Introduction au phishing

Définition

Le phishing est une technique frauduleuse dans laquelle un cybercriminel envoie un courriel en se faisant passer pour un tiers connu – comme Google, Amazon ou Microsoft. Son objectif est de tromper le destinataire pour qu'il clique sur un lien ou télécharge un fichier afin de voler des informations, de l'argent ou d'installer un logiciel malveillant.

Les types de phishing les plus courants

Fraude au PDG

La fraude au PDG (également appelée arnaque au PDG) est une technique d'escroquerie ciblée dans laquelle un attaquant se fait passer pour un dirigeant de l'entreprise (souvent le PDG ou le directeur financier) pour convaincre un employé d'effectuer une transaction bancaire frauduleuse.

Comment fonctionne la fraude au PDG ?

• Usurpation d'identité : L'escroc envoie un courriel (ou appelle) en se faisant passer pour un employé haut placé au sein de l'entreprise.

• Scénario d'urgence : Il s'agit souvent d'une situation urgente, confidentielle et sensible (par exemple, une acquisition, un paiement à un fournisseur stratégique, une urgence juridique, etc.).

• Pression psychologique : Il s'agit de mettre la pression sur l'employé, généralement du service comptable ou financier, pour qu'il agisse rapidement sans suivre les procédures habituelles.

• Virement frauduleux : L'objectif est de tromper la victime pour qu'elle transfère de l'argent sur un compte contrôlé par les escrocs, souvent situé à l'étranger.

Pourquoi ça fonctionne ?

• Le courriel semble crédible (langage professionnel, adresse courriel factice très similaire, signature du PDG, etc.).

• L'employé ciblé est souvent isolé, sous pression ou intimidé par la direction.

• L'attaque est hautement ciblée (les fraudeurs se renseignent sur l'entreprise, ses dirigeants et ses pratiques internes).

Quelles sont les conséquences ? Pertes financières importantes ; atteinte à la réputation ; responsabilité juridique si des protections ne sont pas en place

Comment se protéger ?

• Sensibiliser l'ensemble des employés, en particulier ceux des services sensibles (finances, RH, etc.)

• Mettre en place une procédure interne de validation stricte pour les virements

• Activer des protections techniques : SPF, DKIM, DMARC, filtres anti-usurpation

• Vérifier systématiquement toute demande inhabituelle via un canal secondaire (téléphone, visioconférence, en personne)

Phishing pour vol d'identifiants

• Vous recevez un courriel qui crée un sentiment d'urgence : une dépense inattendue, un compte suspendu, un changement de mot de passe. En se faisant passer pour un tiers connu, l'attaquant tente de vous pousser à cliquer le plus rapidement possible sur un lien qui vous redirige vers un site frauduleux.

• Vous saisissez vos identifiants sur le site et l'attaquant les obtient : ce site semble légitime, mais appartient en réalité à l'attaquant. En fait, lorsque vous saisissez vos identifiants, vous ne vous connectez pas réellement, vous les remettez à l'attaquant.

• Vous ne réalisez pas que vous avez été attaqué : en général, vous ne vous en apercevez même pas. Vous verrez un écran indiquant « Identifiants incorrects » et serez redirigé vers le site légitime afin que la connexion suivante aboutisse.

Phishing avec pièces jointes

Ce type d'attaque, plus sophistiqué et donc moins fréquent, permet au pirate de prendre le contrôle du poste de travail d'un employé, point d'entrée dans le système informatique de l'entreprise.

Pour ce faire, il doit vous tromper pour que vous téléchargiez une présentation PowerPoint, un document Excel ou Word et que vous activiez les macros. Il existe deux stratégies principales pour cela :

• Vous envoyer un document attrayant directement par courriel

• Vous envoyer un document malveillant via une plateforme de transfert de fichiers. Si les macros du document sont activées, l'attaquant prendra alors le contrôle du poste de travail.

Bonnes pratiques

Dès que vous recevez un courriel vous demandant de télécharger une pièce jointe, d'effectuer un virement ou de saisir un mot de passe : soyez vigilant.

• Vérifiez le nom de domaine de l'expéditeur L'adresse courriel de l'expéditeur peut sembler familière, mais elle peut être usurpée. Si tel est le cas, vous trouverez des fautes d'orthographe ou d'autres anomalies. Faites particulièrement attention au nom de domaine (la partie après @) : s'il ne correspond pas lettre pour lettre au nom du véritable expéditeur, il s'agit d'une tentative de phishing.

• Si vous êtes redirigé vers un site web, vérifiez le nom de domaine. Le problème est similaire : si l'attaquant vous redirige vers un faux site qu'il contrôle, cela signifie que le site n'est pas le vrai et n'a donc pas la même adresse (URL) lorsque vous la regardez dans la barre d'adresse de votre navigateur.

• Vérifiez l'information via un canal alternatif. Demandez une confirmation de l'expéditeur par un autre moyen : par SMS, en contactant le service client, ou en vous rendant directement sur le site dans votre navigateur. Cela peut sembler fastidieux, mais de nombreuses attaques surviennent par négligence et par manque de communication.

Comment atténuer ce risque ?

Quelques étapes simples peuvent réduire drastiquement le risque de phishing et les conséquences d'une attaque réussie.

Anticiper et limiter le risque de phishing :

• Sensibilisation des équipes : 73 % des cyberattaques proviennent d'un phishing d'un employé (CESIN). La sensibilisation est donc essentielle pour maintenir un bon niveau de cybersécurité.

• Mettre en place une authentification à deux facteurs (2FA) : La plupart des attaques de phishing visent à voler les identifiants d'un utilisateur. Mais s'il dispose d'un second facteur d'authentification, le vol des identifiants ne suffira pas à l'usurper.

• Mettre en place un gestionnaire de mots de passe : Les gestionnaires de mots de passe vérifient les noms de domaine des sites qui demandent des identifiants. Si leurs identifiants sont compromis, aucun mot de passe ne sera prérempli et l'utilisateur sera immédiatement alerté d'un événement anormal.

Et si le phishing se produit ?

Si l'utilisateur a fourni des identifiants :

• Changez le mot de passe du compte de messagerie ou du service compromis, ainsi que les mots de passe de tous les autres services où ce même mot de passe (ou une version plus faible) est utilisé ;

• Activez l'authentification à deux facteurs pour le compte de messagerie ou le service compromis

• Informez Stoik afin que nous puissions vérifier que l'attaquant ne s'est pas laissé d'autres moyens de revenir.

Si l'utilisateur a téléchargé une pièce jointe malveillante :

• Éteignez l'appareil pour limiter la propagation du virus ; Informez Stoik afin que nous puissions supprimer le virus de l'appareil et vérifier qu'il ne s'est pas propagé.