Les cybercriminels utilisent des méthodes de plus en plus sophistiquées pour voler des données et commettre des fraudes. Pourtant, ce sont souvent les arnaques les plus simples qui s’avèrent être les plus lucratives. Les attaques de phishing font partie des fraudes les plus courantes. Une attaque de phishing réussie lancée contre votre entreprise peut par la suite entraîner des violations de données avec toutes les conséquences néfastes qui leurs sont associées.

IBM affirme que le coût moyen d’une violation de données est d’environ 4 millions de dollars.

Fait inquiétant, bien que les entreprises investissent des sommes importantes dans des programmes de formation et de sensibilisation de leurs équipes, Verizon affirme que les utilisateurs ouvrent près d’un tiers des messages de phishing. Malheureusement, nous ne savons pas combien d’entre eux ont incité une personne à cliquer sur un lien ou à partager des données sensibles. Cependant, il s’agit probablement d’une très grande partie des destinataires.

Le phishing est un type d’arnaque classé le plus souvent dans la catégorie cybercriminalité, car il se produit souvent par email, SMS ou via les réseaux sociaux. Cependant, le phishing peut également avoir lieu par téléphone, en personne ou via des systèmes d’appel automatisé.

Le phishing met en scène des cybercriminels qui se font passer pour des entreprises ou des personnes légitimes afin de vous inciter à partager des données sensibles. Souvent, les cybercriminels recherchent vos coordonnées bancaires ou les données de votre carte de crédit, ou encore des informations telles que des mots de passe. Il est important de noter que les attaques de phishing n’ont pas nécessairement besoin de vous pour fonctionner. Par exemple, la simple ouverture d’un email ou d’un SMS frauduleux peut suffire à déclencher un malware qui récupère ensuite les mots de passe enregistrés au niveau de votre navigateur Web.

Une fois que les escrocs ont récupérer les données souhaitées, ils les utilisent à des fins financières. Les cybercriminels peuvent vendre les informations à d’autres acteurs malveillants ou bien essayer d’utiliser eux-mêmes vos données personnelles pour effectuer des achats ou transférer de l’argent à partir de votre banque.

Vous, ainsi que vos collègues, devez connaître les attaques de phishing les plus populaires, listées ci-dessous, que les cybercriminels utilisent, afin de mieux protéger votre entreprise contre celles-ci.

1. Les emails de phishing

La plupart des attaques de phishing se produisent par email. Nous verrons bientôt comment reconnaître de telles arnaques. Il est également intéressant de connaître les techniques spécifiques de phishing ciblé, telles que celles décrites ci-dessous.

2. Le spear phishing

Le spear phishing est une arnaque ciblée, qui se déroule souvent en deux temps. Après avoir obtenu des informations sur vous, les escrocs rentreront en contact avec vous de manière malveillante. Parfois en utilisant une menace directe, mettant en évidence les informations qu’ils ont récupérées au préalable à votre sujet.

Les attaques de spear phishing sont conçues pour vous faire peur en vous incitant à partager des informations supplémentaires avec les cybercriminels.

3. Le whaling

La whaling est une attaque de phishing particulière qui cible les employés ayant des positions hiérarchiques élevées au sein d’une entreprise.

Cette attaque est souvent subtile et sera lancée par des cybercriminels qui se feront passer pour d’autres personnes occupant des postes de direction, comme des comptables ou des avocats, voire même des collègues.

4. Le smishing

C’est le nom spécifique donné aux attaques de phishing lancées par SMS.

5. Le vishing

Le vishing, ou phishing vocal, est le nom donné aux attaques de phishing lancées par téléphone.

6. Angler phishing (phishing social)

L’angler phishing est une arnaque qui envoie généralement des malwares via les fonctions de messagerie directe des plateformes sociales. Les utilisateurs de ces réseaux peuvent alors recevoir de fausses URL ou bien être informés qu’ils ont été identifiés suite à une mise à jour de statut et lorsqu’ils cliquent, le lien télécharge alors des malwares sur leur appareil.

Avez-vous déjà reçu un étrange « rabais de 50€ dans une grande surface » de la part d’un ami ? Si tel est le cas, c’est parce qu’il a probablement été victime d’une attaque de phishing qui a permis aux cybercriminels de l’envoyer à tous ses amis et relations.

