L’IA, devenue omniprésente, va jusqu’à redéfinir ce qu’est la nature de la cybercriminalité et ses orientations. Pour autant, un élément reste constant : l’humain. Pour les cybercriminels, l’insider demeure une ressource indispensable. Il est une personne qui œuvre au sein d’une entreprise ciblée par des cybercriminels. Il peut s’agir d’un collaborateur ou d’un prestataire dont l’accès légitime aux systèmes et données d’entreprise permet d’agir au détriment de la sécurité de l’entreprise.
Durant deux ans, les équipes de TrendAI ont constaté que le recours aux insiders a gagné en maturité, instituant un marché avec des brokers qui rétribuent les complices internes selon une grille tarifaire définie, des accords de partage de profits, des bonus de parrainage et des partenariats durables.
Cette étude donne des exemples d’annonces et de services identifiés dans l’économie souterraine, ainsi que des cas réels, montrant comment l’accès et les informations fournis par des insiders peuvent aboutir à des exactions criminelles documentées.
Voici une synthèse des conclusions et des tendances observées par secteurs d’activité : secteur public, administrations, soins de santé, réseaux sociaux, télécom, finance, production industrielle & énergie, retail, et transport & logistique.
Les principaux points à retenir :
• Le recrutement d’insiders fait désormais partie d’une économie souterraine structurée. Brokers, services de tiers de confiance et partenariats prolifèrent ouvertement sur des forums et canaux Telegram.
• Les profils les plus recherchés sont ceux qui peuvent agir sur les workflows, au-delà d’accéder au système. Les criminels recherchent des employés capables d’approuver des transactions, de restaurer des comptes, de contourner les contrôles anti-fraude et d’autoriser des actions que des attaquants ne pourraient pas effectuer de manière crédible depuis l’extérieur.
• Les services adossés aux initiés deviennent des commodités.Réactivation de comptes bannis sur les réseaux sociaux, fraudes au remboursement, SIM swapping, suivi des mises à jour et restaurations de comptes : tout se vend à prix fixés, avec des délais de réalisation et des programmes de revente.
• L’IA est la prochaine cible. Poids de modèles, données d’entraînement propriétaires, accès privilégiés : la demande pour des insiders capables d’exfiltrer ces informations s’annonce robuste.
Focus sectoriels
Secteur public : la vente d’accès clés en main facilitée par des insiders
Des insiders commercialisent des accès « as a service », redéfinissant ainsi la totalité de la chaîne d’intrusion dans les organismes publics. En effet, un seul achat permet aux cybercriminels de se passer de l’étape de l’intrusion initiale. Ainsi, les accès obtenus via des insiders sont particulièrement efficaces et comptent parmi les plus délétères du marché.
Administration d’État : la ressource la plus rare, les enjeux les plus élevés
Les insiders évoluant dans des instances gouvernementales sont rares. Ils sont peu mentionnés dans l’étude, probablement en raison de doutes sur leur crédibilité, d’une demande limitée ou de recrutements qui s’opèrent via des canaux privés difficiles à surveiller. Dans ce contexte, les rares annonces identifiées mentionnent des tarifs très élevés et portent essentiellement sur des accès sensibles et des renseignements d’ordre étatique.
Soins de santé : les dossiers de patients ont un prix
Le secteur des soins de santé subit des menaces internes sur deux fronts. D’un côté, des collaborateurs détournent ou modifient discrètement des dossiers médicaux, sans possibilité de les restaurer. De l’autre, certains experts en cybersécurité censés protéger les hôpitaux contre le ransomware vont jusqu’à collaborer en secret avec des assaillants, au détriment de leur client/employeur.
Réseaux sociaux : un marché basé sur la confiance
Les insiders opérant dans les réseaux sociaux sont recrutés pour valider des publicités frauduleuses, rétablir des comptes bannis ou manipuler les opérations de vérification et de suppression. La confiance est la monnaie de ces réseaux tandis que les prix évoluent ouvertement selon la demande. Les exactions peuvent perdurer même après le licenciement d’insiders impliqués.
