Définition du phishing
Le phishing est un type de fraude où un attaquant se fait passer pour une personne ou une entité authentique par le biais d’un e-mail ou d’un autre type de communication. Les e-mails de phishing sont généralement utilisés par les attaquants pour diffuser des pièces jointes ou des liens malveillants qui effectuent diverses tâches. Certains d’entre eux volent les données de connexion ou de compte des victimes.
Les escroqueries par hameçonnage sont très populaires auprès des cybercriminels, car il est plus simple de tromper les utilisateurs en les incitant à cliquer sur des liens malveillants dans un faux courriel provenant d’une escroquerie par hameçonnage que de violer la sécurité d’un ordinateur. Il est essentiel d’en savoir plus sur le phishing afin d’en être conscient et de l’éviter.
Comment fonctionne le phishing ?
Les attaques de phishing reposent généralement sur des techniques de réseaux sociaux et sont ensuite appliquées à des courriers électroniques ou à d’autres méthodes de communication électronique. Certaines méthodes impliquent des messages directs sur les réseaux sociaux et des SMS.
Les hameçonneurs peuvent utiliser des sources d’information publiques pour recueillir des détails sur le parcours personnel et professionnel de la victime, ainsi que sur ses intérêts et autres activités. La majorité d’entre eux passent par des réseaux sociaux comme LinkedIn, Facebook et Twitter. Ce sont les sources les plus populaires pour trouver des informations comme les noms des personnes travaillant dans la même entreprise, les titres des postes et les adresses électroniques des victimes potentielles. Ces informations peuvent ensuite être utilisées pour créer un courriel authentique.
En général, les victimes reçoivent un courriel qui semble provenir d’un contact ou d’une organisation établie. L’attaque est exécutée soit via une pièce jointe à un fichier malveillant, soit via des liens vers des sites malveillants. Dans les deux cas, l’objectif est d’infliger un logiciel malveillant à l’appareil de l’utilisateur ou de diriger l’utilisateur vers un faux site web. Les faux sites web sont conçus pour inciter les utilisateurs à divulguer des informations financières et personnelles, comme des mots de passe ou des détails de comptes, ainsi que des informations sur les cartes de crédit.
Bien que de nombreux messages de phishing ne soient pas bien écrits et soient clairement faux, les cybercriminels utilisent de plus en plus les mêmes stratégies que les spécialistes du marketing pour trouver les types de messages les plus efficaces.
Comment reconnaître un faux courriel
Les arnaques de phishing qui réussissent sont difficiles à différencier des messages authentiques. En général, ils semblent provenir d’une entreprise réputée, et peuvent même inclure les logos de l’entreprise ainsi que d’autres informations permettant d’identifier l’expéditeur.
Divers indicateurs peuvent indiquer qu’un message peut être une arnaque. Il s’agit notamment de :
- Le message utilise des URL de sous-domaines mal orthographiées (typosquatting) ou des URL suspectes.
- Le destinataire utilise une adresse électronique telle que Gmail ou toute autre adresse électronique, et non une adresse électronique d’une entreprise.
- Le message est rédigé de manière à susciter la crainte ou une impression d’urgence.
- Le message contient une demande de confirmation de données personnelles, notamment d’informations financières ou de mots de passe.
- Le contenu est de mauvaise qualité, avec des fautes de grammaire et d’orthographe.
Les cybercriminels continuent d’améliorer leurs techniques en lançant des attaques de phishing et en créant de nouveaux types de fraudes utilisant le phishing. Les types d’attaques de phishing les plus courants sont les suivants :
Les attaques de spear phishing visent des entreprises ou des personnes spécifiques. Elles utilisent généralement des informations obtenues auprès de la victime afin de la convaincre que le message est authentique. Les e-mails de spear phishing peuvent contenir des références à des cadres ou à des collègues au sein de l’organisation de la victime, et peuvent également utiliser le nom et l’adresse de la victime, son emploi ou d’autres détails personnels.
