Lexique · Sécurité des données
Protection des dirigeants
Démarche qui vise à réduire l'exposition numérique des dirigeants et des cadres clés d'une organisation (informations personnelles accessibles, comptes, adresses présentes dans des fuites) afin de limiter les attaques qui les ciblent ou usurpent leur identité, comme la fraude au faux ordre de virement ou le hameçonnage ciblé.
Ce que ça change pour une organisation
Les dirigeants et les cadres clés concentrent les pouvoirs de décision, de paiement et d’accès, ce qui en fait des cibles ou des identités à usurper. Cybermalveillance.gouv.fr décrit la fraude au faux ordre de virement (FOVI) comme une escroquerie parfois présentée comme émanant d’un dirigeant, avec un caractère urgent et confidentiel, qui vise à obtenir un virement non prévu vers un compte souvent situé à l’étranger. Le dispositif recommande de limiter la publication d’informations (site internet, réseaux sociaux) permettant d’identifier le personnel habilité à effectuer des virements, et de se doter de règles claires de vérification de l’émetteur ainsi que d’une procédure de validation hiérarchique interne non dérogeable.
L’exposition personnelle des dirigeants relève de la même logique. La CNIL rappelle que la combinaison d’éléments publics, comme une photographie, des données de géolocalisation ou une recherche d’image inversée, peut révéler où et quand une image a été prise et par qui. Elle conseille de vérifier et de régler les paramètres de confidentialité des applications utilisées et d’examiner ses propres photographies à la recherche de détails révélateurs. Dans la pratique, la protection des dirigeants consiste donc à auditer régulièrement ce qu’un tiers peut reconstituer à leur sujet (adresses électroniques apparaissant dans des fuites, informations personnelles accessibles, réseaux sociaux) et à encadrer les demandes inhabituelles qui prétendent émaner d’eux.
Exemple
Arup, cabinet britannique d’ingénierie, a confirmé en mai 2024 qu’un de ses employés à Hong Kong avait transféré 200 millions de dollars de Hong Kong (environ 20 millions de livres) à des fraudeurs après une visioconférence reposant sur des voix et des images falsifiées. La police de Hong Kong indiquait que l’employé avait été sollicité par des interlocuteurs se faisant passer pour des cadres supérieurs de l’entreprise, et Arup a précisé avoir signalé les faits à la police en janvier et qu’aucun de ses systèmes internes n’avait été compromis. L’attaque a donc visé la confiance accordée à l’identité de responsables, et non l’infrastructure informatique.
À ne pas confondre avec
- La fraude au faux ordre de virement : l’attaque elle-même, alors que la protection des dirigeants regroupe les mesures qui réduisent l’exposition dont elle se nourrit.
- Le hameçonnage ciblé : technique d’attaque qui adapte un message à une victime précise, souvent un responsable ; la protection des dirigeants cherche à en limiter les prétextes crédibles.
- L’empreinte numérique : l’ensemble des traces laissées en ligne, sur lesquelles agit la protection des dirigeants sans s’y réduire.
