Des inconnus envoient des courriels frauduleux au nom de bexio, redirigeant les destinataires vers des sites web de contrefaçon qui n'ont rien à voir avec bexio. Les utilisateurs y sont invités à saisir leurs identifiants. Dans certains cas, les attaquants ont réussi à se connecter à des comptes clients, à manipuler des numéros IBAN sur des factures ou à consulter des données d'adresse. Les systèmes et l'infrastructure de bexio n'ont pas été compromis. Tous les clients de bexio sont informés. bexio est en contact direct avec les personnes concernées.
"Nous regrettons vivement la pression que ces incidents exercent sur les personnes concernées", déclare Markus Naef, CEO de bexio. "Nous aidons activement les personnes concernées à traiter les incidents et à prendre les mesures nécessaires auprès des autorités. La sécurité des données de nos clients est notre priorité absolue." L'authentification à deux facteurs, jusqu'à présent une fonction optionnelle recommandée pour les clients, devient désormais une norme obligatoire chez bexio pour protéger tous les clients.
Les courriels de phishing n'ont rien à voir avec bexio.
- Ces courriels de phishing ne sont pas envoyés par bexio. - Les adresses e-mail utilisées par les inconnus ne proviennent pas de bexio. Aucune donnée client de bexio n'a été divulguée à l'extérieur. Les courriels de phishing sont envoyés au hasard.
Comment distinguer les vrais messages de bexio des faux:
- Souvent, les liens permettent de discerner qu'ils mènent à des sites internet qui n'ont rien à voir avec bexio. - Une page d'information centrale de bexio explique en détail comment distinguer les vrais messages des tentatives de phishing.
Actions entreprises par bexio:
- bexio a signalé l'attaque de phishing à l'Office fédéral de la sécurité cybersécuritaire (BACS) et au Préposé fédéral à la protection des données et à la transparence (PFPDT). Le BACS informe le fournisseur d'hébergement web responsable et le registraire pour bloquer le site ou le domaine. De plus, le BACS informe les fournisseurs de listes de blocage. S'il s'agit d'un domaine .ch ou .swiss, le BACS peut faire bloquer le site directement. - L'authentification à deux facteurs, jusqu'à présent une fonction optionnelle pour les clients de bexio, devient une norme obligatoire. Pour accompagner au mieux les utilisateurs dans la mise en place de cette nouvelle norme, les capacités du support bexio ont été renforcées à court terme. - En tant que mesure de sécurité établie, bexio informe automatiquement les titulaires de compte lorsqu'une modification importante - comme le changement d'un IBAN - est effectuée dans le système.
Comment se protéger des attaques de phishing:
- Les liens ou pièces jointes suspectes dans les courriels ne doivent pas être cliqués. - En cas de doute, les clients contactent directement le service client de bexio pour vérifier un message reçu.
Que faire en cas de divulgation involontaire de données client:
- Les clients ayant communiqué leur mot de passe doivent le changer immédiatement pour tous les services où ils l'utilisent. Un mot de passe unique et fort est recommandé pour chaque service en ligne. - Si un mot de passe de courrier électronique a été divulgué, tous les mots de passe des fournisseurs de services web liés à ce compte doivent également être réinitialisés. - Si un dommage financier est subi ou si des données personnelles sont divulguées involontairement, l'Office fédéral de la sécurité cybersécuritaire (BACS) recommande de porter plainte auprès de la police locale. Le site de Suisse ePolice répertorie les postes de police à proximité immédiate. - bexio conseille également à tous ses clients de vérifier régulièrement les numéros IBAN des fournisseurs et leurs propres projets de factures à titre préventif.