Les e-mails de phishing (d’hameçonnage)

L'hameçonnage désigne toute tentative d'obtenir des informations sensibles (noms d'utilisateur, mots de passe ou coordonnées bancaires), généralement à des fins d'escroquerie, en usurpant l'identité d'une source de confiance, par l'intermédiaire d'un courrier électronique. L'hameçonnage est une technique de social engineering qui permet de duper les utilisateurs et d'exploiter les failles de sécurité d'un réseau. Le nombre de tentatives d'hameçonnage est en plein essor et plusieurs initiatives visent à en contrôler l'ampleur : législation, formation des employés et des utilisateurs en général, sensibilisation du public et normalisation des protocoles de sécurité réseau.

L'hameçonnage s'effectue généralement par l'envoi d'un message électronique privé. L'attaque incite souvent les utilisateurs à entrer des informations sensibles sur un site Web frauduleux, dont l'apparence correspond au site officiel. Pour piéger les utilisateurs, tous les moyens sont bons : le message prétend provenir d'un réseau social, d'un site de ventes aux enchères ou de commerce, d'une institution financière, ou même d'un administrateur réseau ou informatique. Les e-mails d'hameçonnage peuvent même contenir des liens vers des malwares distribués, endommageant davantage le système de la victime.

Types d'hameçonnage

Outre les techniques habituelles d'hameçonnage, il existe des types spécifiques d'attaques par phishing pouvant servir divers objectifs.

• Harponnage ou « spear phishing » : attaque par usurpation d'adresse e-mail visant une organisation ou une personne précise afin d'accéder frauduleusement à des informations sensibles. Les attaquants recueillent généralement des informations personnelles sur leur cible afin d'accroître leurs chances de réussite.
• Clone phishing : un e-mail authentique, autrefois valide, voit son contenu et son adresse dérobés, afin que soit créée une version identique ou clonée. Les pièces jointes ou les liens de l'e-mail d'origine sont remplacés par des logiciels malveillants, avant d'être envoyés depuis une adresse e-mail frauduleuse, qui pousse la victime à croire à son authenticité.
• Whaling : attaque par hameçonnage ciblant les cadres supérieurs des entreprises. Dans le cadre d'une attaque de whaling, le contenu de l'e-mail imite souvent une citation à comparaître, une réclamation d'un client ou un problème de direction. Le message frauduleux semble provenir d'une personne haut placée et légitime dans l'entreprise.

Traits communs des e-mails d'hameçonnage

En matière de sécurité sur le Web, il est essentiel d'être en mesure d'identifier les aspects les plus courants d'une attaque par hameçonnage. Les utilisateurs sont généralement la clé pour qu'une telle attaque réussisse. Pour éviter ces menaces, les entreprises doivent donc apprendre à en déjouer les pièges.

• Phrases accrocheuses : qu'il s'agisse d'une offre alléchante ou d'une phrase accrocheuse, l'objectif est d'attirer l'attention de l'utilisateur. Par exemple, beaucoup de ces messages affirment que la victime a gagné un téléphone, un tirage au sort ou tout autre prix exceptionnel.
• Caractère urgent : les cybercriminels ont souvent tendance à demander à la victime d'agir rapidement, avant qu'il ne soit trop tard. La plupart des organisations dignes de confiance laissent suffisamment de temps avant la fermeture d'un compte, et ne demandent jamais à leurs utilisateurs, de manière informelle, de mettre à jour leurs données personnelles sur Internet.
• Hyperliens : un lien peut en cacher un autre. En survolant un lien, il est possible d'en voir l'URL réelle, laquelle peut être totalement différente du texte du lien. Parfois, le site Web semble fiable, mais l'orthographe est légèrement modifiée ; par exemple, le chiffre « 1 » remplace la lettre « L » minuscule.
• Pièces jointes : dans un e-mail, toute pièce jointe inattendue doit éveiller les soupçons. La pièce jointe peut en effet contenir des charges malveillantes comme des ransomwares ou autres virus.
• Expéditeur inhabituel : les spams de faible niveau proviennent souvent d'utilisateurs inconnus ou suspects. Lorsque vous recevez un e-mail de la part d'un inconnu, dont les agissements vous semblent suspects, ne répondez pas trop rapidement, voire pas du tout.

