Comment fonctionne une attaque de phishing ?

Personne n'installerait intentionnellement de logiciel malveillant sur son ordinateur ni ne communiquerait les informations de connexion à sa banque. Cependant, les attaques de phishing sont toujours couronnées de succès.

Heureusement, les attaques de phishing ne fonctionnent que si l'utilisateur ciblé agit. C'est la clé. La plupart des attaques de phishing tirent parti de la loi des grands nombres et ciblent des milliers de personnes à la fois en espérant qu'un petit pourcentage des destinataires tomberont dans le piège et divulgueront des informations sensibles. Connaître les tactiques qu'un « hameçonneur » peut utiliser vous aidera à ne pas être victime d'un cyberattaque. Nous examinerons ensuite les types d'attaques de phishing.

‍

Types d'attaques de phishing

Depuis que le terme hameçonnage a été inventé en 1987, les tactiques utilisées pour les attaques de phishing ont évolué vers plusieurs types spécifiques de phishing. Voici quelques types courants de phishing :

‍

Virus

Un virus est un logiciel malveillant associé à un autre type de logiciel. Chaque fois que l'utilisateur exécute le virus, généralement accidentellement en exécutant le logiciel auquel il est attaché, le virus se réplique en s'ajoutant à d'autres programmes du système de l'utilisateur.

‍

Hameçonnage par e-mail standard

Le phishing par e-mail standard utilise la méthode du fusil de chasse pour envoyer autant de courriels que possible au plus grand nombre de personnes possible. Les attaquants espèrent voler des informations sensibles en faisant tomber dans le piège un petit pourcentage des destinataires des e-mails en cliquant sur un lien malveillant et en saisissant leurs informations de connexion sous un faux formulaire.

‍

Pêche au harpon

Lorsque les attaquants conçoivent un message électronique pour attirer un individu en particulier, on parle de spear phishing, qui fait apparaître l'image d'un pêcheur ciblant un poisson spécifique.

Dans ces cas, les attaquants trouvent leur cible en ligne, parfois en utilisant des réseaux sociaux tels que LinkedIn, qui ont des antécédents professionnels détaillés pour recueillir des informations sur la personne. Ils enverront ensuite un e-mail à l'adresse e-mail professionnelle de la cible en utilisant une adresse e-mail frauduleuse du même domaine. C'est facile à faire car le hameçonneur peut deviner l'adresse e-mail professionnelle de la cible en fonction de ses prénom et nom de famille et du nom de domaine de l'entreprise pour laquelle elle travaille.

Dans l'e-mail, l'attaquant se fera passer pour un employé et tentera d'amener la cible à divulguer des informations sensibles ou à transférer des fonds.

‍

chasse à la baleine

La chasse à la baleine ou l'hameçonnage à la baleine sont assimilables à la chasse sous-marine, sauf que les cibles de l'attaque sont des personnes de haut niveau, comme les PDG ou les membres du conseil d'administration de l'entreprise. Les attaques de chasse à la baleine impliquent généralement de nombreuses recherches sur la personne attaquée et demandent beaucoup de temps de préparation, car les gains pour l'attaquant sont généralement importants.

‍

Phishing par malware

Le phishing par malware utilise les mêmes méthodes que le phishing par e-mail standard. Une attaque de phishing par un logiciel malveillant n'est généralement pas ciblée pour infecter autant d'appareils que possible avec des logiciels malveillants. Les hameçonneurs tentent d'inciter leurs cibles à cliquer sur des liens de courrier électronique qui téléchargent et installent des logiciels malveillants. Ce malware peut être de n'importe quel type : un rançongiciel, qui bloque l'accès de l'utilisateur et lui demande une rançon ; un logiciel publicitaire, qui inonde l'utilisateur de publicités ; un logiciel espion, qui vole des données sur l'appareil ou enregistre les frappes de clavier des utilisateurs ; etc.

‍

Smishing

Le smishing est une attaque au cours de laquelle des liens malveillants sont envoyés à des téléphones compatibles SMS. Les liens peuvent se faire passer pour des avertissements de compte et des notifications de prix pour inciter l'utilisateur du téléphone à cliquer sur le lien.

