Hameçonnage et hameçonnage ciblé

L’hameçonnage est une attaque d’ingénierie sociale qui utilise des courriels, des messages ou des sites Web trompeurs pour inciter les victimes à révéler leurs identifiants, à installer un logiciel malveillant ou à transférer de l’argent.

C’est le vecteur d’accès initial le plus courant dans les violations de données à l’échelle mondiale.

Les courriels d’hameçonnage efficaces comprennent :

• Une adresse d’expéditeur usurpée ou ressemblante
• Un sentiment d’urgence (« Votre compte sera suspendu »)
• Un lien malveillant pointant vers un site de collecte d’identifiants
• La marque et les logos d’organisations de confiance
• Des demandes qui contournent les réflexes de sécurité habituels

Variantes de l’hameçonnage :

• Hameçonnage par courriel — campagnes massives visant de nombreuses victimes
• Hameçonnage ciblé — vise des personnes précises au moyen d’un contenu personnalisé
• Hameçonnage visant les cadres dirigeants — cible les dirigeants (directeurs généraux et directeurs financiers)
• Hameçonnage vocal — hameçonnage par téléphone
• Hameçonnage par SMS — hameçonnage fondé sur les SMS

L’hameçonnage ciblé s’appuie sur des recherches concernant la victime pour accroître sa crédibilité. Les attaquants recueillent des informations sur LinkedIn, les sites Web d’entreprises et les réseaux sociaux afin de rédiger des messages personnalisés faisant référence à de vrais collègues, projets ou événements.

BEC est une variante sophistiquée de l’hameçonnage ciblé dans laquelle les attaquants se font passer pour des dirigeants afin d’autoriser des virements frauduleux ou de révéler des données sensibles. Les attaques BEC ont coûté des milliards de dollars aux organisations du monde entier.

Les attaquants utilisent :

• Des domaines ressemblants (par ex. paypa1.com, microsoft-verify.net)
• Des serveurs légitimes compromis pour contourner les filtres de réputation
• Des raccourcisseurs d’URL et des redirections pour dissimuler les destinations finales
• Des kits de collecte d’identifiants qui reproduisent les pages de connexion

Signes d’alerte dans les courriels :

• L’adresse de l’expéditeur ne correspond pas au nom affiché
• Un sentiment d’urgence inattendu ou des demandes inhabituelles
• Survolez les liens — la destination ne correspond pas au texte affiché
• Des formules d’appel génériques (« Cher client »)
• Des demandes d’identifiants, de paiement ou de données sensibles

Mécanismes contre l’usurpation :

• SPF — autorise les serveurs pouvant envoyer des courriels pour un domaine
• DKIM — signe cryptographiquement les courriels provenant du domaine
• DMARC — définit la politique à appliquer lorsque SPF ou DKIM échoue (mise en quarantaine ou rejet)

Les organisations qui n’utilisent pas DMARC peuvent être usurpées très facilement.

Les organisations organisent des simulations d’hameçonnage pour évaluer la sensibilisation de leurs employés et former les utilisateurs à repérer les attaques. Les employés qui cliquent sur des liens d’hameçonnage simulés reçoivent une formation supplémentaire. Les programmes de simulation réduisent sensiblement les taux de clic au fil du temps.

Lorsqu’un courriel d’hameçonnage est signalé :

1. Bloquez l’expéditeur et l’URL dans toutes les boîtes aux lettres
2. Identifiez tous les destinataires
3. Vérifiez si quelqu’un a cliqué ou envoyé ses identifiants
4. Réinitialisez immédiatement les comptes compromis
5. Conservez les en-têtes du courriel pour l’enquête

Couches de défense :

• Filtrage par passerelle de messagerie (mise en bac à sable des pièces jointes)
• Vérification de la réputation DNS
• Filtrage des URL dans le navigateur et pages d’avertissement
• MFA — limite les dégâts même si les identifiants sont volés
• MFA résistante à l’hameçonnage (FIDO2 et clés matérielles)

L’hameçonnage est le vecteur d’attaque le plus courant : il utilise des messages trompeurs pour voler des identifiants ou installer un logiciel malveillant. L’hameçonnage ciblé s’appuie sur des recherches pour personnaliser les attaques. SPF, DKIM et DMARC luttent contre l’usurpation de courriels. La MFA et les identifiants résistants à l’hameçonnage (FIDO2) limitent les dégâts, même lorsque l’hameçonnage réussit.