La technologie continue d'évoluer, tout comme les tactiques utilisées par les cybercriminels pour accéder à l'information. Les fraudes par phishing ont toujours représenté un défi important pour la sécurité informatique, et les menaces deviennent de plus en plus sophistiquées. Recevoir un courriel contenant un lien malveillant n'est pas nouveau, et ces attaques continuent d'évoluer parce qu'elles restent l'un des outils les plus rentables de la boîte à outils des cybercriminels. Pour se prémunir contre ces escroqueries en ligne et ces attaques de phishing, les organisations doivent comprendre ce qu'elles sont, comment elles fonctionnent et quel est leur but ultime.
Le phishing est un acte néfaste commis par des cybercriminels qui se déguisent en entités dignes de confiance. Il prend la forme de courriels de phishing (courriels contenant un lien malveillant), d'attaques de phishing sur les médias sociaux (attaques visant les comptes et le contenu des médias sociaux) et même de messages textuels contenant des liens destinés à compromettre les téléphones intelligents et les comptes. Pour prévenir les attaques de phishing, un utilisateur doit être capable de reconnaître la menace et de réagir de manière appropriée dans un court laps de temps. Être victime d'un courriel de phishing peut rapidement conduire au déploiement d'un ransomware et à la compromission d'un compte de messagerie.
Leur but ultime ? Inciter les individus à révéler des informations précieuses telles que des noms d'utilisateur, des mots de passe, des détails de cartes de crédit, etc. Ces attaques peuvent faire des ravages et entraîner des pertes financières considérables ainsi qu'une atteinte à la réputation. Il est donc essentiel que les particuliers et les entreprises comprennent l'importance de la lutte contre le phishing. Dans la plupart des cas, leur objectif est d'accéder à vos comptes sensibles. Dans la plupart des cas, les cybercriminels lancent des attaques de phishing visant à vous amener sur des sites de phishing qui sont identiques à des services de sites web légitimes. Ils créent un sentiment d'urgence en vous demandant de saisir à nouveau votre mot de passe ou vos informations de paiement, sous peine de voir votre compte fermé. Les identifiants de connexion peuvent être vendus par des IAB (Initial Access Brokers) et peuvent conduire à une infiltration plus importante et à un vol de données. Pour en savoir plus sur ce qu'est un IAB, cliquez ici.
Le paysage du phishing a subi une transformation spectaculaire depuis sa création. Les tactiques employées par les cybercriminels ont considérablement évolué, gagnant en sophistication et en efficacité. Il ne s'agit plus d'un simple courriel ou d'une tentative d'ingénierie sociale. Les attaques de phishing modernes se présentent sous une myriade de formes, du phishing classique par courriel au spear phishing, smishing, vishing, et même au deepfake phishing, à la sonorité inquiétante. Les courriels contiennent parfois des liens malveillants et parfois des fichiers malveillants.
Les escroqueries par phishing par courriel ont toujours constitué un défi de taille en matière de sécurité informatique, et les menaces ne font que se sophistiquer. Avec l'avènement de WormGPT, un modèle d'IA conçu pour élaborer des courriels de phishing d'une authenticité si convaincante qu'ils sont à la fois psychologiquement persuasifs et grammaticalement impeccables, le travailleur de tous les jours est confronté à une tâche de plus en plus complexe. Certaines des méthodes utilisées pour identifier les attaques de phishing dans le passé, comme une mauvaise grammaire ou des mots mal orthographiés, ne sont plus présentes dans ces messages électroniques polis, ce qui rend plus difficile la détection et la prévention des attaques de phishing.
Une partie intégrante de toute stratégie de prévention du phishing consiste à reconnaître les marques couramment usurpées. Un rapide coup d'œil aux données du premier trimestre 2023 révèle des concurrents inattendus. Walmart mène la charge, représentant un énorme 16% de toutes les attaques de phishing mondiales, avec DHL, Microsoft, LinkedIn, FedEx, Google, Netflix, Raiffeisen et PayPal non loin derrière. Cet article documentant les domaines les plus susceptibles d'être utilisés dans les attaques de phishing donne quelques chiffres précis pour 2023.
Vous trouverez ci-dessous les principales marques classées en fonction de leur apparition globale dans les tentatives de phishing de marque :
Pourquoi ces marques, me direz-vous ? La réponse réside dans leur omniprésence. Leur omniprésence dans notre vie quotidienne peut donner l'impression qu'un courriel usurpé provenant de ces marques est légitime, ce qui augmente la probabilité que le destinataire tombe dans le piège du phishing et permette à l'attaquant d'accéder à l'information. Prenons l'exemple d'un courriel semblant provenir de Walmart et promettant une réduction intéressante sur votre prochain achat. Si vous êtes un habitué des achats, il se peut que vous cliquiez sur le lien intégré sans réfléchir, et que vous tombiez sans le savoir sur un site web frauduleux conçu pour dérober vos données sensibles.
