Les family offices britanniques vus par une analyse externe

Ce que nous avons relevé

Quatre-vingt-un des 128 family offices étudiés, soit 63 %, ne demandent pas aux systèmes de messagerie destinataires de rejeter les e-mails falsifiés en leur nom ou de les classer en indésirables, et 45 d'entre eux ne publient aucune instruction exploitable. Seuls 20 demandent un rejet pur et simple. Un family office existe pour exécuter des instructions écrites de transfert de fonds familiaux, ce qu'imite précisément une fraude au changement de coordonnées bancaires. Ce paramètre ne coûte rien à publier, et 122 des 128 ont déjà fait le travail préparatoire en publiant un enregistrement indiquant quels serveurs peuvent envoyer leurs e-mails.

Quinze sociétés ont un port à risque accessible depuis Internet qui est imputable à la société elle-même. Sur cinq d'entre elles, un produit de base de données a été identifié, et toutes les cinq se trouvent sur des serveurs d'hébergement partagés qui hébergent aussi les sites web d'autres organisations. 12 autres cas se trouvent sur des adresses de fournisseurs partagées sans rien d'identifié, et sont présentés séparément car seul le fournisseur peut les confirmer ou les fermer. Vingt-six des 27 cas comprennent une connexion de transfert de fichiers : l'essentiel se résume donc à une seule question pour une poignée d'hébergeurs.

Quatre sociétés indiquent une version logicielle correspondant à une faille figurant sur la liste publique des failles exploitées. Celle à vérifier en premier est une faille du serveur web Apache qui peut exposer des fichiers et, dans certaines configurations, permettre l'exécution de code. Deux concernent une faille qui ne peut que mettre un site web hors ligne, et une concerne du code transmis aux navigateurs des visiteurs. Une société est citée sur des sites de fuite de rançongiciels par trois groupes différents. Une mention est la revendication d'un groupe criminel et doit être rapprochée de la bonne entité et de la bonne date avant d'en tirer une conclusion.

Les mots de passe volés sont la surprise. Les collections criminelles d'identifiants n'ont renvoyé aucun enregistrement de compte de salarié ni de compte client pour aucune des 128 sociétés, et seulement cinq enregistrements isolés concernant des identités de salariés sur d'autres plateformes. Cela reflète de petites structures avec peu de salariés et sans portail client plutôt qu'une preuve de sécurité, et cela ne dit rien des comptes de messagerie personnels ni des appareils personnels par lesquels passe souvent le travail d'un family office.

Il y a aussi de bonnes nouvelles. Aucune société ne présente d'enregistrement de fuite connu ni d'alerte de sécurité du navigateur, les certificats sont en bon ordre avec un seul défaut sur les 128, et 113 n'acceptent que le chiffrement moderne.

Comment lire les scores

113 sociétés ont un score exact, avec une moyenne de 60,7, contre 71,2 pour les gestionnaires de patrimoine britanniques dans notre rapport du 1er octobre. Onze atteignent la tranche « bon » de 75 ou plus et 18 se situent dans la tranche « à risque », en dessous de 50. Quinze ont un score plancher, parce que leur site web a refusé un visiteur automatisé, ce qui est un contrôle de sécurité qui fonctionne plutôt qu'un défaut. En comptant ces derniers à leur valeur plancher, la moyenne sur les 128 est de 59,5. Quatre sites web n'ont produit aucun score exploitable et sont exclus.

Ce que c'est, et ce que ce n'est pas

Nous avons examiné le site web de chaque société de l'extérieur, comme n'importe quel client pourrait le faire. Nous ne nous sommes connectés nulle part, n'avons essayé aucun mot de passe et n'avons rien exploité. Rien ici ne signifie qu'une société a été piratée, rien ici n'est un jugement de conformité, et le rapport ne nomme aucune société. De nombreux single family offices ne relèvent pas de la réglementation de la FCA, et le rapport ne se prononce pas sur le statut réglementaire d'une société.

Par où commencer

Recensez chaque système qui envoie des e-mails au nom de la structure, puis publiez une politique de messagerie qui passe de la surveillance au classement en indésirables, puis au rejet. Demandez à l'hébergeur quels ports sont censés être accessibles, et fermez le transfert de fichiers ou imposez-y le chiffrement. Confirmez la version logicielle derrière toute correspondance avec la liste des failles exploitées, en commençant par Apache. Publiez une courte politique de divulgation des vulnérabilités pour que quiconque découvre un problème puisse le signaler en privé.