Tous les e-mails frauduleux ne contiennent pas une pièce jointe malveillante ou un lien suspect. Dans le cas notamment du Business Email Compromise (BEC) ou de la « fraude au président » (CxO Fraud), les attaquants utilisent plutôt le langage comme moyen de pression : ils demandent un virement, communiquent de nouvelles coordonnées bancaires ou poussent les destinataires à contourner les procédures de validation établies. Avec Retarus Deep Content Analysis, nous avons étendu la détection des fraudes BEC et CxO à ces e-mails dépourvus de charge malveillante ou n’en contenant que très peu.
Identifier les tentatives de fraude à partir du contenu et du contexte
Jusqu’à présent, la difficulté était que ces messages ne présentaient souvent aucune anomalie technique. Leur risque réside plutôt dans leur contenu, voire uniquement dans leur contexte. Cette méthode est désormais connue, mais le danger demeure : les attaquants se font passer pour un dirigeant, un partenaire commercial ou une autre personne de confiance. Ils mettent les destinataires sous pression, exigent la confidentialité ou les invitent à se reconnecter à un compte pour saisir leurs identifiants.
Deep Content Analysis ne se limite donc pas à l’évaluation de caractéristiques techniques isolées. Une analyse pondérée fondée sur des règles combine les informations relatives au contexte du destinataire, à l’objet et au contenu du message avec des signaux de sécurité et d’authentification. Elle peut notamment prendre en compte les références aux identifiants de connexion et aux données de paiement, ou des formulations suggérant l’urgence ou le secret. Les statuts SPF, DKIM et DMARC, les caractéristiques Unicode et les homoglyphes ainsi que la réputation de l’expéditeur peuvent également jouer un rôle.
Combiner intelligemment plusieurs indicateurs
L’essentiel réside dans la combinaison de plusieurs indices. Un message contenant une demande de connexion n’est pas automatiquement frauduleux. En revanche, lorsqu’une invitation à se connecter, des coordonnées bancaires et une urgence suggérée se cumulent, l’ensemble est bien plus révélateur que chaque indice pris séparément.
L’évaluation reste traçable : les règles et signaux individuels peuvent être reliés à des déclencheurs précis et consultés dans les Threat Details. Les équipes de sécurité comprennent ainsi mieux pourquoi un message a été jugé suspect.
Protection des données et configuration
Selon les besoins et le profil de risque individuel, cette fonctionnalité peut être adaptée au niveau du client, du domaine ou de l’utilisateur. Malgré la profondeur de l’analyse, la protection des données reste naturellement une priorité absolue pour Retarus. Elle a été prise en compte dès la conception de Deep Content Analysis. Si vous souhaitez utiliser ces nouvelles fonctionnalités dans votre solution Email Security, adressez-vous à votre interlocuteur Retarus habituel.
Publier un commentaire