supprimés sans une analyse approfondie. Il est impératif de recueillir des preuves avant de procéder au nettoyage et aux améliorations de sécurité.

Comment doit-on préparer une plainte à adresser au parquet ?

La plainte pénale à déposer auprès du parquet doit être préparée de manière détaillée, tant sur le plan technique que juridique. Elle doit décrire clairement la chronologie des événements. À quelle date la correspondance a-t-elle été échangée avec quelle entreprise ? Quelle était la nature de la facture ou du paiement ? De quelle adresse électronique le changement d’IBAN a-t-il été signalé ? Sur quel compte bancaire le paiement a-t-il été effectué ? Quand la fraude a-t-elle été découverte ? Quand la banque a-t-elle été informée ? Depuis quelles adresses IP le compte de l’entreprise a-t-il été consulté ? Quelles données ont pu être compromises ?

La plainte pénale doit notamment inclure les demandes suivantes : blocage du compte bancaire du destinataire, traçage des transactions financières, identification du titulaire du compte et des personnes utilisant le compte, demande d’enregistrements de distributeurs automatiques/caméras de surveillance, obtention des documents d’ouverture de compte, demande d’enregistrements de journaux IP auprès des fournisseurs de services de messagerie concernés, enquête sur les enregistrements de domaine si un nom de domaine frauduleux a été utilisé, demande d’assistance juridique auprès de prestataires de services internationaux ou par le biais des procédures appropriées, et engagement de poursuites judiciaires contre les suspects en vertu des articles 158, 243, 244 du Code pénal turc et d’autres infractions selon les circonstances spécifiques.

Si les fonds n'ont pas encore été retirés, il est crucial d'agir rapidement pour les bloquer et les récupérer. Par conséquent, il ne faut pas tarder à porter plainte ; la demande auprès de la banque, le dépôt de la plainte auprès du parquet et le recueil des preuves techniques doivent être effectués simultanément.

Demande auprès de la banque et de l'établissement de paiement

Si un paiement a été effectué vers un IBAN frauduleux, le dépôt d'une plainte auprès de la banque constitue une voie de recours légale distincte. L'entreprise lésée doit immédiatement adresser une demande écrite à la banque émettrice, précisant que le virement a été effectué frauduleusement et demandant le blocage des fonds auprès de la banque destinataire ainsi que le lancement d'une procédure de remboursement. La banque destinataire doit également être informée, si possible.

La demande doit inclure le reçu de paiement, le faux courriel, une facture attestant d'une transaction commerciale légitime, la date de découverte de la fraude et les informations relatives à la plainte déposée auprès du parquet. Si la transaction a été effectuée vers une banque étrangère, la procédure de rappel SWIFT doit être immédiatement lancée. Dans certains cas, les transferts de fonds vers différents comptes sont très rapides ; les premières heures sont donc cruciales.

La responsabilité de la banque est évaluée au cas par cas. Il se peut qu'elle ait simplement suivi les instructions du client. Toutefois, en cas d'opérations suspectes lors de l'ouverture du compte, de mouvements de fonds inhabituels, d'alertes de blanchiment d'argent, de retraits d'espèces rapides ou de retards après notification, son obligation de diligence peut être mise en cause. Par conséquent, toute correspondance bancaire doit être enregistrée et conservée.

Y a-t-il eu violation de données au sens de la KVKK (loi turque sur la protection des données personnelles) ?

Le piratage d'un compte de messagerie d'entreprise entraîne souvent une fuite de données personnelles. En effet, ces comptes peuvent contenir des noms de clients, des numéros de téléphone, des adresses électroniques, des fichiers de propositions, des contrats, des informations sur les employés, des documents de paie, des photocopies de pièces d'identité, des coordonnées bancaires, des détails de facturation, de la correspondance commerciale et parfois des données personnelles sensibles.

