Qu’est-ce que le phishing ?

Le phishing est lorsqu’ils envoient des emails malveillants pour arnaquer les utilisateurs d’internet. C’est une forme d’ingénierie sociale dans laquelle les escrocs utilisent la psychologie humaine et manipulent les gens pour agir sans réfléchir. Le but est d’accéder à des données sensibles de l’utilisateur telles que des informations financières, des identifiants de système, des numéros de carte de crédit, etc.

Les emails de phishing envoyés semblent provenir d’une source réputée, et les victimes sont trompées pour les ouvrir. Une fois ouverts, ces emails répandent des logiciels malveillants et volent des données. Habituellement, des techniques telles que la falsification, l’imitation et la diversion jouent un rôle intégral dans les attaques de phishing.

L’histoire du phishing

On pourrait penser que le phishing est un concept récent, mais il est utilisé depuis le milieu des années 1990. Tout a commencé avec des pirates se faisant passer pour des employés d’AOL pour « pêcher » des informations. Comme AOL était un système de contenu renommé à l’époque, ces escrocs ont réussi à tromper leurs victimes. Ils les ont incitées à divulguer leurs identifiants, puis ont piraté leurs comptes.

Ensuite, dans les années 2000, le phishing est devenu plus important dans le secteur bancaire. Les cybercriminels ont trouvé les comptes bancaires plus rentables, donc ils ont attiré les utilisateurs pour révéler leurs identifiants financiers. Des emails de phishing imitant des avis bancaires ont été envoyés en masse pour voler les fonds des utilisateurs inconscients.

Avec le temps, le phishing a évolué et de nouvelles variantes sont apparues, telles que le phishing Paypal, le phishing Amazon, le phishing Apple, le spear phishing, etc. Les escrocs deviennent de plus en plus avancés et imitent des organisations réputées en utilisant des emails sophistiqués qui ressemblent à de vrais emails. À ce jour, le phishing reste un problème quotidien auquel font face les communautés en ligne.

Le phishing est un problème persistant.

Le phishing est largement utilisé pour escroquer les gens car il est peu coûteux à réaliser. Les adresses email sont faciles à obtenir et l’envoi d’emails ne coûte rien. Ainsi, les emails de phishing sont une source facile d’argent pour les cybercriminels.

Cependant, les effets du phishing ne sont pas bon marché. Le coût pour la société dans son ensemble est énorme car des millions de personnes sont escroquées chaque jour. Les montants individuels peuvent être petits, mais ils s’accumulent en milliards lorsqu’ils sont agrégés. Selon le FBI’s IC3, une perte de plus de 1,8 milliard a été signalée à cause du phishing.

Outre les pertes financières, le phishing a également causé d’importantes violations de données. Dans le monde des entreprises, le phishing est souvent utilisé pour établir une première attaque en vue d’une attaque plus importante. Comme la violation de données de Target en 2013, de nombreuses violations de données commencent par un simple email de phishing pour ensuite se transformer en scandales massifs.

Les attaques de phishing ont également des conséquences sociales négatives. Comme les emails de phishing peuvent révéler des informations personnellement identifiables (PII) telles que des dossiers fiscaux, des informations médicales et des données financières, cela soulève des préoccupations en matière de confidentialité. De plus, le phishing peut donner aux cybercriminels un accès direct aux médias sociaux et à d’autres comptes, ce qui peut causer la panne de ces plateformes.

Statistiques sur le phishing

Comme les attaques de phishing ont des résultats dévastateurs pour les individus et les organisations, elles ne doivent pas être ignorées. Voici quelques statistiques sur le phishing pour comprendre sa prévalence et sa gravité :

1. Rien qu’en 2020, il y a eu 241 324 attaques de phishing signalées.
2. Il y a eu une augmentation impressionnante de 110 % des incidents de phishing entre 2019 et 2020.
3. Sur 100 répondants américains, 75 ont été victimes de tentatives de phishing.

Donc, tout le monde devrait apprendre sur le phishing pour se protéger. Continuez à lire pour en savoir plus sur ce problème massif qui persiste.

Identifier un email de phishing

La première chose que les gens devraient savoir pour se protéger des attaques de phishing est comment identifier un email malveillant. Ces emails suivent un schéma typique qui peut être facilement identifié :

La formulation :

La plupart des escrocs utilisent la peur pour attirer les utilisateurs innocents. Ils créent un sentiment d’urgence dans leurs emails afin que les lecteurs agissent sans réfléchir. Malheureusement, même les personnes ayant des connaissances en phishing peuvent tomber dans ces pièges car la peur les affecte davantage.

