Les gestionnaires de patrimoine et d'investissement britanniques vus par une analyse externe

Ce que nous avons relevé

Des mots de passe de salariés volés pour 35 des 184 sociétés étudiées, soit environ une sur cinq, figurent dans des collections criminelles d'identifiants : 953 enregistrements, en moyenne 27 par société touchée. La plupart ont été récupérés par des logiciels malveillants sur les propres appareils de particuliers ou proviennent de fuites d'autres sites web. Nous ne pouvons pas savoir si l'un d'eux fonctionne encore, et nous n'avons pas essayé, mais chaque société peut réinitialiser ces identifiants dès aujourd'hui.

Cinquante-trois sociétés ne demandent pas aux systèmes de messagerie destinataires de rejeter les e-mails falsifiés en leur nom ou de les classer en indésirables. Dans ce secteur, cela compte davantage que le chiffre ne le laisse penser. Un message qui semble provenir du conseiller d'un client, au sujet de son propre portefeuille, est le premier pas d'une fraude au changement de coordonnées bancaires, et ce paramètre ne coûte rien à publier.

Six sociétés apparaissent sur des sites de fuite de rançongiciels. Une mention est la revendication d'un groupe criminel et doit être rapprochée de la bonne entité et de la bonne date avant d'en tirer une conclusion. Deux sociétés indiquent une version logicielle correspondant à une faille figurant sur la liste publique des failles exploitées. Il s'agit dans les deux cas de la même faille, qui peut mettre un site web hors ligne mais ne donne aucun accès aux données.

Six sociétés ont un port à risque accessible sur une adresse utilisée uniquement par cette société, dont un serveur de base de données identifié et un serveur de transfert de fichiers. 14 autres cas se trouvent sur des adresses de fournisseurs partagées et sont présentés séparément, car seul le fournisseur peut les confirmer ou les fermer.

Il y a aussi de bonnes nouvelles. Aucune société ne présente d'enregistrement de fuite connu ni d'alerte de sécurité du navigateur, et 131 des 184 sociétés, soit 71 %, rejettent les e-mails falsifiés ou les classent en indésirables.

Comment lire les scores

150 sociétés ont un score exact, avec une moyenne de 71,2. 34 ont un score plancher, parce que leur site web a refusé un visiteur automatisé, ce qui est un contrôle de sécurité qui fonctionne plutôt qu'un défaut. En comptant ces derniers à leur valeur plancher, la moyenne sur les 184 est de 69,0. Les gestionnaires de patrimoine obtiennent en moyenne 70,4 et les gestionnaires d'investissement 72,2 en scores exacts. Les deux listes ont 21 sociétés en commun : cet écart n'est donc pas un classement. Neuf sites web n'ont produit aucun score exploitable et sont exclus.

Ce que c'est, et ce que ce n'est pas

Nous avons examiné le site web de chaque société de l'extérieur, comme n'importe quel client pourrait le faire. Nous ne nous sommes connectés nulle part, n'avons essayé aucun mot de passe et n'avons rien exploité. Rien ici ne signifie qu'une société a été piratée, rien ici n'est un jugement de conformité, et le rapport ne nomme aucune société. Les 75 696 enregistrements de clients liés à 102 sociétés appartiennent à des membres du public dont les propres appareils ont été infectés. Il ne s'agit pas d'une fuite provenant d'une société.

Par où commencer

Réinitialisez et protégez tous les identifiants de salariés trouvés dans des collections criminelles, avec l'authentification multifacteur. Publiez une politique de messagerie qui rejette les e-mails falsifiés ou les classe en indésirables. Fermez ou restreignez tout port de base de données ou de transfert de fichiers accessible depuis Internet, et appliquez le correctif contre HTTP/2 Rapid Reset.