Les attaques de type « whaling » sont un type d’attaque de spear phishing qui vise les cadres supérieurs d’une organisation. L’objectif de cette attaque est généralement de dérober de grosses sommes d’argent. Les personnes qui planifient une campagne de spear phishing mènent une enquête approfondie sur leurs victimes pour s’assurer qu’elles envoient un message authentique. L’utilisation de détails pertinents ou spécifiquement ciblés sur la personne augmente les chances de réussite de l’attaque.
Étant donné qu’une attaque de phishing typique vise un employé qui a le pouvoir d’autoriser des transactions, l’e-mail de phishing semble généralement être un ordre d’un dirigeant d’approuver une somme d’argent massive à un fournisseur, mais en réalité, le paiement serait donné par les attaquants.
Le pharming est un type d’attaque par hameçonnage qui utilise l’empoisonnement du cache DNS pour détourner les utilisateurs d’un site Web authentique vers un faux site Web. Il s’agit de tromper les utilisateurs pour qu’ils tentent de se connecter au faux site Web en utilisant leurs informations d’identification personnelles.
Les attaques de phishing par clonage utilisent des e-mails authentiques qui ont été envoyés, mais qui contiennent une pièce jointe ou un lien hypertexte. Les attaquants créent une copie exacte – ou un clone – de l’e-mail authentique, puis remplacent les pièces jointes ou les liens par des fichiers chargés de logiciels malveillants. Les victimes sont souvent incitées à cliquer sur le lien malveillant ou à ouvrir la pièce jointe.
Cette technique est couramment utilisée par les criminels qui ont pris le contrôle du système d’une victime. Dans ce scénario, les attaquants prennent le contrôle d’un système au sein d’une organisation pour envoyer des e-mails via une source de confiance connue de leurs victimes.
Les hameçonneurs peuvent utiliser la double attaque Wi-Fi pour démarrer un point d’accès Wi-Fi et le promouvoir sous un faux nom. Il s’agit généralement d’un point d’accès authentique. Si les victimes sont connectées au réseau du jumeau maléfique, elles ont accès à tous les messages envoyés vers et depuis les appareils de la victime. Cela inclut l’accès aux identifiants des utilisateurs et aux mots de passe. Les attaquants ont également la possibilité d’utiliser cette technique pour cibler les appareils des victimes en présentant de fausses sollicitations.
Le hameçonnage vocal est un type de hameçonnage qui se déroule par le biais de la voix, comme la voix sur IP (VoIP) ou le service téléphonique de base (POTS). Une arnaque typique de phishing utilise un programme de synthèse vocale pour envoyer des messages sur la voix de la victime qui l’informe d’une activité suspecte sur son compte bancaire ou de crédit. Le message demandera à la victime de répondre pour vérifier son identité, ce qui pourrait compromettre les informations d’identification du compte.
Une autre attaque de phishing ciblant les appareils mobiles, le SMS phishing, utilise des messages texte pour persuader les victimes de révéler les informations d’identification de leur compte ou de télécharger des logiciels malveillants.
Techniques de phishing
Les attaques de phishing ne se contentent pas d’envoyer un courriel aux victimes dans l’espoir qu’elles cliquent sur un lien faux ou ouvrent une pièce jointe malveillante. Les attaquants utilisent diverses techniques pour séduire leurs victimes :
Le JavaScript est un moyen de placer l’image d’une URL valide dans la barre d’adresse d’un navigateur Web. L’URL s’affiche lorsque vous survolez un lien intégré. L’URL peut être modifiée à l’aide de JavaScript. La manipulation des liens, également connue sous le nom de masquage d’URL, est utilisée dans divers types courants d’hameçonnage et est utilisée de diverses manières. La méthode la plus simple consiste à créer une fausse URL qui semble correspondre à des sites ou des pages légitimes, mais le lien réel pointe en fait vers un site web malveillant.
Les services de raccourcissement de liens tels que Bitly sont un moyen de dissimuler l’emplacement de l’hyperlien. Les victimes ne savent pas si les URL raccourcies sont des sites web légitimes ou malveillants.