Conformément à la loi sur la protection des données personnelles (KVKK), le responsable du traitement est tenu de prendre les mesures techniques et administratives nécessaires pour empêcher le traitement illicite et l'accès non autorisé aux données personnelles et pour garantir leur conservation. L'Autorité précise également que le responsable du traitement peut être solidairement responsable avec le sous-traitant du traitement des données personnelles quant à la mise en œuvre de ces mesures.

Si une personne non autorisée accède à un compte de messagerie, il existe un risque d'accès aux données personnelles. Dans ce cas, l'entreprise doit répondre aux questions suivantes : Quelle boîte mail a été compromise ? Contenait-elle des données personnelles ? Quels groupes de personnes pourraient être concernés ? Les données ont-elles été exportées ? Une règle de transfert automatique des e-mails a-t-elle été mise en place ? L'attaquant a-t-il accédé aux pièces jointes ? Des données personnelles sensibles ont-elles été compromises ? Quel est le nombre estimé de personnes concernées ?

S’il est établi que des données personnelles ont été obtenues par des tiers par des moyens illégaux, ou s’il existe un risque sérieux que cela se produise, il existe une obligation d’en informer l’Autorité de protection des données personnelles.

Notification RGPD de 72 heures

En cas de violation de données à caractère personnel, le responsable du traitement doit en informer l'Autorité de la protection des données (APD) sans délai et au plus tard 72 heures après en avoir pris connaissance. La récente communication de l'APD précise également, conformément à sa décision du 24 janvier 2019, n° 2019/10, qu'il existe une obligation de notification à l'APD dans un délai maximal de 72 heures à compter de la date à laquelle la violation est constatée.

L'analyse technique complète n'a pas besoin d'être finalisée au moment de cette notification. La notification initiale peut être effectuée avec les informations disponibles ; des informations complémentaires et des mises à jour pourront être fournies ultérieurement. La notification doit préciser la date et l'heure de la violation, la date à laquelle elle a été découverte, les groupes concernés, les catégories de données affectées, les conséquences potentielles de la violation, les mesures prises et les coordonnées de la personne à contacter.

Il peut également être nécessaire d'informer les personnes concernées en termes clairs et simples. En particulier, les clients doivent être mis en garde contre les courriels de paiement frauduleux, les fournisseurs doivent vérifier les courriels de changement d'IBAN, les employés doivent changer leurs mots de passe et rester vigilants face aux risques d'hameçonnage.

Notification de l'entreprise aux clients et fournisseurs

Les personnes entretenant des relations d'affaires avec une entreprise sont également exposées à des risques si leur compte de messagerie est compromis. Un escroc pourrait utiliser ce compte pour envoyer des instructions de paiement frauduleuses aux clients ou demander des informations confidentielles aux fournisseurs. Par conséquent, il ne suffit pas à l'entreprise de sécuriser ses systèmes internes ; des notifications contrôlées doivent également être envoyées aux parties prenantes externes.

La notification doit expliquer clairement la situation sans susciter de panique inutile. Par exemple : « Un accès non autorisé a été détecté sur un compte de messagerie appartenant à notre entreprise. Nous vous prions d’ignorer les courriels envoyés en notre nom concernant des modifications d’IBAN, des instructions de paiement ou des paiements urgents sans les avoir préalablement confirmés par téléphone. » Un texte clair et informatif comme celui-ci pourrait être utilisé.

Toutefois, l'entreprise ne doit pas présenter d'informations non vérifiées comme définitives. Si elle affirme qu'« aucune donnée n'a été affectée », cela doit être étayé par un rapport technique. À défaut, des problèmes pourraient survenir ultérieurement concernant le RGPD, les indemnisations ou les relations de confiance.

Responsabilité des employés et enquête interne

Les erreurs humaines sont fréquentes lors des piratages de messagerie professionnelle. Un employé peut avoir cliqué sur un lien d'hameçonnage, saisi son mot de passe sur une fausse page de connexion, partagé son code d'authentification multifacteur, utilisé un mot de passe faible ou accédé à son compte professionnel de manière non sécurisée depuis un appareil personnel. Toutefois, cela n'implique pas automatiquement que l'employé soit entièrement responsable.

