Hameçonnage, hameçonnage ciblé et hameçonnage de dirigeants

L’e-mail reste le vecteur d’accès initial le plus courant dans les cyberattaques. Le phishing exploite la psychologie humaine — en créant un sentiment d’urgence, d’autorité ou de peur — pour inciter les destinataires à cliquer sur des liens malveillants, à ouvrir des pièces jointes infectées ou à communiquer leurs identifiants. Contrairement aux vulnérabilités techniques qui peuvent être corrigées, la sensibilité humaine à la pression sociale ne peut pas être éliminée par une mise à jour logicielle. Les candidats à la certification Security+ doivent comprendre l’éventail des attaques de phishing, depuis les campagnes massives ciblant des millions de destinataires aléatoires jusqu’aux messages très ciblés conçus pour une personne précise.

Le phishing de masse (ou phishing en nombre) envoie simultanément le même e-mail malveillant à des milliers, voire des millions d’adresses, en comptant sur le nombre élevé de cibles pour obtenir un faible pourcentage de réussite. Les leurres courants comprennent les fausses alertes bancaires, les notifications de livraison de colis, les avertissements d’expiration de mot de passe et les offres de remboursement d’impôts. Les e-mails sont génériques : l’attaquant ne connaît pas personnellement les destinataires. Malgré leur faible sophistication, les campagnes de phishing de masse font chaque année un nombre considérable de victimes dans le monde et sont responsables de la majorité des incidents de vol d’identifiants.

Le spear phishing est une forme ciblée de phishing dans laquelle l’attaquant personnalise le message pour une personne ou un petit groupe précis. Les attaquants étudient leurs cibles sur LinkedIn, les réseaux sociaux, les sites web des entreprises et les bases de données issues de fuites afin de rédiger des messages convaincants faisant référence à de vrais noms, fonctions, projets ou collègues. Un e-mail de spear phishing peut sembler provenir du responsable de la cible et demander l’approbation urgente d’un virement, ou provenir des ressources humaines avec une pièce jointe intitulée « mise à jour des avantages sociaux ». Cette personnalisation augmente fortement le taux de réussite par rapport au phishing générique.

Le whaling est une forme de spear phishing qui cible précisément des personnes à forte valeur — CEO, CFO, membres du conseil d’administration et autres dirigeants. Ces cibles disposent de l’autorité nécessaire pour approuver d’importantes transactions financières, accéder à des données sensibles et contourner les politiques de sécurité. Une attaque de whaling réussie peut tromper un CFO et l’amener à autoriser un virement de plusieurs millions de dollars vers un compte contrôlé par l’attaquant, selon un procédé appelé Business Email Compromise (BEC). Le FBI estimait que les pertes liées au BEC dépassaient 3 milliards de dollars par an. Les dirigeants sont également ciblés en raison de leur accès à la propriété intellectuelle, aux informations relatives aux fusions-acquisitions et aux plans stratégiques.

Le phishing par hameçonnage sur les réseaux sociaux cible les utilisateurs de plateformes sociales : les attaquants créent de faux comptes de service client pour de grandes marques et répondent aux utilisateurs qui publient des réclamations, afin de les attirer vers de fausses pages de connexion. Le phishing cloné duplique un e-mail légitime (une facture récente ou une lettre d’information), remplace les liens ou les pièces jointes par des versions malveillantes, puis le renvoie depuis une adresse usurpée en prétendant qu’il s’agit d’une version corrigée. Le phishing cloné est particulièrement efficace, car le destinataire reconnaît le format et l’expéditeur de l’e-mail, ce qui réduit considérablement sa méfiance.

Le pharming redirige les victimes vers des sites web malveillants sans leur demander de cliquer sur un lien de phishing. Cette attaque est généralement réalisée par un empoisonnement du cache DNS (injection de faux enregistrements DNS dans un résolveur afin que le domaine légitime pointe vers le serveur d’un attaquant) ou par la modification du fichier hosts local de la victime. Contrairement au phishing, qui exige une action de la victime, le pharming fonctionne même si l’utilisateur saisit directement l’URL correcte dans son navigateur. DNSSEC et la validation des certificats HTTPS constituent les principales défenses techniques.