L’usurpation d’identité repose sur des URL créées à l’aide de différents caractères afin d’apparaître exactement comme un domaine de confiance. Par exemple, les attaquants peuvent créer des domaines qui présentent de légères différences dans les jeux de caractères, et qui sont similaires à des domaines bien connus et établis.
Le fait de rendre tout ou partie d’un message en images graphiques peut parfois permettre aux attaquants de contourner les défenses contre le phishing. Certains logiciels de sécurité analysent les courriels à la recherche de mots ou de phrases spécifiques qui sont couramment utilisés dans les courriels de phishing. La possibilité de rendre le message sous forme d’image résout ce problème.
Une autre technique de phishing est la redirection indirecte. Cela signifie qu’une faille de sécurité de redirection ouverte ne peut pas vérifier si une URL redirigée pointe vers une source fiable. Dans ce scénario, l’URL de redirection peut être considérée comme une page intermédiaire malveillante qui demande des détails d’authentification à l’utilisateur. Cette opération est effectuée avant de rediriger le navigateur Web de la victime vers le site Web légitime.
Comment éviter le phishing
Pour s’assurer que les messages de phishing ne parviennent pas aux utilisateurs, les experts suggèrent des couches de contrôles de sécurité, qui comprennent :
- un logiciel anti-virus ;
- des pare-feu pour les réseaux et les ordinateurs
- un logiciel anti-spyware ;
- Une barre d’outils anti-phishing (installée dans les navigateurs Internet) ;
- le filtre de courrier électronique de la passerelle ;
- la passerelle web ;
- filtre anti-spam
Les serveurs de messagerie d’entreprise doivent utiliser au moins une méthode d’authentification pour vérifier que les courriels reçus sont authentiques. Il peut s’agir du protocole DomainKeys Identified Mail (DKIM), qui permet aux utilisateurs de refuser tous les courriels, à l’exception de ceux qui ont été signés de manière cryptographique. Un autre exemple est le protocole DMARC (Domain-based Message-Authentication Reporting and Conformance). DMARC fournit une approche de l’utilisation des protocoles pour bloquer les courriers électroniques non sollicités.
Il existe de nombreuses ressources disponibles sur Internet pour vous aider à lutter contre la menace du phishing. L’Anti-Phishing Working Group Inc. Et le site OnGuardOnline.gov du gouvernement fédéral fournissent des conseils sur la manière d’identifier et d’éviter les attaques par hameçonnage. Des outils de formation basés sur la sensibilisation à la sécurité, comme PhishMe de Wombat Security Technologies, peuvent aider à apprendre aux employés comment éviter les escroqueries par hameçonnage. En outre, des sites tels que FraudWatch International et MillerSmiles publient les lignes d’objet de courriel les plus récentes pour les escroqueries par hameçonnage qui circulent sur Internet.
Exemples d’hameçonnage
Les escroqueries par hameçonnage peuvent revêtir de nombreuses tailles et formes. Il est possible de rester en sécurité, vigilant et préparé en étant conscient des techniques de phishing les plus récentes employées par les fraudeurs. Voici quelques exemples d’escroqueries plus récentes utilisant le phishing :
Escroqueries basées sur le paiement numérique
Dans ce cas, les principales applications et sites Web de paiement sont utilisés comme tromperie pour voler des informations sensibles aux victimes du phishing. Dans cette fraude, une personne se fait passer pour un service de paiement en ligne (comme PayPal, Venmo ou TransferWise ou Bitcoin).
Ces attaques sont généralement menées par le biais d’e-mails, dans lesquels une version non authentique d’un fournisseur de paiement de confiance demande à l’utilisateur de vérifier les informations de connexion et les informations qui peuvent être utilisées pour l’identifier. En général, ils déclarent que cela est nécessaire pour résoudre tout problème sur le compte de l’utilisateur. Le plus souvent, ces tentatives de phishing contiennent le lien vers une page web frauduleuse « spoofing ».
