Escroquerie par hameçonnage classique

Les origines de l’hameçonnage (phishing) remontent à 1995. C’est à ce moment-là qu’un groupe de pirates a conçu plusieurs stratagèmes pour voler de l’argent et des informations sensibles aux utilisateurs d’America Online (AOL). La plupart des tactiques utilisées à l’époque sont toujours utilisées aujourd’hui. Par conséquent, ce type de phishing est appelé hameçonnage (phishing) classique.

Dans le phishing classique, les cybercriminels envoient un grand nombre d’e-mails à l’emporte-pièce à des personnes du monde entier. Dans ces e-mails, les pirates se font passer pour une personne de bonne réputation ou une organisation légitime. En utilisant un prétexte convaincant, ils essaient de tromper les destinataires des e-mails pour qu’ils effectuent une action. En règle générale, ils souhaitent que les destinataires cliquent sur un lien malveillant ou ouvrent une pièce jointe à un e-mail armé.

Ce qui se passe ensuite varie considérablement. Le lien malveillant peut conduire à un site Web falsifié (c’est-à-dire faux) conçu pour capturer les informations d’identification des victimes ou il peut conduire à un site qui installe des logiciels malveillants sur leurs appareils. L’ouverture de la pièce jointe armée peut également entraîner l’infection des appareils des victimes par des logiciels malveillants. Le malware peut être un cheval de Troie Web qui collecte les informations d’identification des appareils des victimes ou un enregistreur de frappe qui capture les entrées de leurs claviers.

Les informations d’identification, les informations de compte et d’autres données sensibles recueillies lors d’une attaque de phishing classique sont souvent utilisées pour voler l’argent ou les données des victimes. Parfois, cependant, il est vendu à d’autres cybercriminels sur le dark web.

Signe qu’un e-mail peut être une arnaque par hameçonnage classique

Parmi les trois types d’hameçonnage, les escroqueries par hameçonnage classiques sont les plus faciles à repérer. Depuis plus de 25 ans, les pirates en envoient des courriers massifs, offrant aux chercheurs en sécurité de nombreux spécimens à disséquer et à analyser. Les chercheurs ont découvert que les e-mails de phishing classiques incluent souvent un ou plusieurs drapeaux rouges. Un e-mail peut être une escroquerie par hameçonnage classique s’il comprend :

  • Une demande de vérification ou de mise à jour d’informations. Lors de la première campagne de phishing connue en 1995, les pirates se sont fait passer pour des employés d’AOL et ont demandé aux gens de vérifier les détails de leur compte ou de confirmer leurs informations de facturation. Plus d’un quart de siècle plus tard, les pirates se font toujours passer pour des employés d’organisations légitimes et demandent aux gens de vérifier les informations sensibles.
  • Une confirmation pour une commande que vous n’avez pas passée. Lorsque vous commandez des produits et services auprès de grands détaillants en ligne tels qu’Amazon et Walmart, ils vous envoient un e-mail qui confirme la commande et donne des détails à ce sujet (par exemple, ce qui a été commandé, la date de livraison prévue). Certains pirates créent de fausses confirmations de commande et les utilisent comme support de phishing. Outre la liste de faux détails sur la commande, la confirmation comprend un lien qui peut être utilisé pour contester soi-disant l’achat. Les pirates espèrent que vous cliquerez sur ce lien, pensant que quelqu’un a utilisé votre compte de magasin pour effectuer un achat non autorisé.
  • Une demande de don. Profitant de la compassion des gens, les cybercriminels aiment envoyer des e-mails de phishing qui prétendent collecter des dons pour les moins fortunés (par exemple, les victimes de catastrophes naturelles, les victimes du cancer). Les personnes qui tombent dans le piège sont envoyées vers des sites Web de dons falsifiés conçus pour voler leur argent ainsi que les informations de leur compte financier (par exemple, numéros de carte de crédit, mots de passe PayPal, numéros de compte bancaire).
  • Une notification indiquant que quelqu’un partage un fichier avec vous. Les cybercriminels profitent souvent de la popularité des services de partage de fichiers tels que Dropbox et iCloud. Ils créent des e-mails de phishing qui ressemblent à des notifications officielles et incluent un message générique tel que « Je viens de partager un clip vidéo avec vous qui était trop volumineux pour être envoyé par e-mail » ou « Votre responsable vient de partager un nouveau document avec vous ». Si vous cliquez sur le lien fourni, vous téléchargerez probablement des logiciels malveillants sur votre appareil.
  • Une notification concernant le gain d’un prix. Bien que les notifications de prix ne soient plus aussi courantes qu’auparavant, vous pouvez toujours rencontrer des e-mails de phishing vous informant d’une loterie ou d’un concours que vous êtes censé gagner. Pour réclamer votre prix, il vous suffit de payer des « frais de traitement » et de fournir des informations sensibles.
  • Une adresse e-mail d’expéditeur trompeuse. Les e-mails de phishing classiques incluent souvent une adresse e-mail trompeuse dans le champ « De ». Les pirates utilisent une adresse e-mail très similaire à celle de l’organisation légitime dont ils prétendent appartenir. Par exemple, l’adresse dans le champ « De » peut être « promotions@amazan.com » dans l’espoir que les gens la liront à tort comme une adresse « @amazon.com ».
  • Une salutation générique. Les e-mails de phishing classiques sont envoyés aux masses, ils incluent donc généralement un message d’accueil générique (par exemple, « Bonjour », « Cher client PayPal ») ou aucun message d’accueil. Dans certains cas, l’adresse e-mail du destinataire est utilisée dans le message d’accueil (« Chère JaneDoe@ABCServices.com »).
  • Un ton urgent. Les e-mails de phishing classiques tentent souvent de créer un sentiment d’urgence afin que vous agissiez immédiatement. Les pirates vous informent d’abord d’un problème qui requiert votre attention. Ensuite, ils vous disent qu’il y aura des conséquences fâcheuses si vous n’agissez pas rapidement. Par exemple, un e-mail prétendument de Netflix peut indiquer que votre carte de paiement a expiré et que vous devez la mettre à jour dans les prochaines 48 heures pour éviter une interruption de service.
  • Liens trompeurs. Un lien trompeur est un lien dans lequel l’URL réelle ne correspond pas à l’URL affichée ou au texte lié. Par exemple, le texte lié peut spécifier le nom ou l’adresse Web d’une entreprise légitime, mais l’URL réelle mène à un site Web falsifié conçu pour voler des informations sensibles ou installer des logiciels malveillants.
  • Une pièce jointe à un e-mail. Les pirates informatiques joignent parfois des fichiers armés à leurs e-mails. Les entreprises légitimes n’envoient généralement pas de fichiers par courrier électronique sans préavis. Donc, à moins que vous n’ayez spécifiquement demandé un document à une entreprise, méfiez-vous des pièces jointes prétendument envoyées par e-mail. Méfiez-vous également des pièces jointes envoyées par courrier électronique par des particuliers si vous n’avez pas demandé le fichier.

