Qu'est-ce que le phishing et comment défendre votre entreprise ?

Il existe de nombreux types de cyberattaques que les pirates utilisent pour s'emparer d'informations, de fichiers et d'autres biens appartenant à des particuliers ou à des entreprises. Il est essentiel de s'en protéger.

Alors que les solutions de cybersécurité deviennent plus efficaces que les types d'attaques traditionnels, les pirates informatiques tirent parti de la nature humaine des utilisateurs pour contourner les mesures de sécurité.

Définition : Qu'est-ce que le phishing ?

Le « phishing » (prononcé « fishing ») est un type d'attaque d'ingénierie sociale visant à inciter les utilisateurs à divulguer des informations sensibles, telles que leurs identifiants de connexion, leurs numéros de compte bancaire ou leurs droits d'accès à des systèmes informatiques. Ces attaques se présentent généralement sous la forme d'un e-mail ou d'un SMS imitant des marques ou des utilisateurs légitimes.

Bref historique des attaques de phishing

Au début des années 1990, les utilisateurs avaient besoin d'une connexion "dial-up" pour accéder à l'internet et AOL était l'un des plus grands fournisseurs de services. En raison de sa popularité, il est devenu une cible de choix pour les pirates informatiques et a servi de couverture aux premières attaques par hameçonnage.

En 1995, "AOHell" a été créé pour voler les mots de passe des utilisateurs et utiliser des algorithmes pour créer des numéros de cartes de crédit aléatoires. Il imitait les employés et les administrateurs d'AOL en demandant aux utilisateurs de donner accès à leurs identifiants de connexion dans le cadre de vérifications et d'audits du système.

Au début des années 2000, les attaquants se sont intéressés aux systèmes financiers. Dès 2003, les hameçonneurs ont commencé à enregistrer des noms de domaine qui étaient de légères variations de sites commerciaux légitimes, comme eBay et PayPal, et à envoyer des courriers de masse demandant aux clients de visiter les sites, d'entrer leurs mots de passe et de mettre à jour les informations relatives à leurs cartes de crédit.

En septembre 2013, le ransomware Cryptolocker a infecté 250 000 ordinateurs personnels, ce qui en fait le premier logiciel malveillant cryptographique diffusé par téléchargement à partir d'un site web compromis.

Les hameçonneurs commencent à adopter HTTPS avec des campagnes d'hameçonnage de cartes-cadeaux à partir de 2018, puis évoluent vers la compromission des courriels des vendeurs en 2019.

En 2020, 74 % des organisations aux États-Unis ont subi une attaque de phishing réussie.

Aujourd'hui encore, les attaques se multiplient et représentent un risque réel pour les particuliers et les entreprises du monde entier. C'est pourquoi il est important de connaître les cyberattaques et d'y remédier.

Techniques courantes d'hameçonnage : sentiment d'urgence

• Courriels provenant de fausses entreprises et demandant des informations personnelles ou sensibles.

• Emails provenant de fausses institutions financières demandant des numéros de comptes bancaires et des mots de passe.

• Courriels d'agences gouvernementales demandant des informations personnelles.

• Messages sur les médias sociaux vous demandant de vous connecter avec votre nom d'utilisateur et votre mot de passe.

Exemples d'attaques par hameçonnage

Faux sites web et identifiants de connexion

L'une des formes les plus courantes d'attaques par hameçonnage consiste à envoyer des courriels imitant des services courants tels que Netflix. Cette technique a été utilisée à plusieurs reprises et signalée par la police et les services de sécurité du monde entier.

Il s'agit d'une tactique assez simple qui mise sur la confiance, puisque les utilisateurs connaissent déjà la marque. Elle crée également un sentiment d'urgence en suggérant que votre compte est en attente. En réalité, il s'agit d'un faux courriel qui renvoie à un faux site web où vous pouvez "mettre à jour" les données de votre carte. Une fois que vous avez mis à jour les détails, vous venez de les transmettre à l'attaquant qui peut alors les utiliser à sa guise.

Confiance, urgence, objectif clair. Ces tactiques sont à la base de toutes les attaques de phishing réussies.

