L'objectif des attaques de phishing est de vous inciter à fournir accidentellement des informations sensibles, à donner accès à un réseau ou à télécharger des logiciels malveillants.

L'objectif des attaques de phishing est de vous inciter à fournir accidentellement des informations sensibles, à donner accès à un réseau ou à télécharger des logiciels malveillants. Au début, les attaques de phishing étaient assez basiques et utilisaient un e-mail avec un lien intégré sur lequel la personne crédule devait cliquer. Cependant, les attaques de phishing d'aujourd'hui peuvent être beaucoup plus sophistiquées, elles peuvent même inclure des sites Web en HTTPS. Par exemple, le protocole HTTPS peut empêcher le vol de données et les attaques de type Man-in-the-Middle. Mais il peut également permettre au trafic malveillant de se cacher derrière le chiffrement. Comme la passerelle sécurisée ne peut pas inspecter les données chiffrées, elle laisse tout passer, y compris le code malveillant. Les rapports du FBI sur les attaques en HTTPS remontent à 2019.

Un exemple d'une attaque de phishing moderne et sophistiquée est l'utilisation de noms de domaine avec des fautes de frappe. Bien que cela puisse sembler très technique, c'est en réalité assez simple. Les criminels créent un site web en prétendant être Adobe, mais leur adresse web utilise le caractère latin "ḅ" au lieu de "b" normal, ainsi vous obtenez "adoḅe.com" - notez le point sous le "b".

À partir de là, l'attaquant peut rendre "adoḅe.com" un site en HTTPS et créer de nombreux autres sous-sites. Un site comme "get.adoḅe.com" pourrait être créé et envoyé par e-mail aux comptes ciblés sous forme de lien. Et bien sûr, les hyperliens sont soulignés, ce qui masque le faux caractère, donnant l'impression d'un lien légitime à 100%. Comme dans l'exemple ci-dessous, le point sous le "b" ne peut pas être vu car le soulignement de l'hyperlien le recouvre :

Ceci n'est qu'un exemple et il existe de nombreuses façons dont les attaques de phishing peuvent se produire. Cependant, il existe des mesures pratiques pour lutter contre les attaques de phishing et atténuer les risques :

1. Former vos employés sur la manière d'identifier les e-mails frauduleux et leur apprendre quoi en faire. Effectuez des campagnes de phishing simulées et des tests de pénétration contre le phishing.
2. Veillez à ce que vos employés utilisent des mots de passe forts et uniques pour leurs comptes de travail, et communiquez-leur que les mots de passe des comptes professionnels doivent être différents de ceux de leurs comptes de messagerie personnels.
3. Utilisez l'authentification à deux facteurs (MFA) pour réduire le risque de piratage de compte non autorisé.
4. Sensibilisez votre personnel aux risques de l'ingénierie sociale. Encouragez-les à ne pas publier d'informations professionnelles sur les plateformes de médias sociaux publiques qui pourraient être utilisées pour identifier leur employeur, leur poste et leurs responsabilités, et ainsi être utilisées pour des attaques de phishing ciblées.
5. Installez une passerelle de messagerie sécurisée avec un filtrage anti-spam, anti-logiciels malveillants et basé sur des politiques. Cela peut également inclure SPF (Sender Policy Framework), DMARC (Domain-based Message Authentication, Reporting, and Conformance) et DKIM (DomainKeys Identified Mail), ainsi que la détection d'anomalies pour les e-mails entrants et sortants.
6. Si vous avez des doutes sur un e-mail ou que vous soupçonnez des liens, signalez-le immédiatement à votre équipe de sécurité. Ils pourront vérifier l'e-mail et ouvrir les liens ou les sites suspects dans un environnement sécurisé (sandbox). Ils vous diront ensuite si l'e-mail est légitime ou non.
7. Révisez régulièrement les mesures d'atténuation et veillez à effectuer des mises à jour système périodiques.

 

Le phishing peut être effectué via e-mail, message texte, médias sociaux ou par téléphone. Avec les attaques de phishing devenant de plus en plus sophistiquées et difficiles à détecter, il est crucial de rester vigilant et informé pour les prévenir. L'équipe d'Ebury est là pour aider nos clients à adopter les meilleures pratiques afin de protéger leurs informations sensibles.

📩 Si vous avez besoin de conseils concernant des problèmes liés à la fraude, contactez-nous à l'adresse suivante : fraud@ebury.com