Peu importe leur taille, toutes les entreprises sont vulnérables aux menaces par email, mais elles le sont de différentes manières.
Les grandes entreprises, qui comptent de nombreuses boîtes emails et un grand nombre d’employés, offrent aux attaquants davantage de points d’entrée potentiels, de canaux de communication multiples pour diffuser des contenus malveillants à l’ensemble de l’entreprise.
Le « phishing » latéral représente donc un peu moins de la moitié (42 %) des menaces par email contre les entreprises de 2 000 salariés ou plus, mais il représente seulement 2 % des attaques contre les entreprises de moins de 100 salariés.
Phishing externe
Cette technique consiste à envoyer des attaques à différentes boîtes emails de l’entreprise à partir d’un compte interne déjà compromis explique Barracuda dans son rapport « Threat Spotlight ».
Les conclusions de ce rapport, basées sur une analyse des attaques par email ciblées entre début juin 2023 et fin mai 2024, montrent que les petites entreprises sont les plus susceptibles d’être touchées par des attaques de phishing externe.
Celles-ci représentent 71 % des menaces par email en 12 mois, contre 41 % pour les plus grandes entreprises. Les petites entreprises sont en effet moins susceptibles d’avoir mis en place une sécurité multicouche, et peuvent avoir plus de mal à configurer les filtres de messagerie à cause d’un manque de compétences et de ressources internes.
Formations
De plus, les TPE-PME subissent environ trois fois plus d’attaques d’extorsion que les grandes entreprises. Ces dernières représentent 7 % des incidents dirigés contre les plus petites entreprises, et 2 % pour celles d’au moins 2 000 salariés.La prédominance des attaques de type « Business email compromise » (BEC) et des détournements de conversation reste relativement constante, et ce, quelle que soit la taille de l’entreprise.
Il est donc important d’organiser régulièrement une formation de sensibilisation à la sécurité auprès des salariés, notamment sur le « phishing » latéral, afin d’informer et d’alerter le plus de salariés possible pour qu’ils puissent facilement repérer les emails suspects.
