Des messages comme « Cliquez ici pour… » peuvent s’apparenter à des actions anodines en lesquelles vous pouvez avoir confiance. C’est un message qui a servi d’appât à de nombreuses attaques informatiques ciblant des employés d’entreprise. Ces derniers pensant répondre à une demande officielle s’exécutent et font de leur ordinateur une véritable faille. Par la suite, des milliers de mégaoctets de fichiers sensibles vont pouvoir être détournés. Les individus derrière ces attaques ne tardant pas à dévoiler leurs intentions à travers une demande de rançon. On se rend compte souvent bien trop tard que l’on a été victime d’un phishing.
C’est l’une des techniques de fraude les plus utilisées par les pirates informatiques compte tenu de sa facilité à être mise en place. Aussi en tant qu’entreprise ou employé, vous devez vous assurer de prendre certaines mesures pour ne pas vous retrouver dans cette situation.
Comment se passe une attaque de phishing ?
Concrètement, une attaque de phishing vise un individu en particulier pour que ce dernier réalise une action souhaitée par un pirate. L’objectif de ce dernier peut être d’obtenir un mot de passe pour avoir accès aux informations de l’ordinateur de sa cible. Par extension, l’attaquant peut également parcourir les fichiers se trouvant sur les autres ordinateurs reliés à la machine de sa cible. Ce faisant, il y a de grosses chances que le pirate tombe sur des fichiers très sensibles détenus par un poste à responsabilité.
Dans ce genre de scénario, les employés et leurs supérieurs n’ont pas forcément été sensibilisés aux dangers de l’utilisation de leurs appareils informatiques. De fait, il peut être conseillé de découvrir Arsen, une structure capable de sensibiliser et de mettre en place des mesures contre les attaques de phishing. Les structures de sécurité informatique proposent généralement des formations ou des sessions de sensibilisation aux dangers qu’encourent les utilisateurs, notamment les professionnels lorsqu’ils utilisent internet.
Une structure comme celle-ci peut vous faire découvrir des solutions Saas de simulation pour mettre les employés dans des conditions réelles. Cela leur permettra d’acquérir les réflexes nécessaires pour déjouer ce genre d’attaques.
Dans les faits, une attaque de phishing commence par une collecte d’informations sur la cible. Il s’agit de préparer un appât capable de piéger cette dernière. Si certaines attaques peuvent se contenter d’un simple message, il existe des pirates qui peaufinent leur appât afin de le rendre le plus réel possible. Ainsi en obtenant des adresses mail par des solutions peu recommandables, les pirates sont en mesure d’effectuer des recherches sur les propriétaires de ces comptes. Cela, afin d’analyser leur comportement et de déterminer la meilleure manière de les piéger.
Une fois l’appât préparé, il faut apprêter l’hameçon. Il s’agit de trouver la manière dont la cible sera amenée à effectuer l’action afin de compromettre ses données. Dans la plupart des attaques, le pirate fait généralement croire à sa cible qu’il propose une solution à son problème en suivant certaines instructions. Paniqué, ou convaincu, l’individu passe à l’action et donne l’accès au pirate sans s’en rendre compte.
En analysant le fonctionnement du phishing, on se rend compte qu’il est bien possible de trouver des solutions pour fausser les plans des pirates. De fait, ceux-ci utilisant majoritairement des emails pour piéger leurs victimes, il convient d’apprendre à reconnaître les différents types de mails frauduleux afin de prendre les mesures adéquates.
Quels sont les différents types de phishing qui ciblent les professionnels ?
Les pirates informatiques se servent du phishing pour toucher leurs cibles en passant principalement par les emails. Toutefois, cette méthode n’est pas la seule qu’ils emploient. Certains passent par les appels téléphoniques que l’on appelle généralement dans le milieu le vishing ou par les applications de messagerie alias le smishing.
Toutefois, lorsque l’on parle de types de phishing, il faut regarder bien plus loin pour comprendre la variété des types d’attaques que ces individus peuvent utiliser.
L’hameçonnage à travers les réseaux sociaux
Grâce aux milliards d’utilisateurs qui utilisent chaque jour les réseaux sociaux, il est facile de trouver des informations sur un employé. Cela afin d’exécuter la première partie dans une attaque de phishing : la collecte de données. Ce canal peut également être utilisé par les pirates pour la dernière étape : l’attaque. De fait, si un employé se connecte à ses comptes de réseaux sociaux pendant une pause sur son ordinateur de fonction, il peut ouvrir involontairement la porte à de potentielles failles.
Le phishing par SMS ou par les services de messagerie
Avec le développement des services de messagerie, les pirates n’ont plus vraiment besoin d’attendre qu’un utilisateur se connecte à son email pour ouvrir le courriel qui contient l’hameçon. De fait, en passant par les SMS ils peuvent notifier un retrait d’argent qui proposera de se rendre sur un lien pour avoir plus d’informations si vous n’avez pas autorisé cette action. Ce faisant, ils peuvent avoir accès aux informations sur le téléphone de la victime et y trouver des mots de passe professionnels par exemple.
Les services de messagerie sont également utilisés pour se faire passer pour le service client d’une société avec laquelle vous avez été en contact pour vous demander d’effectuer quelques actions complémentaires pour valider certaines opérations. En accédant à la requête, votre téléphone ainsi que les informations qu’il contient peuvent toutes être exploitées.
Le spear-phishing
Le spear-phishing est travaillé sur une longue période afin de donner les meilleures chances de succès de l’opération. Pour cette attaque, le pirate prend le temps de collecter le maximum d’informations sur la cible et sa société. Ainsi, il fait en sorte que le mail soit ouvert et ait de très grandes chances de tromper le destinataire. Il peut même arriver dans ce cas, que les pirates se fassent passer pour une agence de sécurité avec des accréditations (qui sans de longues recherches ne peuvent pas être vérifiées).
Le Business Email Compromise (BEC)
Le BEC est selon le FBI, l’une des attaques par phishing qui touchent le plus les employés d’entreprises aujourd’hui. Les pirates exploitent toutes les situations qui pourraient conduire à une communication entre professionnels pour piéger leurs victimes. Le mode et les informations communiquées paraissent souvent tellement réels qu’il est presque impossible de les différencier d’une communication officielle.
Dans ce cas de figure, il faudra vous assurer de vérifier l’email émetteur pour être sûr de reconnaître ce dernier. Si ce n’est pas le cas, il est légitime que vous fassiez preuve de prudence pour ne pas devenir une victime. Faites preuve d’attention dans n’importe quelle situation où vous ne connaissez pas directement le destinataire.