Avez-vous déjà reçu un email prétendant provenir des impôts, de PayPal ou de Netflix mais qui visiblement ne venait manifestement pas d’eux ?

Il s’agissait en réalité d’une attaque de phishing !

Les attaques de phishing ciblant les adresses email professionnelles proviennent souvent de diverses sources. La plupart des gens n’utilisent pas leur messagerie professionnelle pour Netflix. Une telle arnaque est donc assez évidente et facile à repérer.

Bien que les “meilleures” attaques de phishing semblent légitimes, c’est d’ailleurs la raison pour laquelle elles réussissent souvent si bien, de nombreuses caractéristiques communes à la plupart d’entre elles vous aideront à les reconnaître.

Voici ce que vous devez rechercher :

1. À quelle heure l’email a été envoyé ?

Avez-vous reçu un email d’un collègue sur le même fuseau horaire que vous à 1h du matin ? Bien que nous soyons nombreux à aimer la flexibilité qu’apporte le télétravail, si vous ne recevez généralement pas d’emails de cette personne à une telle heure, il s’agit probablement d’une attaque de phishing. Des solutions telles que l’UEBA aident les entreprises à détecter automatiquement ce type de comportement inhabituel.

2. Que contient la ligne d’objet ?

Les attaques de phishing utilisent souvent des lignes d’objet qui ressemblent à des réponses pour vous inciter à les ouvrir. Recherchez les lignes d’objet telles que « RE: Votre dernier message ». Si vous recevez un email avec une telle ligne d’objet et que vous n’avez pas envoyé d’email au départ à la personne ou à l’entreprise en question, supprimez-le. Il y a de fortes chances qu’il s’agisse d’une attaque de phishing qui tentera ensuite d’installer des malwares sur votre système dès que vous l’aurez ouvert l’email en question.

Une autre astuce courante utilisée par les cybercriminels est la ligne d’objet de type « clickbait » (piège à clics), à savoir que le contenu de l’email n’a rien à voir en réalité avec l’objet mentionné au départ. Utilisez les fonctionnalités de prévisualisation de votre logiciel de messagerie afin de pouvoir les identifier et les supprimer immédiatement si de tels emails arrivent dans votre boîte de réception.

3. Recherchez les signaux avant-coureurs de contenus malveillants

Les emails de phishing utilisent souvent l’intégralité ou une partie des tactiques suivantes :

• Une offre spéciale à laquelle vous ne vous attendiez pas. Néanmoins, il est plausible que vous receviez, par exemple, une offre de remboursement pour un produit ou un service spécifique.
• Un cadeau trop beau pour être vrai, comme ces emails dans lesquels l’oncle d’une personne est décédé et a laissé 30 millions d’euros qu’il veut partager avec vous.
• Des appels à l’action (CTA) vers un lien douteux.
• Des messages contenant des informations sur vous pour vous inciter à passer à l’action. Une attaque de phishing peut souvent obtenir des mots de passe couramment utilisés. Un deuxième suivra, indiquant clairement qu’ils connaissent vos mots de passe et exigent de l’argent.

4. Des pièces jointes sont-elles présentes ?

Les pièces jointes sont souvent le signe avant-coureur le plus important au niveau professionnel, en particulier lorsque les entreprises travaillent exclusivement dans le Cloud.

Si votre entreprise a pour politique d’utiliser OneDrive ou Dropbox, mais qu’un « collègue » envoie des pièces jointes de manière physique, il s’agit probablement d’une attaque de phishing.

Toutefois, si vous travaillez encore avec des pièces jointes, méfiez-vous des types de fichiers inhabituels ou des fichiers reçus que vous n’avez pas demandés.

5. Où les hyperliens vous mèneront-ils ?

Certaines attaques de phishing se manifestent en incluant de longs liens hypertexte sur lesquels vous pouvez cliquer.

Lorsqu’une arnaque est plus sophistiquée et masque un lien avec un bouton CTA, vous pourrez toujours survoler le bouton pour voir où le lien vous mènera.