PayPal est bien conscient des risques et a publié des documents d’information que ses clients peuvent lire pour se préparer aux attaques de phishing. Ils conseillent à toute personne qui reçoit un courriel suspect d’un utilisateur se réclamant de PayPal de ne pas cliquer sur les hyperliens, mais d’utiliser la technique du survol telle que décrite ci-dessus pour déterminer si l’adresse du lien est la même que celle du domaine officiel de PayPal. PayPal conseille également aux utilisateurs de se connecter à leur compte de manière indépendante pour s’assurer que tout fonctionne comme il se doit.
Si vous n’êtes pas sûr de ce qu’il faut rechercher dans un e-mail d’escroquerie de paiement en ligne, il y a quelques spécificités à connaître. En général, le cas d’un email de phishing envoyé par PayPal est susceptible d’inclure :
Des salutations inappropriées qui ne contiennent pas le nom de la victime. Les e-mails officiels de PayPal s’adressent toujours aux utilisateurs avec le nom qu’ils utilisent à titre personnel ou professionnel. Les attaques de phishing dans ce domaine commencent généralement par « Cher utilisateur » ou par une adresse électronique à la place.
Pour PayPal et d’autres services de paiement Ces fraudes « alertent » les victimes potentielles que leur compte est sur le point d’être suspendu. Certaines prétendent que les victimes ont par erreur « trop payé » et qu’elles doivent maintenant transférer de l’argent sur un faux compte.
Les pièces jointes téléchargeables ne sont pas des documents que PayPal communique à ses utilisateurs. Si une personne reçoit un e-mail de PayPal ou d’un service similaire contenant une pièce jointe à télécharger, elle ne doit pas la télécharger.
Si une personne reçoit un de ces e-mails, il lui est recommandé d’ouvrir la page de paiement de son compte dans une autre fenêtre ou un autre onglet pour vérifier si son compte est en alerte. Si une personne a été payée en trop ou risque de perdre son compte, elle pourra le mentionner sur la page. En outre, PayPal encourage les utilisateurs à lui signaler toute activité suspecte afin qu’il puisse être au courant de ces activités frauduleuses et empêcher ses clients de se faire escroquer.
Attaques de phishing basées sur le financement
Il s’agit des types de phishing les plus courants qui supposent que les victimes seront effrayées et divulgueront des détails personnels au fraudeur. Dans ce scénario, l’escroc se fait généralement passer pour une banque ou une autre institution financière. Par courrier électronique ou par appel téléphonique, l’escroc informe la personne victime que sa sécurité a été violée. Pour ce faire, les escrocs s’appuient souvent sur la menace d’un vol d’identité.
Voici quelques exemples de cette fraude :
- Des courriels inhabituels concernant des transferts d’argent qui peuvent dérouter le destinataire. Dans ces escroqueries par hameçonnage, la victime potentielle reçoit un courriel d’accusé de réception ou un courriel de rejet concernant le virement de l’ACS. Souvent, la personne qui reçoit le courriel pense immédiatement que des frais frauduleux ont été ajoutés à son compte, et clique sur un lien frauduleux dans le message. Ses informations personnelles sont susceptibles d’être utilisées de manière abusive.
- Les escroqueries au dépôt direct sont généralement utilisées pour cibler les nouveaux employés d’une entreprise ou d’un commerce. Les victimes de ces arnaques sont informées que leurs données de connexion ne fonctionnent pas. Si elles s’inquiètent de ne pas recevoir de paiement et de ne pas être payées, les victimes cliquent sur le lien « bidon » qui figure dans l’e-mail. Elles sont dirigées vers un faux site Web qui infecte leur système avec un logiciel malveillant. Une fois sur place, leurs données bancaires sont susceptibles d’être consultées, ce qui peut entraîner des frais frauduleux.
Ces chiffres sont particulièrement alarmants car ce type d’escroquerie peut être personnel et difficile à identifier. Dans ces cas, l’auteur de l’escroquerie se fait passer pour le patron ou le PDG du destinataire, contacte la personne visée et lui demande de payer un virement bancaire ou un achat non authentique.
