You Didn’t Get Phished — You Onboarded the Attacker

L’usurpation d’identité par le recrutement : une nouvelle menace d’infiltration

Les organisations sont de plus en plus confrontées à des acteurs malveillants qui s’infiltrent non pas par des emails de phishing, mais en se faisant embaucher comme employés légitimes. Ce phénomène, facilité par le travail à distance et les avancées en matière d’IA pour créer des identités falsifiées, permet aux attaquants d’obtenir un accès interne précieux.

Points clés :

• L’essor du travail à distance a éliminé les périmètres physiques et créé de nouvelles opportunités pour les fraudes à l’embauche.
• Les techniques d’IA comme les deepfakes et les profils générés par IA permettent aux faux candidats de passer les processus de vérification.
• Des acteurs étatiques, comme la Corée du Nord, utilisent ces tactiques pour infiltrer des entreprises et voler des données ou des salaires.
• La sur-sécurisation de type “château fort et douves” nuit à la productivité et peut créer des failles internes.

Vulnérabilités :

• Les processus de recrutement et de vérification ne sont pas toujours suffisamment robustes pour détecter les identités falsifiées, notamment avec l’aide de l’IA.
• Les accès par défaut et permanents accordés aux employés peuvent être exploités par des acteurs infiltrés.

Recommandations :

• Adopter une approche de Privilèges Permanents Nuls (Zero Standing Privileges - ZSP) :
  • Accès par défaut minimal requis.
  • Accès Juste-à-Temps (JIT) et Juste-assez-Privilège (JEP) pour les tâches spécifiques, révoqués après utilisation.
  • Audit et traçabilité complets de toutes les actions d’accès.
• Inventaire et bases de référence : Centraliser les identités, définir des minimums basés sur les rôles, supprimer les droits obsolètes.
• Processus Requête-Approbation-Suppression : Automatiser ou simplifier la gestion des demandes d’accès avec contexte (qui, pourquoi, étendue, durée) et révocation automatique.
• Garde-fous : Imposer des sessions limitées dans le temps, des portées de privilèges restreintes et des procédures de “break-glass” contrôlées.
• Mettre en place des journaux d’audit complets et exportables.
• Commencer par des pilotes ZSP sur des systèmes sensibles pour démontrer l’alignement entre sécurité et productivité.

Source