Faites attention aux :

• liens qui vous mèneront dans un lieu différent de celui indiqué dans l’email.
• liens contenant des fautes de frappe, souvent présentes pour renforcer l’authenticité.
• emails contenant des liens mais sans aucun autre contenu ou information.

Si vous cliquez sur un lien, vous serez souvent redirigé vers un site Web qui ressemble à une version dégradée de la véritable version. Il est facile de créer une page Web qui ressemble à PayPal, mais il existera souvent des erreurs qui indiqueront qu’il ne s’agit pas du véritable site Web.

6. À qui d’autre l’email a été envoyé ?

Les emails de phishing sont souvent envoyés à des milliers de personnes à la fois. Habituellement, vous pouvez voir les destinataires dans la zone CC.

Recherchez les emails dans lesquels vous êtes en copie d’un message/prestation que vous n’avez pas sollicité ou auquel vous ne vous êtes pas inscrit et surtout où vous pouvez voir l’adresse email de tous les autres destinataires.

7. D’où vient l’email ?

La source de l’email est souvent le premier indice que vous permettra de repérer une attaque de phishing !

Recherchez les emails qui :

• proviennent d’une adresse email inhabituelle, d’une personne que vous ne connaissez pas ou avec laquelle vous ne communiquez pas habituellement.
• proviennent de l’extérieur de votre entreprise et qui n’ont aucun lien avec votre fonction.
• semblent provenir d’une adresse email interne mais semblent inhabituels ou hors de propos.
• proviennent d’adresses email suspectes.

N’oubliez pas de bien regarder l’email de l’expéditeur dans la zone « De » en ne vous fiant pas uniquement aux informations que votre client de messagerie affiche concernant l’expéditeur. Certains programmes permettent même aux arnaqueurs de définir des adresses email légitimes, vous devrez donc être doublement vigilant.

Le phishing par SMS dans un contexte professionnel est facile à repérer. À quelle fréquence votre CEO vous envoie-t-il des SMS vous demandant des chiffres ou des informations spécifiques ?

Vous devez également rechercher les messages :

• à partir de numéros de téléphone inhabituellement longs.
• qui indiquent que vous avez droit à un remboursement particulier.
• qui vous demandent de réactiver ou de valider un produit ou une adhésion.

Le phishing par téléphone implique généralement un appel passé par une personne prétendant appartenir à une entreprise spécifique qui vous demande de confirmer des informations telles que des coordonnées bancaires ou des mots de passe pour des « raisons de sécurité ». Les appelants légitimes ne demanderaient jamais de telles informations par téléphone, alors n’hésitez pas un seul instant et raccrochez immédiatement. Les cybercriminels utilisent souvent des systèmes d’appel automatisé (robocallers) ainsi que de fausses données d’identification d’appel pour donner à ce dernier un air d’authenticité. Si les cybercriminels connaissent votre localisartion, il est classique de les voir utiliser un numéro « local » afin d’augmenter les chances que vous répondiez.

En 2020, il y a eu une augmentation significative des attaques de phishing en raison de la pandémie de COVID-19.

Les périodes d’incertitude et de crise sont le moment idéal utilisé par les cybercriminels pour exploiter l’anxiété des gens. Si des personnes ont été licenciées et ont des difficultés financières, les chances qu’elles cliquent sur un lien leur promettant un remboursement d’impôts augmentent massivement.

Les entreprises, plus particulièrement celles du secteur financier et celles liées aux organisations gouvernementales, sont généralement davantage victimes de tentatives de phishing pendant ces périodes. L’augmentation des demandes de prêts, par exemple, exerce une pression plus importante sur les organismes de prêt, qui, dans certains cas, peuvent ne pas être aussi diligents qu’ils le sont habituellement. La pression accrue les rend vulnérables à la fois au phishing mais aussi à d’autres types de cybercriminalité.

Que vous lisiez cet article dans un contexte personnel ou professionnel, les moyens de prévenir les attaques de phishing et d’éviter d’être victime de telles arnaques sont similaires.

