Mémoire sur la mise en place et la sécurisation d'un système de messagerie électronique

IV.1.2. Les atteintes à l'infrastructure et au système d'information

- Programmes malveillants :

La messagerie permet d'introduire les fichiers dans un ordinateur donc c'est un bon vecteur de diffusion des programmes malveillants (Virus, Cheval de Troie, Spyware, etc.) on a trois types d'attaque :

· L'introduction d'un virus par le biais d'une pièce jointe, en contenant des instructions exécutables avec extension (.exe, .dll, .bat, .vbs, ...) ;

· L'introduction d'un code malicieux dans le corps du message, lorsque celui-ci est dans un format de page web incluant des scripts ;

· L'introduction des faux virus (hoax) qui propagent de fausses informations ou qui font perdre inutilement le temps de lecture aux destinataires.

- Spam :

Le spam est l'opération qui consiste à inonder les boîtes aux lettres (BAL) de courriers indésirables et non sollicités, leur but est soit la publicité pour les sites marchands plus ou moins recommandables, soit simplement de nuire aux systèmes de messagerie par saturation des réseaux et des BAL (mail bombing).

- L'interruption de service :

C'est l'indisponibilité du service de messagerie alors qu'elle fait partie intégrante du processus de l'entreprise, elle peut être accidentelle ou malveillante (panne, destruction de locaux, déni de service), elle peut provenir d'une inscription en Black-list suite à des attaques opérées à partir des serveurs de l'entreprise.^24(*)

IV.1.3. Les atteintes à l'organisation

- Accomplissement d'actes frauduleux par la messagerie : c'est l'utilisation de la messagerie à des fins d'extorsion, de racket ou de chantage entraînant des préjudices pour l'entreprise (pertes financières, atteinte à l'image de l'entreprise, divulgation d'information confidentielles, etc.)

- Phishing ou Hameçonnage : c'est une technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d'identité, il consiste à faire croire à la victime qu'elle s'adresse à un tiers de confiance, banque, administrateur, etc. enfin de lui soutirer des renseignements personnels notamment à partir de mot de passe, numéro de carte bancaire, date de naissance, etc. c'est une forme d'attaque informatique reposant sur l'ingénierie sociale.^25(*)

* ²⁴ Club de la sécurité des systèmes d'information Français, Op. cit.

* ²⁵ Club de la sécurité des systèmes d'information Français, Op. cit.