L’une des compétences les plus importantes contre le phishing consiste à analyser les URL pour repérer les techniques d’usurpation. Les attaquants utilisent plusieurs méthodes : le typosquatting (paypa1.com, g00gle.com), les astuces de sous-domaine (paypal.com.attacker.com — le véritable domaine est attacker.com), les raccourcisseurs d’URL qui masquent la véritable destination et les attaques homographes utilisant des caractères Unicode qui ressemblent à des caractères ASCII (xn--pple-43d.com utilise un « а » cyrillique pour usurper apple.com). Les professionnels de la sécurité doivent toujours survoler les liens avant de cliquer et utiliser des outils d’analyse d’URL pour développer les URL raccourcies en toute sécurité.

Former les utilisateurs à reconnaître le phishing exige de leur apprendre à repérer certains signaux d’alerte. Examinez : l’adresse de l’expéditeur (le nom affiché correspond-il réellement au domaine de l’e-mail ?), les en-têtes de l’e-mail (le Return-Path ou le Reply-To diffère-t-il de l’adresse From ?), le langage d’urgence ou de menace qui pousse à agir rapidement, les pièces jointes non sollicitées ou les demandes inattendues de réinitialisation de mot de passe, ainsi que les liens qui ne correspondent pas à la destination indiquée. La présence d’un seul signal doit éveiller les soupçons ; plusieurs signaux réunis indiquent fortement un phishing. Les organisations doivent définir une procédure claire pour signaler les e-mails suspects.

De nombreuses campagnes de phishing redirigent les victimes vers de fausses pages de connexion qui ressemblent à s’y méprendre aux sites légitimes. Les attaquants copient le HTML/CSS de sites réels et les hébergent sur des domaines ressemblants ou des sites web compromis. Les outils modernes evilginx2 et Modlishka agissent comme des proxys inverses : ils redirigent la victime vers le véritable site tout en interceptant les jetons de session en temps réel, contournant ainsi même la MFA. Les utilisateurs doivent rechercher l’icône de cadenas (HTTPS), tout en se rappelant que HTTPS confirme uniquement que la connexion est chiffrée, et non que le site est légitime. Les journaux de transparence des certificats permettent d’exposer les sites de phishing utilisant des domaines ressemblants.

Les pièces jointes malveillantes livrent directement des logiciels malveillants sur le terminal de la victime. Les formats courants comprennent les documents Office compatibles avec les macros (.docm, .xlsm), qui exécutent des scripts VBA lorsque l'utilisateur active les macros, les fichiers PDF contenant du JavaScript intégré ou des liens, les images disque ISO/IMG (utilisées pour contourner les protections Windows Mark of the Web) et les archives compressées (.zip, .rar) contenant des exécutables renommés avec des extensions trompeuses. Les organisations doivent désactiver les macros Office par défaut au moyen de Group Policy et configurer les passerelles de messagerie pour bloquer les types de fichiers à haut risque.

La protection des cadres dirigeants contre les attaques de hameçonnage ciblé nécessite une combinaison de contrôles techniques et de procédures. Sur le plan technique, appliquez DMARC pour rejeter les courriels usurpés prétendant provenir du domaine de l'organisation, configurez la passerelle de messagerie pour ajouter des bannières aux courriels externes et inscrivez les cadres dirigeants à une MFA résistante à l'hameçonnage (FIDO2). Sur le plan procédural, établissez des procédures de vérification par un canal distinct (appelez directement le demandeur à un numéro de téléphone connu) avant d'approuver des virements ou de partager des données sensibles, quelle que soit l'urgence apparente du courriel. Formez spécifiquement les cadres dirigeants aux scénarios de hameçonnage ciblé, car les formations générales de sensibilisation à la sécurité n'atteignent souvent pas les membres de la haute direction.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que le hameçonnage de masse s'appuie sur le volume pour toucher un faible pourcentage de destinataires choisis au hasard, que le hameçonnage ciblé vise des personnes précises et s'appuie sur des recherches OSINT pour élaborer des messages convaincants, et que le hameçonnage ciblant les cadres dirigeants vise les responsables disposant d'une autorité sur les finances et les données sensibles — avec une défense fondée sur DMARC, une MFA résistante à l'hameçonnage et des procédures de vérification par un canal distinct. Nous allons maintenant découvrir les attaques vocales et par SMS : le vishing, le smishing et le Pretexting.