En plus de savoir à quoi ressemblent ces escroqueries, comme détaillé précédemment, assurez-vous d’avoir les éléments suivants en place :

• Des filtres anti-spam, qui empêcheront la plupart des attaques de phishing d’atteindre votre boîte de réception. Cependant, les cybercriminels sont de plus en plus habiles pour contourner ces derniers, vous devez donc rester vigilant.
• Un système de sécurité à jour pour vos appareils ou votre réseau. Dans un contexte professionnel, si vos équipes travaillent à distance ou utilisent certaines fonctions sur leurs appareils mobiles, vous devez insister pour qu’ils disposent également d’une protection adéquate.
• Utilisez des outils comme « Dois-je répondre ? » et des applications similaires pour identifier les appels entrants et les messages SMS potentiellement frauduleux.
• Configurez l’authentification multifacteur sur tous les comptes lorsque cela est possible. Même si les fraudeurs récupèrent des données d’accès, ils auront ainsi beaucoup de mal à les utiliser.
• Limitez l’accès aux données sensibles à un nombre restreint de personnes au sein de votre entreprise. Moins il y aura de personnes qui pourront être ciblées par des cybercriminels à des fins lucratives, moins vous risquerez de voir l’une d’entre elles être victime et affecter votre entreprise.
• Créez des sauvegardes de vos données et assurez-vous de les stocker indépendamment de votre réseau principal, qu’il soit domestique ou professionnel.

Les entreprises doivent également s’assurer que des politiques spécifiques, interdisant notamment les pièces jointes, soient en place pour réduire les niveaux de risque, notamment en utilisant un logiciel pour surveiller tous les emails reçus depuis l’extérieur d’une entreprise, tels ceux en provenance des freelances ou des sous-traitants.

La meilleure chose à faire est de supprimer immédiatement le message et de ne pas interagir avec celui-ci de quelque manière que ce soit. En vous assurant que les fonctionnalités de prévisualisation des emails dans votre client de messagerie soient bien activées, vous pourrez identifier une attaque de phishing potentiel sans avoir à ouvrir un email et déclencher le téléchargement d’un malware. Marquez également l’email comme spam au niveau de votre client de messagerie.

Si vous recevez un email d’apparence suspecte en provenance d’une source connue, vous ne devez pas cliquer sur un lien ni appeler un éventuel numéro figurant dans cet email. Accédez plutôt directement au site Web et connectez-vous à votre compte afin de vérifier les messages ou entreprendre toute action indiquée par l’email en question. Si le message s’avère être authentique, vous pourrez alors effectuer les actions nécessaires lors de la connexion. Si ce dernier n’a aucun rapport avec votre compte, vous savez que l’email était une arnaque.

Si votre entreprise dispose d’un système ou d’une politique interne spécifique pour signaler manuellement une tentative de phishing, notifiez-la via les moyens appropriés.

Si vous avez ouvert un email et que vous vous êtes rendu compte par la suite qu’il s’agissait d’une attaque de phishing, vous devez lancer une analyse de sécurité immédiatement. Si votre logiciel de sécurité est à jour, tout téléchargement de malwares aura probablement été bloqué de toute façon.

Si vous avez soumis des informations à un site Web que vous pensez être malveillant, vous devez prendre des mesures en fonction des données soumises. Vous devrez peut-être en informer votre banque ou votre fournisseur de carte de crédit, qui pourra ainsi bloquer votre carte ou placer votre compte sous une surveillance particulière afin d’effectuer des vérifications supplémentaires en cas d’activité inhabituelle. Si vous avez soumis des informations telles qu’un mot de passe ou utilisé un mot de passe spécifique pour vous « connecter » à un site de phishing, modifiez ce dernier au niveau de ce site et de tout autre site sur lequel vous utilisez ce même mot de passe.

Comme dans le cas de la réception d’un message/email, si vous avez soumis des données professionnelles ou client et que vous pensez avoir été victime d’une arnaque, vous devez le signaler via vos procédures internes.

Chez LogPoint, nous pouvons vous aider à protéger votre entreprise ainsi que les membres de votre équipe contre les attaques de phishing. Des arnaques courantes, allant de l’arnaque au président jusqu’aux tentatives de phishing qui ciblent les données client que vous détenez, découvrez comment notre solution SIEM peut empêcher votre entreprise d’être victime de ce type d’arnaque.

Contactez-nous et découvrez pourquoi les grandes marques choisissent LogPoint :