« Attention, ne répondez pas à cette offre d’emploi, c’est une arnaque. » Campagne de recrutement originale ? Pas vraiment. Sur les réseaux sociaux, des candidats alertent régulièrement sur des offres frauduleuses dont ils ont été victimes. En y répondant, ils envoient aux escrocs un certain nombre de données personnelles qui seront revendues grassement sur le dark web. Ou font parfois l’objet d’extorsion, le faux recruteur exigeant sous des prétextes fallacieux un paiement qui servira ensuite ensuite à siphonner les comptes du candidat malheureux. Un fléau pour les (vraies) entreprises dont le nom est usurpé pour procéder à ces arnaques. « Ces arnaques mêlent ingénierie sociale et intelligence artificielle pour produire du contenu qui ressemble à s’y méprendre à du contenu légitime », souligne Laurent Sarralangue, directeur du renseignement au sein du cabinet Semkel.
Avec l’approche de grands événements sportifs dans l’Hexagone, les entreprises voient fleurir ce type d’escroqueries. Et aucune n’est à l’abri. « Les grandes entreprises sont forcément la cible de ces procédés, comme elles le sont des contrefaçons. Mais les PME en sont également victimes, parce que si les escrocs veulent passer sous les radars, PME et ETI sont les cibles idéales », note Benoît Grunemwald, expert Cybersécurité d’Eset France. D’autant plus lorsqu’elles sont sous-traitantes de grands comptes…
Surveiller l’utilisation en ligne du nom de l’entreprise
Pour s’en prémunir, aucune solution : « à partir du moment où une entreprise a une présence en ligne, le risque zéro n’existe pas », prévient Benoît Grunemwald. Mais quelques mesures élémentaires permettent de limiter le risque. D’abord, « effectuer une veille sur l’image et l’empreinte de l’entreprise sur tous les Internets », énonce Laurent Sarralangue. « Si l’entreprise dispose d’un service juridique en charge de la recherche de contrefaçons, la meilleure solution consiste à le synchroniser avec les RH pour inclure les campagnes de recrutement dans sa veille », conseille Benoît Grunemwald. Dans les PME, il s’agira pour la personne référente de créer des alertes sur les différents réseaux sociaux et moteurs de recherche de sorte à surveiller la présence en ligne de la marque.
Ensuite : sensibiliser et compter sur les salariés. « Demander aux employés, qui sont présents et actifs sur les réseaux sociaux, de repérer et de signaler les campagnes de recrutement prétendument lancées par l’entreprise. Cela permet d’accroître leur sensibilisation à la cybersécurité tout en créant un rempart », conseille Benoît Grunemwald. Pour l’entreprise, il s’agit de faire d’une pierre deux coups !
Entamer les démarches adéquates
Du côté des entreprises victimes d’usurpation, il s’agit de réagir rapidement. D’abord « entamer une procédure de signalement, facilement accessible sur tous les réseaux sociaux ou sites de petites annonces », rappelle Laurent Sarralangue. Le but ? « Réduire la visibilité de l’escroquerie » et limiter le nombre de victimes potentielles – et donc le préjudice pour la marque employeur de l’entreprise concernée.
Puis « capturer un maximum d’informations », poursuit Benoît Grunemwald. Ceci afin de nourrir la troisième étape : « porter plainte ». « Pas de plainte, pas d’enquête. Pas d’enquête, pas d’arrestation », souligne l’expert. Pour donner une chance à la procédure d’aboutir, mieux vaut donc récupérer tout le matériel possible, à commencer par des captures d’écran de l’usurpation. Et pas question de prétexter un préjudice faible pour s’éviter une plainte. À l’échelle de l’écosystème, c’est peut-être ce signalement qui fera toute la différence en évitant à d’autres entreprises de se faire à leur tour usurper !
