Comment se protéger contre le phishing ? Airbus Protect explique

Qu’est-ce qu’une attaque par hameçonnage et comment s’en prémunir ?

Le phishing expliqué

Le phishing est un type de cyberattaque ou de fraude en ligne dans lequel des personnes ou des entités malveillantes tentent de tromper les utilisateurs et de leur faire révéler des informations sensibles, telles que des mots de passe, des numéros de sécurité sociale, des numéros de carte de crédit ou d’autres données personnelles et financières. Les criminels se font souvent passer pour des entités dignes de confiance ou légitimes, telles que des institutions gouvernementales ou des conseils d’administration d’entreprises. Les attaques par hameçonnage peuvent se produire par le biais de divers canaux tels que le courrier électronique, les SMS, les appels téléphoniques ou même les réseaux sociaux.

Voici comment se déroule généralement une attaque par hameçonnage :

• L’appât : L’attaquant envoie un message ou communique avec la victime, souvent en se faisant passer pour une organisation ou une personne de bonne réputation. Ce message peut prendre différentes formes, comme un courriel prétendant provenir d’une banque, un message sur les réseaux sociaux provenant du compte compromis d’un ami ou un SMS offrant un faux prix.
• L’accroche : Le message contient un appel à l’action ou une raison pour laquelle la victime doit agir immédiatement. Il peut s’agir de cliquer sur un lien, de télécharger une pièce jointe, de partager des informations personnelles ou de visiter un site web.
• La tromperie : L’attaquant se donne beaucoup de mal pour que son message et les sites web ou formulaires associés paraissent légitimes. Il utilise notamment des logos, des marques et un langage qui imitent l’organisation ou la personne réelle dont il se fait passer pour lui.
• Le vol : Lorsque la victime effectue l’action demandée, elle fournit involontairement ses informations sensibles à l’attaquant. Ces informations sont ensuite utilisées à des fins malveillantes, telles que l’usurpation d’identité, la fraude financière ou l’accès non autorisé à des comptes.

Les attaques de phishing peuvent varier, et les hackers (pirates informatiques) utilisent désormais des techniques plus avancées, telles que le spear phishing, le vishing ou le smishing. Examinons ces termes de plus près.

Spear phishing

Le spear phishing est une attaque de phishing ciblée dans laquelle les cybercriminels personnalisent leurs courriels ou leurs messages pour faire croire qu’ils proviennent d’une source fiable ou d’une entité légitime. Contrairement aux attaques d’hameçonnage classiques qui ratissent large et envoient des messages génériques à de nombreuses victimes potentielles, le spear phishing est plus précis et se concentre sur une personne en particulier.

Comment cela fonctionne-t-il ?

• Recherche : Les attaquants recueillent des informations sur leur cible, telles que son nom, sa fonction, ses collègues, ses centres d’intérêt et des informations accessibles au public (souvent par le biais de l’ingénierie sociale). Ils utilisent ensuite ces informations pour personnaliser le message d’hameçonnage afin de le rendre plus convaincant.
• Création :Ensuite, l’attaquant crée un contenu personnalisé qui semble provenir d’une source fiable, comme un collègue, un patron, une banque ou un fournisseur de services connu. Le message contient souvent des détails qui le font paraître légitime et pertinent pour la cible. Il contient aussi généralement un appel à l’action, comme cliquer sur un lien, télécharger une pièce jointe, fournir des informations sensibles telles que des mots de passe ou des numéros de compte, ou effectuer une transaction financière. L’objectif est d’inciter le destinataire à effectuer une action qui profite à l’attaquant afin de voler des informations sensibles ou de propager des logiciels malveillants.
• Diffusion : Le message est envoyé à la personne ciblée par n’importe quel canal – courriel, réseaux sociaux, messagerie instantanée, etc.
• Exploitation: Si la cible tombe dans le piège de l’attaque de spear phishing et entreprend l’action demandée, l’attaquant accède à des informations sensibles ou au système de la victime. Cela peut avoir de graves conséquences, telles que des violations de données, des pertes financières ou des ransomwares.

Les attaquants sont plus susceptibles d’utiliser le spear phishing lorsqu’ils tentent d’accéder à un réseau d’entreprise, car ces réseaux ont généralement un niveau de sécurité plus élevé. Ainsi, les attaques de spear phishing sont souvent plus difficiles à détecter que les tentatives de phishing génériques, car elles sont hautement personnalisées et semblent plus légitimes.

Smishing

Le smishing est un type de cyberattaque qui consiste à envoyer des messages texte (SMS) frauduleux ou trompeurs à des personnes pour les inciter à effectuer des actions spécifiques. À l’instar du phishing, qui utilise le courrier électronique comme vecteur d’attaque, le smishing vise à voler des informations sensibles, à propager des logiciels malveillants ou à lancer d’autres activités malveillantes. Le terme « smishing » est le fruit de la fusion des mots « SMS » et « phishing ».