La plupart des emails de phishing disent aux utilisateurs que leurs comptes seront restreints ou que des logiciels malveillants se propageront sur leurs appareils s’ils ne cliquent pas sur le lien fourni. Le lien est ce qui propage les logiciels malveillants et donne aux pirates un accès aux données sensibles.

Parfois, les cybercriminels utilisent des incitations pour attirer les esprits curieux. Il est courant que les attaquants utilisent des formulations comme « Investissez 40 $ pour obtenir un retour de 400 $ », « Vous venez de gagner un billet de loterie de 1000 $ », etc. Ils rendent cela crédible et lucratif afin que les utilisateurs ignorent les signes d’avertissement et tombent dans le piège. Comme la plupart des utilisateurs pensent qu’il y a peu à perdre, ils répondent à de tels emails et finissent par perdre beaucoup.

Ce qui suit illustre un email de phishing standard :

Comme vous pouvez le voir ci-dessus, le salut des emails de phishing est générique, envoyé en masse. Soyez donc très prudent et gardez les yeux ouverts. Si vous n’êtes pas sûr de la légitimité d’un email, vérifiez l’adresse de l’expéditeur pour déterminer sa légitimité. S’il s’agit d’un email de phishing, il y aura une légère discordance qui peut vous alerter.

Le mécanisme utilisé

Après avoir rendu le corps de l’email authentique, ce qui suit dans les emails de phishing est généralement un mécanisme pour voler des informations. Principalement, les escrocs utilisent trois méthodes : soit ils attachent un fichier malveillant, insèrent un lien web, ou utilisent des formulaires de saisie de données frauduleux. Nous avons mentionné chacune d’entre elles séparément.

Liens web malveillants

C’est le mécanisme le plus courant utilisé par les escrocs. Dans cette technique, les escrocs insèrent des liens malveillants qui dirigent les utilisateurs vers des sites web de phishing ou des pages d’imposteurs infectées par des logiciels malveillants.

Ces URLs sont déguisées pour ressembler à des liens authentiques provenant d’un site réputé mais présentent des différences mineures dans la syntaxe. Elles peuvent également être intégrées dans des logos et des images présents dans l’email. Ne cliquez donc pas accidentellement sur quoi que ce soit.

Les liens de phishing sont plus efficaces que les pièces jointes et les formulaires de données car les utilisateurs les considèrent moins risqués. Ils cliquent dessus sans beaucoup réfléchir et tombent facilement dans le piège.

Voici un exemple d’email contenant un lien malveillant.

Pièces jointes malveillantes

Au lieu d’un lien web, les emails de phishing peuvent contenir des fichiers en pièce jointe. Ils imitent des pièces jointes légitimes mais sont infectés par des logiciels malveillants qui compromettent le système d’exploitation de votre ordinateur.

Les fichiers contiennent généralement un document Ms. Office avec une macro malveillante ou un script shell. Lorsqu’ils sont téléchargés, ils propagent des logiciels malveillants tels que des rançongiciels qui bloquent les fichiers sur un PC. Ces fichiers peuvent également être utilisés pour installer un enregistreur de frappe sur votre appareil afin de suivre tout ce que vous tapez, comme les mots de passe et autres informations confidentielles.

Note : Il est essentiel de comprendre que le phishing contenant de tels logiciels malveillants ne se limite pas à un seul appareil. Ils propagent les infections d’un système à un autre via des réseaux connectés, des systèmes cloud et des disques durs partagés. Par conséquent, le phishing peut se propager rapidement.

Voici un exemple d’email contenant une pièce jointe malveillante

Formulaires de saisie de données frauduleux

Un autre mécanisme couramment utilisé dans les emails de phishing est celui des formulaires de saisie de données. Ils sont principalement conçus pour recueillir des informations sensibles telles que les identifiants d’utilisateur, les numéros de carte de crédit et les mots de passe. Les emails sont rédigés d’une manière qui incite le lecteur à remplir et soumettre les informations immédiatement.

Une fois que les utilisateurs remettent leurs informations volontairement, les cybercriminels peuvent les utiliser à des fins personnelles. Généralement, les escrocs imitent les agences gouvernementales et persuadent les individus crédules de remplir des formulaires frauduleux pour des déclarations fiscales et d’autres démarches civiles.

Mais vous devriez savoir que les gouvernements ne contactent pas les citoyens par email ni ne demandent des données confidentielles via de tels canaux. Donc, ces formulaires devraient être considérés comme suspects.