L'entreprise est examinée afin de vérifier si elle dispense une formation à la sécurité de l'information à ses employés, utilise l'authentification multifacteurs, dispose d'une politique de mots de passe, a mis en place un mécanisme d'authentification à deux facteurs pour les instructions de paiement suspectes et exige une vérification téléphonique pour les changements d'IBAN.

Si l'employé a agi avec malveillance, il peut en résulter un licenciement pour faute grave, des poursuites pénales et des demandes de dommages et intérêts. En revanche, si l'incident relève d'une simple négligence, il convient d'examiner conjointement la faute de l'employé et les défaillances organisationnelles de l'entreprise. L'absence de procédures de sécurité des paiements, notamment au sein des services comptables et financiers, constitue une grave faiblesse pour l'entreprise.

Responsabilité de l'entreprise en cas de dommages

Le piratage d'un compte de messagerie professionnelle peut causer un préjudice à un client ou un fournisseur. Par exemple, un client pourrait effectuer un paiement vers un compte frauduleux suite à un courriel qu'il croit provenir de l'entreprise. Dans ce cas, le client pourrait contester la validité du paiement, déterminer la responsabilité de l'entreprise et identifier la personne qui doit supporter les dommages.

Dans ce type de litiges, les critères suivants sont importants : le compte de messagerie était-il réellement un compte professionnel ? L’entreprise présentait-elle une faille de sécurité ayant permis la compromission du compte ? Le client a-t-il confirmé le changement inhabituel d’IBAN ? Quelle est la procédure habituelle pour les modifications de comptes de paiement dans les transactions commerciales ? L’entreprise a-t-elle averti le client au préalable ? La notification a-t-elle été retardée après la détection de la fraude ? Une procédure de paiement sécurisée était-elle en place entre les parties ?

La responsabilité de l'entreprise en cas de dommages peut être mise en cause si elle n'a pas pris les mesures de sécurité élémentaires, n'a pas utilisé l'authentification multifacteur (MFA), n'a pas mis en place de contrôles internes pour les instructions de paiement inhabituelles, ou a averti le client trop tard après la violation de données. À l'inverse, une négligence contributive peut être engagée si le client a effectué un paiement d'un montant élevé sans avoir confirmé la modification inhabituelle de son IBAN.

Risque lié aux secrets commerciaux et aux informations confidentielles

Les comptes de messagerie d'entreprise peuvent contenir non seulement des données personnelles, mais aussi des secrets commerciaux. Dossiers de propositions, listes de prix, portefeuilles clients, contrats, informations d'appels d'offres, plans stratégiques, dessins techniques, codes sources, négociations de partenariat et rapports financiers peuvent tous tomber entre les mains d'un pirate informatique.

Dans ce cas, l'entreprise doit évaluer plus en détail la situation en termes de préjudice causé à la concurrence, de concurrence déloyale, de protection des secrets commerciaux, de violation de la confidentialité contractuelle et de relations fournisseurs/clients. Si les informations obtenues ont fuité par l'intermédiaire d'un employé ou d'un ancien employé, des poursuites fondées sur le droit du travail, la concurrence déloyale et le droit pénal peuvent être engagées.

Mesures préventives techniques et juridiques

La meilleure façon de se prémunir contre la fraude par courriel en entreprise est de prendre des mesures préventives. Les entreprises devraient imposer l'authentification multifacteurs pour tous les comptes de messagerie professionnels. Le risque d'attaque augmente considérablement, notamment pour les comptes administratifs, financiers, comptables, commerciaux et d'achats, en l'absence d'authentification multifacteurs.

Deuxièmement, une procédure de sécurité des paiements doit être mise en place. Pour les modifications d'IBAN, les nouveaux comptes fournisseurs, les paiements d'un montant élevé, les instructions de paiement urgentes ou les virements internationaux, une confirmation doit être obtenue via un numéro de téléphone préalablement enregistré. Cette confirmation doit être effectuée à l'aide du numéro figurant déjà dans les dossiers de l'entreprise, et non à l'aide du numéro indiqué dans l'e-mail ou le message.