Les différents types d'attaques par hameçonnage

Il existe de nombreux types d'attaques, mais elles ont toutes un point commun : elles tentent d'amener la victime à partager ses informations personnelles. Il existe cependant plusieurs moyens d'y parvenir, des courriels suspects aux messages textuels, les hameçonneurs essaieront de vous piéger de toutes les manières possibles.

Spear Phishing

Le spear phishing est un type d'hameçonnage ciblé qui consiste à tenter de tromper une personne ciblée pour lui faire partager l'accès à des informations d'identification ou à des informations sensibles. Par rapport à des types d'attaques de phishing plus courants, qui sont sans discernement et visent de grands groupes de personnes, le spear phishing est un type de phishing ciblé.

Les attaquants se font passer pour une personne que la cible connaît bien ou pour une organisation qu'elle connaît bien. Un bon exemple de spear phishing est celui d'un pirate qui se fait passer pour le PDG de l'entreprise d'un utilisateur cible. Il usurpe l'adresse électronique du PDG, puis prétend que ses identifiants de connexion ne fonctionnent pas et demande à la cible de partager les siens afin de pouvoir les utiliser pour accéder à un fichier ou à des données.

Il peut y avoir des contraintes de temps supplémentaires pour ajouter un sentiment d'urgence, par exemple une réunion du conseil d'administration ou une conférence de presse. Comme l'utilisateur cible connaît le PDG ou travaille dans cette entreprise, il peut être confiant et, compte tenu de la pression temporelle, il peut ne pas vérifier les signaux d'alerte aussi minutieusement que possible.

Ces attaques sont généralement élaborées après que la cible a fait l'objet d'une recherche, ce qui permet d'obtenir une attaque plus pertinente sur le plan personnel.

Phishing par courriel de la chasse à la baleine

Le whaling phishing est une forme d'attaque par hameçonnage qui se concentre sur une cible de grande valeur ou sur un employé de haut rang au sein d'une organisation. Ces attaques sont plus détaillées que les courriels d'hameçonnage génériques car elles ciblent une personne, contiennent normalement des informations personnalisées et sont souvent rédigées avec une solide compréhension du langage des affaires. Ces caractéristiques peuvent les rendre très difficiles à repérer et font que des employés de haut rang sont régulièrement incités à transférer des fonds, des données sensibles ou à déclencher des logiciels malveillants.

L'un des cas les plus importants de ces attaques de type « CEO Fraud » ou « whaling » s'est produit en 2016 au sein de la banque belge Crelan Bank. Cette attaque a entraîné une perte de 75 millions de dollars pour l'entreprise.

Bien que ce type d'attaque soit très ciblé, il est essentiel de veiller à ce que tous les employés soient sensibilisés et protégés contre les cyberattaques, car tout le monde peut être visé, et pas seulement les cadres de haut niveau.

Campagnes de masse

Les messages d'hameçonnage de masse sont envoyés au plus grand nombre de personnes possible pour inciter les utilisateurs à fournir des données sensibles ou des informations financières. Ces attaques consistent généralement à imiter une marque populaire et à demander la réinitialisation d'un mot de passe ou la mise à jour d'informations de facturation.

Les dommages causés par les victimes d'une campagne de masse peuvent ne pas être aussi immédiatement évidents que les attaques plus ciblées, car il y a un délai entre l'attaque réussie et la vente des données obtenues au cours de l'attaque.

Chasse à l'ambulance Escroqueries / Hameçonnage

Les escroqueries par hameçonnage à la recherche d'ambulances exploitent à l'extrême la nature humaine en ciblant les personnes en période de stress extrême. Ces campagnes visent généralement les utilisateurs avec de fausses campagnes de collecte de fonds lors de catastrophes telles que les incendies, les inondations ou les guerres. En raison de l'impact émotionnel de ce type d'événements, il peut être extrêmement efficace de piéger les utilisateurs.

Cette forme d'hameçonnage est généralement une campagne de masse, mais peut également être une attaque de spear phishing en fonction du ciblage du message.