Les attaques de phishing ont un coût élevé, tant pour les particuliers que pour les entreprises. Imaginez que vous vous réveillez un matin et que votre compte bancaire est vidé à cause d'une seule attaque de phishing réussie. Au niveau de l'entreprise, les répercussions peuvent être encore plus graves, allant de la perte de confiance des clients et des amendes réglementaires potentielles au vol de propriété intellectuelle et aux violations de données. Une entreprise technologique de taille moyenne a récemment été la cible d'une attaque de phishing, qui a entraîné une violation de données ayant coûté plus de 2 millions de dollars en dommages et en pertes d'exploitation.
Il n'existe pas de solution unique à ce problème. Les tentatives de phishing modernes sont devenues effroyablement sophistiquées, ce qui les rend difficiles à identifier au premier coup d'œil. Mais n'ayez crainte. Certains signaux d'alerte peuvent vous mettre sur la piste de ces cybermenaces trompeuses. Le filtre anti-spam peut détecter les courriels lorsque les mauvais acteurs ont mal configuré leurs services d'envoi. Faites attention aux demandes non sollicitées d'informations sensibles, aux messages d'accueil génériques, aux URL mal orthographiés et aux pièces jointes imprévues. En outre, il est bon de se rappeler que vos institutions financières et les agences gouvernementales telles que les services fiscaux ne vous enverront jamais de courrier électronique pour vous demander des données sensibles telles que votre numéro de sécurité sociale et votre date de naissance. Ils disposent de toutes les informations confidentielles dont ils ont besoin à votre sujet et n'ont donc pas besoin de les demander.
Par exemple, vous pouvez recevoir un SMS suspect semblant provenir de Google, vous avertissant d'une supposée "activité suspecte" sur votre compte et vous demandant de vérifier vos données de connexion. Ce message apparemment malveillant pourrait être une tentative classique d'hameçonnage. Les alertes authentiques de Google vous demanderaient généralement de vérifier l'activité de votre compte directement dans votre compte Google plutôt que de chercher à obtenir vos informations de connexion par SMS.
Alors que j'écrivais ces lignes, j'ai reçu une nouvelle attaque de phishing dans ma boîte de réception. Celle-ci n'était pas conçue pour me demander de cliquer sur un lien afin de "sauver mon compte" ou de saisir à nouveau mes informations de paiement. Il s'agissait d'une des attaques les plus sophistiquées. Elle me signalait une nouvelle activité sur un document partagé via Microsoft Teams (voir l'image ci-dessous). Le message semble légitime jusqu'à ce qu'il soit examiné de près.
Tous ces indices sont faciles à repérer lorsque l'on sait quoi chercher et que l'on n'est pas soumis à la contrainte et au stress. Ce sont exactement les mêmes détails que n'importe quel employé formé peut facilement identifier. La recette est presque toujours la même. Une demande urgente d'agir associée à des liens malveillants ou à un code malveillant.
La mise en place d'une défense solide contre les attaques de phishing nécessite une approche globale. Gardez une bonne dose de scepticisme à l'égard des communications non sollicitées. Veillez à ce que vos appareils et logiciels soient régulièrement mis à jour et adoptez la pratique consistant à utiliser des mots de passe uniques et complexes, complétés par une authentification à deux facteurs.
Les entreprises devraient elles aussi adopter des mesures proactives contre ces types de phishing. Des programmes de formation et de sensibilisation des employés à la cybersécurité, des infrastructures de cybersécurité robustes et des outils de détection sophistiqués peuvent réduire considérablement les risques de phishing. Les utilisateurs reçoivent des menaces potentielles tous les jours, c'est pourquoi la formation à la cybersécurité doit également être permanente. Les employés et les parties prenantes doivent être suffisamment entraînés pour pouvoir repérer rapidement les signes d'alerte. Et si une attaque de phishing réussit à percer vos défenses, un plan d'intervention en cas d'incident peut aider à atténuer les dégâts.
Les logiciels commerciaux de lutte contre les logiciels malveillants peuvent être utiles, mais ils doivent être surveillés. Il n'existe pas de solution miracle pour lutter contre ce type de menace. Si vous avez un MSP, demandez-lui d'utiliser une suite de cybersécurité gérée sur les ordinateurs de votre bureau. Cela permettra de s'assurer que même les attaques réussies sont contrecarrées dès le départ et qu'elles ne peuvent pas se propager. Les pare-feu de nouvelle génération peuvent également constituer un élément utile du plan de réponse aux menaces. Les pare-feu NG peuvent souvent repérer des incohérences dans les en-têtes des messages ou même détecter des logiciels malveillants intégrés dans le courrier électronique.
Si vous êtes victime d'un phishing, ne paniquez pas. Contactez immédiatement votre institution financière, réinitialisez vos mots de passe et signalez l'incident aux autorités policières locales. Prenez les mesures nécessaires pour récupérer et sécuriser vos coordonnées bancaires et vos données personnelles et tirez les leçons de cette expérience.
Le paysage numérique de 2023, qui évolue rapidement, exige une approche tout aussi adaptative de la cybersécurité. Alors que les escroqueries par phishing et les logiciels malveillants continuent d'innover, il doit en être de même pour nos défenses. Restez informé, restez vigilant et, surtout, cultivez une culture de la sécurité en ligne.