Comment cela fonctionne-t-il ?

• Réception : La cible reçoit un message texte non sollicité sur son téléphone portable. Le message peut sembler provenir d’une source légitime, telle qu’une banque, une agence gouvernementale, un service de livraison ou une entreprise connue. Il peut également contenir un contenu urgent ou alléchant pour inciter le destinataire à agir.
• Tromperie : Le message de smishing contient généralement un appel à l’action, comme cliquer sur un lien, appeler un numéro de téléphone ou fournir des informations personnelles telles que les détails de la carte de crédit, le numéro de sécurité sociale ou les informations d’identification du compte.
• Exploitation: Si le destinataire suit les instructions du message de smishing, il risque de révéler par inadvertance des informations sensibles ou de tomber sur un site web ou une application conçus pour voler ses données, installer des logiciels malveillants sur son appareil ou se livrer à d’autres activités malveillantes.
  
• Conséquences: En fonction des objectifs de l’attaquant, les conséquences d’une attaque par smishing peuvent varier : usurpation d’identité, fraude financière, accès non autorisé à des comptes ou compromission d’informations personnelles et sensibles.

Le smishing est souvent utilisé à l’encontre des consommateurs, qui reçoivent généralement des messages sur leur téléphone portable.

Vishing

Le terme « vishing » (hameçonnage vocal) désigne l’utilisation de la communication vocale, généralement par téléphone, pour inciter des personnes à divulguer des informations sensibles, telles que des mots de passe personnels, des numéros d’identification, des numéros de cartes de crédit ou d’autres données confidentielles. Les attaques par hameçonnage vocal impliquent souvent des tactiques de manipulation et d’usurpation d’identité pour gagner la confiance de la victime.

Comment cela fonctionne-t-il ?

• Usurpation de l’identité de l’appelant : L’attaquant se fait passer pour une entité de confiance, telle qu’une banque, une agence gouvernementale, un service d’assistance technique, etc. Il peut usurper l’identité de l’appelant pour faire croire que l’appel provient d’une source légitime.
• L’urgence : L’attaquant crée souvent un sentiment d’urgence ou de peur, en prétendant qu’il y a un problème avec le compte, la sécurité ou les finances de la victime qui nécessite une attention immédiate.
• Demande : L’attaquant demande à la victime de fournir des informations sensibles (numéros de sécurité sociale, numéros de comptes bancaires, détails de cartes de crédit, mots de passe, etc.) Il peut également demander à la victime de confirmer ou de vérifier des informations personnelles.
• Menaces : Dans certains cas, les attaquants peuvent menacer la victime de conséquences (fermeture du compte, poursuites judiciaires, etc.) si elle ne s’exécute pas, ou ils peuvent offrir des récompenses ou des avantages alléchants pour l’inciter à coopérer.
• Manipulation : Les vishers peuvent utiliser diverses techniques pour garder la victime au téléphone et manipuler ses émotions, afin qu’elle soit plus encline à partager des informations sensibles.
• Conséquences: Si la victime fournit les informations demandées, l’attaquant peut les utiliser à diverses fins malveillantes, telles que l’usurpation d’identité, la fraude financière ou l’accès non autorisé à des comptes.

Les attaques par vishing (hameçonnage vocal) peuvent être sophistiquées et convaincantes. Il est donc essentiel de rester vigilant et de prendre des mesures pour vérifier l’identité des appelants avant de communiquer des informations sensibles par téléphone.

Comment se protéger contre le phishing ?

• Soyez prudent et attentif : méfiez-vous de tout message non sollicité, surtout s’il vous demande des informations personnelles, une action immédiate ou l’ouverture d’un document joint. Il est essentiel d’être prudent avant de partager des informations sensibles en ligne et de vérifier l’authenticité des messages, en particulier lorsqu’ils concernent des questions financières ou confidentielles, afin d’atténuer la menace du hameçonnage.
• Vérifiez tout méticuleusement : Vérifiez l’identité de l’expéditeur et l’URL du site web avant de cliquer sur des liens ou de fournir des informations sur l’entreprise. Si vous n’êtes pas sûr de la marche à suivre, n’hésitez pas à contacter directement l’organisation en utilisant les coordonnées officielles ou à vous renseigner auprès de votre équipe interne de sécurité informatique.
• Utilisez un logiciel de sécurité mis à jour : Les logiciels antivirus et anti-hameçonnage peuvent aider à identifier et à bloquer les tentatives d’hameçonnage. N’oubliez pas de mettre à jour et de corriger les logiciels régulièrement.
• Signaler : Si vous avez reçu un message d’hameçonnage, signalez-le immédiatement à votre équipe de sécurité informatique. Grâce à votre aide, le courriel de phishing peut être repéré rapidement et l’équipe de sécurité informatique peut empêcher d’autres personnes d’être victimes de la même escroquerie.

Vous avez apprécié cet article sur la protection contre le phishing ? Vous souhaitez en savoir plus ?