Comment défendre votre entreprise contre les attaques de phishing classiques

Pour protéger votre entreprise contre les attaques de phishing classiques, vous pouvez utiliser la stratégie d’arrêt, d’éducation et d’atténuation :

  • Empêchez autant d’e-mails de phishing classiques que possible d’atteindre les boîtes de réception des employés. Pour ce faire, vous devez maintenir à jour les solutions de filtrage des e-mails et de sécurité de votre entreprise. Vous pouvez également envisager d’obtenir une solution de sécurité de la messagerie qui utilise des technologies avancées pour intercepter les e-mails malveillants.
  • Informez les employés sur les e-mails de phishing classiques afin qu’ils puissent repérer ceux qui atteignent leurs boîtes de réception. Il est important d’éduquer les employés sur les escroqueries par hameçonnage classiques et sur la façon de les repérer (par exemple, salutation générique, liens trompeurs). Dans le cadre de cette formation, veillez à les informer des risques liés au clic sur un lien d’e-mail ou à l’ouverture d’une pièce jointe d’un e-mail, surtout si l’e-mail provient d’un expéditeur inconnu. Montrez-leur également comment vérifier les liens trompeurs dans les e-mails en passant le curseur de la souris dessus (mais sans cliquer dessus).
  • Atténuez les effets d’une attaque de phishing classique réussie. Les pirates informatiques proposent continuellement de nouveaux schémas de phishing classiques, de sorte que votre entreprise pourrait être victime d’une attaque malgré les efforts de chacun pour l’empêcher. Prendre quelques mesures préventives peut aider à atténuer les effets d’une attaque de phishing classique réussie. Par exemple, étant donné que l’obtention des identifiants de connexion est l’objectif de nombreuses escroqueries par phishing classiques, vous devez vous assurer que chaque compte professionnel dispose d’un mot de passe unique et fort. De cette façon, si une escroquerie par hameçonnage fournit aux pirates le mot de passe d’un compte, ils ne pourront pas accéder à d’autres comptes avec celui-ci. Implémentez l’authentification multifacteur. De cette façon, les pirates auraient besoin de plusieurs authentificateurs, pas seulement de mots de passe. Tout aussi important, vous devez effectuer des sauvegardes régulièrement et vous assurer qu’elles peuvent être restaurées. Cela vous permettra de récupérer vos données si un employé lance par inadvertance une attaque de ransomware en cliquant sur un lien ou en ouvrant une pièce jointe dans un e-mail de phishing classique.

Les étapes individuelles de mise en œuvre de la stratégie d’arrêt, d’éducation et d’atténuation varieront en fonction des besoins de votre entreprise. Nous pouvons vous aider à développer et à mettre en œuvre un plan complet de défense contre les e-mails de phishing classiques. Contactez-nous dès aujourd’hui.

Trouvez votre MicroAge

Avec plus de 41 succursales d’un océan à l’autre, MicroAge est l’un des principaux fournisseurs de solutions TI au Canada.

Articles les plus commentés

5 Technology Trends That Will Influence Businesses in 2019

5 tendances technologiques qui influenceront les entreprises en 2019

L’évolution de la technologie ne s’arrête jamais dans le monde des affaires et quel que soit le secteur d’activité dans lequel vous travaillez, vous devez…

Lire la suite
backup office 365 sauvegarde

Pourquoi il vous faut une solution de sauvegarde avec Office 365

Microsoft Office 365 a transformé l’utilisation du cloud par les entreprises. Gartner a récemment rapporté qu’un employé d’entreprise sur 5 utilise un service cloud Office…

Lire la suite

Pourquoi les PME ont besoin d’une assurance cyber-risques

Pour les petites et moyennes entreprises (PME), une assurance cyber-risques était peut-être «agréable à avoir» auparavant. Mais, compte tenu de l’essor de la technologie et…

Lire la suite
IT Cost Increase

Pourquoi les TI coûteront plus chers en 2022

Dans un blog précédent ce mois-ci, nous avons parlé de la planification de votre budget informatique et de vos investissements pour 2022. Dans ce blog,…

Lire la suite
Cybersecurity Layers - Part 1

Couches de cybersécurité – Partie 1

Alors que nous entrons dans la saison des fêtes et que les gens et les organisations planifient leurs réunions de vacances et leurs fêtes avec…

Lire la suite