L’une des escroqueries les plus courantes découvertes dans les entreprises au cours des dernières années est un plan de vol de mots de passe. Ce type d’escroquerie vise généralement les employés de haut niveau, car ils ne pensent pas que l’e-mail envoyé par leur patron est une véritable escroquerie. Les escroqueries basées sur des courriels fonctionnent généralement parce qu’elles ne sont pas alarmistes, elles parlent simplement des problèmes normaux du lieu de travail. En général, il informe la personne qu’un rendez-vous prévu doit être modifié.
L’employé est invité à remplir un questionnaire concernant la modification du planning, en utilisant le lien. Le lien renvoie l’utilisateur à une fausse page de connexion d’Office 365 ou de Microsoft Outlook. Après avoir saisi ses données de connexion, les escrocs lui prennent son mot de passe.
L’histoire du phishing
L’origine de l’expression « phishing » n’est pas tout à fait certaine.
L’explication la plus courante du mot est qu’il s’agit d’un homophone de « fishing » (pêche). Il est ainsi nommé parce que les escroqueries par hameçonnage utilisent des leurres pour attraper les victimes qui ne sont pas conscientes du danger ou du poisson.
Une autre raison de la source du phishing est la chaîne de caractères ->- que l’on voit souvent dans les journaux de chat d’AOL. Ces caractères sont une balise HTML typique que l’on trouve dans les transcriptions de chat. En raison de son apparition fréquente dans ces journaux, les administrateurs d’AOL ne pouvaient pas la repérer efficacement comme signal d’activité suspecte. Les pirates remplaçaient alors par cette chaîne tout indice d’activité criminelle – comme le vol de cartes de crédit ou d’informations d’identification. Cela aurait pu être un moyen de donner un nom au crime, les caractères étant une représentation facile d’un animal.
Au début des années 1990, un groupe d’individus appelé le Warez Group a créé un algorithme qui générait des numéros de cartes de crédit. Ces numéros étaient générés de manière aléatoire pour créer de faux comptes AOL. Le faux compte était utilisé pour envoyer du spam à différents comptes AOL. Certains ont tenté de modifier leur pseudonyme AOL afin de se faire passer pour un administrateur AOL. En utilisant ces pseudonymes, ils « hameçonnaient » les personnes utilisant AOL Messenger pour leur demander leurs coordonnées.
Depuis le début de l’année 2000, le phishing a connu d’autres changements dans son application. Le « bogue de l’an 2000 » en est un bon exemple. Les personnes qui y sont sensibles reçoivent un courrier électronique contenant un message intitulé « ILOVEYOU » et pointant vers une pièce jointe. Cette pièce jointe contenait un ver qui effaçait les fichiers de l’ordinateur de la victime et se copiait ensuite dans la liste de contacts de l’utilisateur.
En outre, au cours du premier trimestre des années 2000, divers pirates ont commencé à enregistrer des sites Web de phishing. Un site de phishing est un domaine qui a le même nom et la même apparence que le site officiel. Ils sont créés pour faire croire aux utilisateurs qu’ils sont authentiques.
Aujourd’hui, les tactiques de phishing sont plus diverses et plus dangereuses que par le passé. En raison de la fusion des méthodes de connexion et des médias sociaux, comme « se connecter en utilisant Facebook », un attaquant pourrait éventuellement créer de multiples violations de données contre les personnes qui ont le mot de passe de phishing, les rendant ainsi vulnérables aux attaques liées aux ransomwares. De nouvelles technologies sont utilisées à l’heure actuelle. Par exemple, le PDG d’une entreprise d’énergie au Royaume-Uni pensait qu’il parlait par téléphone à son patron. On lui a demandé de payer un fournisseur particulier, mais il s’agissait en fait d’une escroquerie qui utilisait l’IA pour imiter la voix du PDG de sa société mère. On ne sait pas si les attaquants ont utilisé des bots pour répondre aux demandes des victimes. Si le phisher a utilisé un système automatisé pour mener l’attaque, il sera plus difficile pour les services de répression d’enquêter.