Prétexting

Le pretexting est une méthode d'hameçonnage très efficace car elle implique deux points de contact clés. Le premier permet d'instaurer un climat de confiance, normalement en personne ou par le biais d'un appel téléphonique, et de faire croire à l'utilisateur qu'il enverra prochainement un message apparemment légitime. Le second point est un courriel ou un message numérique contenant un lien malveillant qui permet de capturer des données sensibles ou de télécharger des logiciels malveillants.

Par exemple, les attaquants peuvent appeler et laisser un message vocal en se faisant passer pour un fournisseur et en disant que leur contrat sera envoyé sous peu par courrier électronique. Ensuite, un courriel relatif au message vocal sera envoyé et contiendra des liens malveillants, qui pourraient contenir un ransomware ou une autre forme de logiciel malveillant.

Hameçonnage mobile

Les attaquants cherchent à tirer profit des utilisateurs par tous les moyens, et l'hameçonnage mobile est une tendance de plus en plus répandue. En exploitant les applications SMM et MMS, les attaquants sont en mesure de toucher les utilisateurs 24 heures sur 24 et 7 jours sur 7.

Le phishing mobile, également connu sous le nom de smishing, consiste pour les attaquants à envoyer des messages de phishing par SMS ou sur les réseaux sociaux aux utilisateurs pour les inciter à agir rapidement en se faisant passer pour un tiers de confiance.

Par exemple, un utilisateur peut recevoir un message texte d'une personne qu'il croit être sa banque et qui lui dit : "Nous avons détecté une activité inhabituelle sur votre compte bancaire : "Nous avons détecté une activité inhabituelle sur votre compte bancaire, si ce n'est pas vous, veuillez vous connecter à votre compte et vérifier ces transactions". Ce message est conçu pour provoquer la panique et inciter les utilisateurs à agir rapidement en communiquant leurs données de connexion à leur banque.

En cliquant sur les liens contenus dans ces messages, les pirates peuvent accéder à vos données ou installer des logiciels malveillants sur votre appareil.

L'homme du milieu

Ce type d'attaque est plus sophistiqué, car il consiste à intercepter des courriels entre deux personnes. L'attaquant peut alors renvoyer des courriels à ces deux personnes, qui pensent qu'ils viennent l'un de l'autre, mais qui proviennent en fait de l'attaquant.

Ils peuvent demander des informations privées ou certaines actions, et la personne peut facilement en être victime car elle pense que l'e-mail provient d'une source fiable.

Wi-Fi Twin

Dans cette méthode, les pirates créent un réseau Wi-Fi copiant l'adresse d'un autre. Toute personne se connectant à ce réseau usurpé sera exposée aux pirates, ce qui leur permettra d'accéder aux mots de passe et à d'autres informations.

Cela se fait généralement dans les espaces publics tels que les cafés, les centres commerciaux et les aéroports.

Signaler les escroqueries par hameçonnage Signaler les courriels d'hameçonnage

Si vous ou l'un de vos clients êtes victime d'une attaque de phishing, il y a des choses à faire pour essayer de récupérer vos données, protéger les autres et empêcher les attaquants de causer d'autres dommages. La plupart des gouvernements locaux disposent de leurs propres guides et conseils en matière de signalement des fraudes. Les citoyens des États-Unis, du Royaume-Uni et de l'Australie peuvent toutefois trouver de l'aide en consultant les liens fournis.

• Prévention de la fraude aux États-Unis : https://www.usa.gov/stop-scams-frauds

• Rapport britannique sur les escroqueries par hameçonnage : https://www.ncsc.gov.uk/collection/phishing-scams/report-scam-website

• Australia Scamwatch : https://www.scamwatch.gov.au/report-a-scam

Protection contre le phishing : Comment se défendre contre les escroqueries ?

Il existe quelques moyens clés de protéger une organisation contre le phishing et d'accroître sa cyber-résilience.

• Formation régulière du personnel et des clients

• Apprendre les déclencheurs psychologiques

• Créer une culture positive de la sécurité

• Mettre en œuvre des mesures techniques, par exemple la sécurité du courrier électronique ou des solutions anti-hameçonnage.

• Tester l'efficacité de la formation

Pour en savoir plus sur ces méthodes de protection, consultez notre article de blog intitulé «Comment repérer les attaques par hameçonnage et s'en protéger ».