Voici un exemple d’email frauduleux contenant un formulaire de saisie de données :

Ligne d’objet

La ligne d’objet est un autre aspect vital de l’email qui peut vous aider à distinguer entre les emails légitimes et les emails de phishing. Dans une attaque de phishing, la ligne d’objet joue un rôle crucial car elle détermine si l’utilisateur va mordre à l’hameçon ou non.

Les attaquants s’assurent donc que le sujet de l’email inspire soit la peur, soit la curiosité. Ces émotions, bien utilisées, peuvent inciter les utilisateurs à cliquer sur des emails malveillants.

Généralement, les lignes d’objet mettent en avant les points de douleur des utilisateurs comme des problèmes de livraison, des soucis de compte bancaire, etc. Si un utilisateur n’est pas vigilant quant au domaine dans l’adresse de l’expéditeur, il ou elle peut facilement être trompé(e) pour ouvrir l’email. Une fois l’email ouvert, les chances pour les escrocs de divulguer des informations sensibles augmentent.

Voici un exemple d’email avec une ligne d’objet générique à laquelle la plupart des gens tombent souvent victimes :

Types d’attaques de phishing

Même après avoir connaissance des bases du phishing, les utilisateurs, y compris les experts en sécurité, peuvent être victimes de telles attaques. Cela est dû au fait que les cybercriminels mettent à jour leurs méthodes. Avec l’avancée de la technologie et l’augmentation des transactions en ligne, les attaques de phishing évoluent également, ce qui les rend plus difficiles à éviter.

Le phishing ne se limite plus aux spams en masse et au simple vol de données. Au contraire, les attaquants développent de nouvelles façons de mener des campagnes massives. Ces attaques peuvent viser n’importe qui, en fonction du type de phishing.

Les principaux types de phishing comprennent :

1. Spear phishing:

Une forme ciblée de phishing où des emails personnalisés sont envoyés à des individus spécifiques, en particulier aux employés de haut rang et aux détenteurs d’informations sensibles.

2. Fraude au PDG :

Il s’agit d’une forme de spear phishing, mais au lieu de cibler les employés haut placés dans l’organisation, elle vise les employés juniors. Les escrocs imitent des responsables supérieurs tels que les PDG pour pousser leurs subordonnés à transférer de l’argent ou à agir de manière non éthique.

3. Smishing:

C’est l’abréviation de SMS phishing, dans lequel les fraudeurs utilisent des messages SMS pour inciter les utilisateurs à ouvrir des sites Web malveillants.

4. Vishing:

Le vishing est une forme de phishing qui utilise un logiciel de modification de voix et cible les victimes en leur laissant un message téléphonique très persuasif et urgent.

5. Phishing Amazon et courriels frauduleux de Paypal

Amazon, eBay, Apple et PayPal sont des acteurs majeurs dans leurs industries respectives ; ils sont donc des cibles importantes pour les escrocs. Avec des millions d’utilisateurs sur ces plateformes, les cybercriminels trouvent pratique d’envoyer des e-mails imitant ces marques réputées. Cela inclut, mais sans s’y limiter, les faux e-mails PayPal, les e-mails de phishing d’Apple, les e-mails d’arnaque Amazon, les e-mails de phishing d’Apple, etc.

6. Wi-Fi « Evil Twin » :

Comme son nom l’indique, dans cette attaque de phishing, les escrocs utilisent un Wi-Fi gratuit pour inciter les utilisateurs à se connecter à un hotspot malveillant. Une fois connectés à leur victime, ils en abusent pour mener des exploits de l’homme du milieu.

Cependant, rappelez-vous que le phishing ne se limite pas seulement aux types mentionnés ci-dessus. Avec le temps, de nouvelles formes émergent régulièrement. De plus, l’essor de nouvelles plateformes en ligne populaires donne naissance à différents types de phishing. Par exemple, l’augmentation des utilisateurs de Netflix a rendu les e-mails d’arnaque Netflix plus courants.

Ainsi, pour vous protéger, ainsi que votre organisation, vous devez être conscient des différentes formes que peut prendre le phishing, puis appliquer les mesures appropriées. Pour vous aider à comprendre comment le phishing se produit, nous avons inclus quelques endroits familiers où il peut être trouvé.

Phishing autour de vous

Le phishing est partout autour de vous. Il est essentiel de réaliser que n’importe qui peut être victime de ces attaques en accédant à Internet et à ses outils. Vous pouvez même subir les conséquences d’une attaque de phishing même sans être directement impliqué.

