par | 24 Nov 2020

Cyberattaque par email : 4 choses à savoir sur le phishing

Avec les ransomwares, le phishing représente l’autre principale attaque informatique qui cible les employés des PME par le canal email. Si le procédé technique a peu évolué, c’est l’ingénierie sociale des cybercriminels qui rend ce type de cyberattaque particulièrement difficile à appréhender pour les collaborateurs d’une PME. Voici les quatre principales caractéristiques à connaître à propos du hameçonnage.

1. Tout repose sur l’usurpation d’identité

Le logo, la charte graphique : on s’y croirait. L’usurpation d’identité est la base du phishing et les fraudeurs n’hésitent pas à se faire passer pour des organismes qui ont pignon sur rue. Banques et assurances, fournisseurs d’énergie, opérateurs téléphoniques et fournisseurs d’accès, réseaux sociaux et e-commerçants ou encore institutions publiques comme les impôts et l’assurance maladie sont régulièrement « singés » dans les tentatives d’hameçonnage. Si ces dernières visent aussi bien les particuliers que les professionnels, les entreprises sont plus particulièrement ciblées par des mails frauduleux aux couleurs d’hébergeurs web ou de l’Urssaf. L’adaptation n’a pas de limite !

Le phishing vise à voler des identifiants et des codes d’accès aux services en ligne

2. Le but recherché est le vol de données confidentielles

Cybercriminalité oblige, l’usurpation d’identité n’est pas sans finalité. Le phishing vise à voler des identifiants et des codes d’accès en prétextant une mise à jour des informations ou des moyens de paiement, en vue d’un remboursement ou suite à un incident technique. L’expéditeur inspire confiance, le motif de la demande paraît convaincant – bien plus plausible que l’arnaque à l’héritage ou le chantage à la webcam par exemple – et son caractère prétendument urgent suffit parfois à faire tomber les barrières de la vigilance. Le piège du hameçonnage se referme lorsque la victime clique sur le lien et saisit des informations confidentielles sur un faux site mis en œuvre par les fraudeurs. Ces derniers peuvent alors revendre les données dérobées ou les utiliser pour détourner des fonds.

3. Gare aux pièces jointes !

Le filoutage qui vise les entreprises peut prendre une forme plus pernicieuse encore. Plutôt qu’un lien frauduleux, c’est une pièce jointe malveillante qui menace les activités de l’entreprise. De nombreux prétextes peuvent être avancés pour l’inciter à télécharger la pièce jointe, mais il s’agit dans la plupart des cas d’une fausse facture. Une fois le fichier vérole ouvert, un logiciel malveillant s’installe sur le poste infecté et se propage sur l’ensemble des postes de l’entrepris. Le plus souvent pour dérober des identifiants bancaires afin de détourner les ressources financières de l’entreprise. Même appât du gain donc, seul le procédé des fraudeurs diffère…

Le cybercriminel est capable d’adresser un message personnalisé

4. Le spear phishing, l’hameçonnage sur-mesure

C’est la forme la plus évoluée d’hameçonnage, car elle fait appel à des techniques redoutables d’ingénierie sociale et d’usurpation technique avancée. Si le phishing « low cost » consiste à pousser à échelle industrielle le même message à une large base de données d’adresses mail professionnelles, le spear phishing relève d’une approche plus artisanale en ciblant un nombre limité de cibles – les employés d’une même organisation ou plus sûrement une personne en particulier. Grâce à une première attaque ayant permis d’espionner la messagerie de l’entreprise, le cybercriminel est capable d’adresser un message personnalisé à un collaborateur hautement responsabilisé ou un dirigeant de PME. Le but : gagner sa confiance pour s’assurer qu’il téléchargera un malware ou procédera à un transfert de fonds…

La vigilance seule ne suffit pas à lutter contre le phishing : une solution complète de cybersécurité apporte une protection optimale face aux attaques informatiques par email. Pour connaître le niveau de couverture actuel de votre entreprise, testez votre vulnérabilité aux cyberattaques avec CyberCheck PME.

Share This