Troisièmement, il convient d'utiliser des techniques de sécurité pour la messagerie électronique. Les journaux SPF, DKIM et DMARC doivent être correctement configurés ; les courriels provenant de sources externes doivent être signalés ; les domaines suspects doivent être surveillés ; les règles de transfert de courrier doivent être vérifiées ; et les journaux d'audit de Microsoft 365/Google Workspace doivent être activés.

Quatrièmement, une formation des employés doit être mise en place. Les employés doivent être sensibilisés aux fausses pages de connexion, aux pressions exercées pour effectuer des paiements urgents, aux arnaques liées au changement d'IBAN, aux scénarios de fraude au PDG et aux risques liés au partage des codes d'authentification multifacteur. Cette formation doit être enregistrée et répétée régulièrement.

Cinquièmement, un plan de réponse aux incidents doit être élaboré. Il convient de déterminer à l'avance qui réinitialisera le mot de passe, qui contactera la banque, qui rédigera le rapport au procureur, qui effectuera l'évaluation de conformité au RGPD et qui informera les clients en cas de compromission du compte de messagerie.

Il est indiqué que l'USOM, au sein de la BTK (Autorité des technologies de l'information et de la communication), mène des efforts de coordination nationaux et internationaux pour répondre aux cyberincidents 24h/24 et 7j/7. En cas d'attaques de grande ampleur, sectorielles ou critiques, les processus de l'USOM et du SOME (Centre des opérations de sécurité) sectoriel concerné doivent également être évalués en fonction du domaine d'activité de l'entreprise.

Conclusion

Les compromissions de comptes de messagerie d'entreprise représentent bien plus qu'une simple faille de sécurité technique. Ces incidents ont souvent de graves conséquences, telles que des instructions de paiement frauduleuses, des modifications d'IBAN, des fraudes à la facturation des fournisseurs, le détournement de paiements clients, le vol d'informations confidentielles et les violations de données personnelles. Par conséquent, les entreprises doivent considérer la sécurité de la messagerie non seulement comme la responsabilité du service informatique, mais aussi comme un enjeu de gestion des risques et de conformité légale.

Si un compte de messagerie est compromis, les crimes suivants peuvent être commis en vertu du Code pénal turc (TCK) : accès non autorisé à un système d'information (article 243), corruption, altération, inaccessibilité ou envoi de données (article 244) et fraude aggravée par l'utilisation de systèmes d'information et de banques/établissements de crédit comme outils (article 158).

Les premières mesures prises par l'entreprise comprennent : la notification urgente de la banque et de l'établissement de paiement, le blocage du compte du destinataire, la conservation des preuves, l'obtention des journaux de messagerie, le dépôt d'une plainte pénale auprès du parquet, étayée par des preuves techniques, la réalisation d'une analyse d'impact relative à la violation de données au sens du RGPD, la notification à l'autorité de protection des données dans un délai de 72 heures si nécessaire, et l'information publique des personnes concernées. Le RGPD stipule explicitement qu'en cas de violation de données à caractère personnel, l'autorité de protection des données doit être notifiée dans les 72 heures suivant la découverte de la violation.

En conclusion, la protection juridique la plus efficace contre la fraude par courriel en entreprise ne consiste pas à intenter une action en justice après coup, mais à mettre en place en amont un système de contrôle interne robuste. L’authentification multifacteurs, la double vérification des instructions de paiement, la vérification téléphonique des modifications d’IBAN, la configuration SPF-DKIM-DMARC, la formation des employés, la tenue de registres, les plans de réponse aux violations de données et les clauses de sécurité dans les contrats fournisseurs protègent l’entreprise contre la fraude et les risques de poursuites et de sanctions administratives qui en découlent.