Télécom : pirater les processus de sécurité
Les insiders évoluant chez les opérateurs télécoms constituent un profil parmi les plus recherchés et les mieux payés. Un collaborateur corrompu peut réaliser un SIM swapping qui contourne l’authentification 2FA par SMS et permet un accès aux emails, comptes bancaires et portefeuilles crypto des victimes ciblées.
Finance : le coût exorbitant des accès bancaires
Dans ce secteur, l’insider est un maillon essentiel des fraudes d’envergure : il peut approuver des paiements, extraire des données clients et de transaction et désactiver des mesures de contrôle antifraudes. En parallèle, d’autres insiders peuvent gérer le piratage physique par skimming des distributeurs automatiques (ATM) et des terminaux de paiement, ainsi que des financements frauduleux.
Production industrielle & énergie : le skimming à la pompe
Ce secteur est le moins ciblé. Les insiders recrutés relèvent souvent de profils permettant des opérations de skimming clés en main : les criminels disposent du matériel et du savoir faire, mais ils doivent recruter des employés de stations service pour obtenir l’élément majeur qui leur fait défaut : un accès physique et discret aux terminaux de paiement.
Transport & logistique : contrôler le scan pour contrôler l’argent
Dans la fraude logistique, tout repose sur le contrôle d’un point de données essentiel : le scan de tracking. Cette opération est considérée comme étant de confiance par les marketplaces, vendeurs et acheteurs. Un insider qui mentionne qu’un produit scanné a été « Livré » peut déclencher un paiement frauduleux. Dans le même esprit, un « Retour à l’expéditeur » factice peut annuler une vente légitime. Ainsi, la demande pour des complices travaillant chez des transporteurs est robuste.
Retail : le remboursement sans limite
La fraude au remboursement s’est professionnalisée. Au cœur des grandes enseignes de la distribution, des collaborateurs sont recrutés pour valider des remboursements frauduleux tout en laissant la marchandise au client tandis les intermédiaires prennent leur commission pour chaque transaction de ce type. Listes de prix fixes, opérateurs identifiés et relations récurrentes donnent lieu à un écosystème structuré, sans plafond de valeur pour les commandes.
Vendre la crédibilité des plateformes d’avis et de réputation
Sur une plateforme de réputation, la note est le produit. Un insider capable de supprimer un avis négatif, de rétablir un hôte banni ou de gonfler un score vend la crédibilité même de cette plateforme. À la clé, un dommage majeur qui met à mal la confiance de tous les utilisateurs. Un segment du marché souterrain criminel porte sur la vente de services de réactivation de comptes bannis et de suppression d’avis négatifs sur des plateformes comme Airbnb.
Le rapport complet détaille l’économie souterraine du recrutement d’insiders par secteur d’activité. Il se penche sur les grilles tarifaires en vigueur, les annonces sur les forums et des cas réels. Il livre également des recommandations concrètes pour les équipes de sécurité et de lutte contre la fraude.
Cette étude en témoigne : au-delà des accès, ce que les cybercriminels valorisent le plus est l’autorité et la confiance. Certes, les attaques sophistiquées font la une de l’actualité, mais la voie la plus efficace pour s’introduire dans une entreprise est moins de pirater un accès au niveau du périmètre réseau que de s’offrir les services d’un collaborateur bien placé. Alors que l’IA dope la valeur des données propriétaires et des accès privilégiés, ce marché, loin de disparaître, devrait poursuivre son développement.
Pour lire l’intégralité du rapport, cliquez ici.
https://cdn.sanity.io/files/ch6z6vqj/production/e5f0dae87639820187900ee3e037357ab429a0f9.pdf
À propos de TrendAI™
TrendAI™, leader mondial de la sécurité de l’IA et entité B2B de Trend Micro™, offre aux organisations une visibilité complète grâce à l’IA et une sécurité consolidée qui inspire confiance, stimule l’innovation et élimine les risques. Reconnu par les plus grandes entreprises et administrations publiques dans 185 pays, TrendAI™ sécurise l’ensemble de l’organisation, des identités à l’infrastructure en passant par les données. Avec TrendAI, utilisez l’IA sans crainte.
Pour plus d’informations sur les produits et services TrendAI : www.trendaisecurity.com
Sur LinkedIn : https://www.linkedin.com/company/trendai-security
