Mazars analyse le piratage du groupe Vinci.

AVIS D’EXPERT

Le groupe Vinci a fait l’objet d’un hacking, qui a fortement déstabilisé le groupe et eu des conséquences sur les marchés financiers. La méthode était des plus simples. Se faisant passer pour le groupe Vinci, des individus ont fait parvenir un faux communiqué de presse annonçant des difficultés financières pour l’entreprise de BTP, mardi 22 novembre. Son cours en Bourse a immédiatement chuté. Le texte annonçait à la fois le licenciement du directeur financier de Vinci, ainsi que la révision des comptes pour l’année 2015 et le premier semestre 2016. De mauvaises nouvelles qui laissaient supposer des difficultés économiques pour l’entreprise. Cette fausse annonce a été envoyée à plusieurs médias, dont l’AFP, puis reprise par l’agence Bloomberg spécialisée dans l’actualité économique et financière.

Mazars, le groupe d’audit, d’expertise et de conseil, revient sur cette nouvelle attaque subie par une entreprise, d’un genre un peu différent celle-ci. En effet, selon François Nogaret, associé chez Mazars, celle-ci présente des particularités par rapport à ce que nous connaissons régulièrement depuis plusieurs mois, et appelle 3 commentaires : Le premier est que ce procédé est assez nouveau et constitue une variante de la « fraude au Président » à l’envers : le hacker ne s’est pas introduit dans l’entreprise pour se faire passer pour un dirigeant, mais s’est fait passer pour l’entreprise, auprès des médias. Le moyen utilisé est donc une variante d’un procédé bien connu. Mais assez peu fréquent jusqu’alors.

Le deuxième est que cette forme d’attaque doit attirer l’attention sur un fait : la sécurité liée à une information financière publiée est primordiale. Les sites qui fournissent ce type d’informations sont parfois les parents pauvres de la protection cyber, parce qu’ils n’hébergent pas de transactions commerciales, ou ne voient pas transiter de fonds. Or, communiquer une information falsifiée au marché peut être tout aussi préoccupant que faire l’objet d’un détournement de fonds. Cet épisode en est la preuve.

Le troisième est qu’on est jamais trop prudent ; l’adresse e-mail qui figurait sur les e-mails transmis ne reflétait pas la syntaxe des adresses du mail du Groupe Vinci qui revêtent la forme xxx@vinci.com : « vinci.group », puis « vinci-group.com » dans les 2 faux mails. Ces 2 anomalies auraient dû alerter l’attention du lecteur ! L’attaque en question ne constitue pas au final une « cyber attaque » au sens habituel du terme, dans la mesure où elle n’a fait appel à aucun procédé technique complexe ou particulier. Il s’est simplement agi d’une manipulation frauduleuse plus classique que cyber.