Donc, être prudent est le seul moyen de vous protéger du phishing et de ses nombreuses formes. Nous avons dressé une liste de quelques endroits où l’on trouve couramment des e-mails de phishing :

Dans la vie personnelle

• Comptes bancaires
• Transactions de crédit
• Déclarations de revenus
• Achats en ligne
• Prêts et hypothèques
• Réseaux sociaux

Au travail

• Transfert de fonds d’entreprise
• Perte d’informations confidentielles concernant les clients et les employés.
• Divulgation de secrets commerciaux
• Systèmes bloqués et fichiers infectés
• Réputation endommagée
• Pénalités dues à des violations de la conformité
• Perte de parts de marché
• Baisse de la confiance des investisseurs

Dans les industries :

• Commerce électronique
• Marchés financiers
• Systèmes de paiement
• Entreprises de technologies de l’information et de télécommunication
• Entreprises de livraison

Marques populaires imitées

• Google
• Amazon
• Banque d’Amérique
• Microsoft
• Apple
• FedEx
• LinkedIn

Cette liste n’est en aucun cas exhaustive, car les attaques de phishing peuvent être menées n’importe où. Elle est là simplement pour vous donner un exemple de la prévalence du phishing et pourquoi la sensibilisation et la protection sont très importantes.

Protection contre le phishing

Comme le phishing est devenu sophistiqué, avec les escrocs utilisant des kits de phishing pour passer inaperçus, la nécessité de protection est devenue encore plus évidente. De plus, les campagnes de phishing sont devenues massives, avec les criminels utilisant des dizaines de domaines pour cibler davantage de personnes.

Comme le paysage de la cybersécurité évolue continuellement, il est devenu critique pour les entreprises d’éduquer leurs employés sur les dernières techniques de phishing et sur la manière de les prévenir. Les maintenir informés des dernières menaces et inculquer la cybersécurité peut aider à atténuer les tentatives de phishing réussies.

Voici quelques façons d’activer la protection contre le phishing dans les organisations :

1. Suites de formation contre le phishing

Les employés peuvent être sensibilisés aux scénarios de phishing grâce à des suites de formation comprenant des exercices de simulation et des exemples du monde réel. Habituellement, les experts en sécurité envoient des e-mails de phishing ressemblants aux employés et vérifient s’ils peuvent les identifier ou non.

Cette application pratique aide les employés à reconnaître le phishing à l’avance et à réduire le risque d’être compromis lors d’attaques réelles à l’avenir. Former les employés de cette manière garantit que l’organisation ne devienne pas la prochaine victime de phishing et protège les employés dans leur vie personnelle.

2. Solutions de passerelle de messagerie

Les organisations peuvent installer des solutions qui peuvent détecter et classifier les e-mails de phishing. L’un des outils les plus efficaces pour identifier et filtrer les e-mails suspects sont les solutions de passerelle de messagerie.

En utilisant des analyses, cet outil de surveillance surveille en permanence le trafic à la recherche de modèles inhabituels et met en quarantaine tout message suspect. Il alerte l’administrateur en cas d’exploitations et de téléchargements suspects. Ces informations peuvent ensuite être utilisées pour avertir les employés, réduisant ainsi les chances d’une tentative de phishing réussie.

3. Installation d’antivirus

Bien que cela ne relève pas de la protection contre le phishing, cela vous aide à atténuer les dommages d’une attaque de phishing. Si vous êtes victime d’une escroquerie, l’installation d’un logiciel antivirus sur votre appareil peut vous aider à détecter et à supprimer les logiciels malveillants qui en résultent. Assurez-vous simplement que votre logiciel antivirus est à jour avec les derniers correctifs installés.

4. Signaler le phishing

Ceci doit être fait après une attaque de phishing. Si vous êtes victime d’une tentative de phishing ou si vous pensez être la prochaine cible d’une escroquerie par phishing, vous devez le signaler à l’autorité compétente.

Au niveau de l’entreprise, vous pouvez le signaler au département informatique, qui peut l’examiner et prendre des mesures préventives. Pour les particuliers, il est préférable de signaler le phishing à la FTC (Commission fédérale du commerce), qui peut attraper les escrocs et même vous aider à atténuer votre perte !

Conclusion.

La solution DMARC automatisée de Skysnag renforce la protection contre le phishing et le spoofing en confirmant que le message électronique provient réellement du domaine qu’il prétend représenter. Skysnag génère des rapports DMARC pour vous, ce qui facilite l’investigation des problèmes de sécurité potentiels et l’identification des risques possibles liés aux attaques de phishing. Commencez avec Skysnag et inscrivez-vous en utilisant ce lien.

You might be interested in reading:

Identification et protection des informations… octobre 11, 2023

5 Étapes pour détecter le Phishing en un coup d'œil octobre 11, 2023