‍

Phishing par moteur de recherche

Le phishing sur les moteurs de recherche utilise l'optimisation des moteurs de recherche ou les publicités payantes pour les moteurs de recherche pour obtenir des sites frauduleux conçus pour voler des informations d'identification bien classées dans les résultats des moteurs de recherche. Les utilisateurs peu méfiants supposeront qu'ils se trouvent sur un site connu, saisiront leurs informations d'identification et seront accueillis par une fausse erreur. D'ici là, l'attaquant aura déjà volé ses données.

‍

Attaque de l'homme du milieu

Ces types d'attaques se produisent généralement dans des zones dotées de réseaux Wi-Fi publics. L'attaquant créera un faux réseau Wi-Fi public gratuit auquel des personnes peu méfiantes pourront se connecter. Une fois qu'un utilisateur est connecté, l'attaquant peut hameçonner pour obtenir des informations.

‍

Pêche

Vishing est l'abréviation de phishing vocal. Cette attaque implique de faux appels téléphoniques. L'appelant dira qu'il provient d'une agence gouvernementale comme l'IRS ou d'une grande organisation et essaiera d'obtenir de la cible qu'elle divulgue ses coordonnées bancaires ou des informations de carte de crédit.

‍

Pharming

Ceci est également connu sous le nom d'empoisonnement du DNS. En corrompant le DNS, un attaquant peut acheminer le trafic légitime d'un site bancaire ou d'une autre organisation vers un faux site qui volera les informations des utilisateurs.

‍

Phishing par clon

Dans ce type d'attaque de phishing, l'attaquant pirate la messagerie ou le compte social d'un utilisateur légitime, puis envoie des e-mails ou des messages malveillants aux contacts des utilisateurs, qui peuvent cliquer sur des liens car l'e-mail provient d'une source fiable.

‍

Publicité malveillante

Ce type d'hameçonnage implique de fausses publicités qui se font passer pour des publicités émanant d'entreprises légitimes. Au lieu de rediriger les utilisateurs vers un site légitime, les publicités les redirigent vers un site de phishing.

‍

Quelles sont les conséquences d'une attaque de phishing réussie ?

Étant donné qu'une attaque de phishing n'est qu'une technique visant à compromettre les informations d'identification ou à obtenir un accès non autorisé à des données, une attaque de phishing peut avoir de nombreuses conséquences. Voici quelques conséquences :

• Perte de données : les attaquants peuvent utiliser le phishing pour accéder à des données sensibles et les voler
• Atteinte à la réputation : une attaque de phishing peut porter atteinte à la réputation d'une entreprise
• Compromis de comptes : la plupart des attaques de phishing ciblent les informations d'identification des utilisateurs
• Infection par un logiciel malveillant : un grand pourcentage des attaques de phishing tentent d'inciter les destinataires à installer des logiciels malveillants déguisés en logiciels valides
• Perte financière : de nombreuses attaques de phishing ciblent les informations bancaires en ligne ou demandent des virements bancaires

‍

‍

Comment prévenir les attaques de phishing ?

Toutes les attaques de phishing peuvent être évitées. Les pirates informatiques dépendent des utilisateurs ciblés pour prendre les mesures nécessaires pour réussir. Il existe de nombreux moyens de prévenir les attaques de phishing.

• Éducation : l'éducation est l'un des meilleurs moyens de prévenir une attaque de phishing. Les attaques de phishing ne se produiraient pas sans interaction avec la cible
• Antivirus et antimalware : les logiciels de sécurité peuvent détecter et désactiver les programmes malveillants installés par un système de phishing avant qu'ils ne causent des dommages.
• E-mail et sécurité des terminaux: les e-mails peuvent être scannés à la recherche de liens malveillants et placés dans un bac à sable
• Microsegmentation: La microsegmentation de votre infrastructure informatique empêchera le mouvement latéral de tout logiciel malveillant susceptible d'avoir infecté un appareil et limitera les dommages causés au réseau d'entreprise.