Éviter les attaques par hameçonnage

• Mesures sociales : apprendre aux utilisateurs à reconnaître les tentatives d'hameçonnage et à y remédier. La formation peut s'avérer efficace, notamment quand elle met l'accent sur des connaissances conceptuelles.
• Alertes du navigateur : tenir à jour une liste des sites d'hameçonnage connus, et comparer les sites Web à cette liste. Un tel service est proposé par exemple par Google Chrome et sa navigation sécurisée.
• Suppression du courrier d'hameçonnage : des filtres anti-spam spécialisés réduisent le nombre d'e-mails d'hameçonnage qui parviennent à la boîte de réception de leurs destinataires, ou corrigent le problème après envoi du message, en analysant et en supprimant les attaques par hameçonnage au niveau du fournisseur de messagerie.
• Surveillance et retrait : services continus de surveillance, analyse et assistance permettant de stopper les sites Web d'hameçonnage.
• Vérification et signature des transactions : utiliser un téléphone mobile (smartphone) ou une adresse e-mail différente comme canal de sauvegarde afin d'authentifier et d'autoriser les interactions sensibles (comme les transactions financières).

L'hameçonnage est l'une des menaces les plus sérieuses qui planent sur les entreprises. Lorsqu'elle est menée à bien, une attaque par hameçonnage coûte de l'argent, certes, mais elle expose également l'entreprise à de nombreuses failles de sécurité et de données. C'est pourquoi il est si important de former et de sensibiliser les utilisateurs, afin de réduire le taux de réussite des attaques par hameçonnage.

Termes associés

• Spear phishing
• Ingénierie sociale
• Ransomware
• Malware

Lectures complémentaires

• Blog : Quatre grandes attaques par harponnage que vous avez peut-être oubliées
• Blog : Hameçonnage contre harponnage : ce que vous devez savoir
• Blog : Harponnage : le nouveau ransomware ?
• Livre blanc : Bonnes pratiques en matière de protection contre le hameçonnage, les ransomwares et les e-mails frauduleux

Découvrez comment Barracuda peut vous aider

Barracuda Email Protection est une solution de sécurité des e-mails complète et facile à utiliser. Elle comprend une passerelle sécurisée, une solution API pour la protection contre l'usurpation d'identité et le phishing, la réponse aux incidents, la protection des données, la conformité et des formations pour les utilisateurs. Elle permet d'empêcher les attaques par phishing par différents biais :

• Barracuda Email Gateway Defense filtre et assainit rapidement chaque e-mail avant qu'il n'atteigne votre serveur de messagerie et vous protège ainsi des menaces véhiculées par e-mail. Barracuda vous garantit un niveau de protection maximal grâce à l'analyse antivirus, l'établissement du spam score, l'analyse des intentions en temps réel, la protection des liens URL, le contrôle de la réputation et d'autres techniques.

• Barracuda Impersonation Protection vous protège contre la compromission de vos e-mails, le piratage de comptes, le spear phishing et les autres formes de cyberfraude. La solution combine l'intelligence artificielle et une intégration étroite avec Microsoft Office 365 dans une solution cloud complète.

  L'architecture API unique de la solution Impersonation Protection permet à son moteur IA d'étudier l'historique des e-mails et d'en déduire les modèles de communication propres aux différents utilisateurs. La solution bloque ainsi les attaques de phishing, dont le but est d'obtenir vos identifiants afin de pirater votre compte. De plus, elle permet une résolution en temps réel.

• La formation de sensibilisation à la sécurité Barracuda est une solution de sensibilisation à la sécurité des e-mails et de simulation conçue pour protéger votre entreprise contre les attaques de phishing ciblées. Elle forme les employés aux techniques de phishing par ingénierie sociale les plus récentes, à reconnaître les indices subtils de phishing et à prévenir la fraude par e-mail, la perte de données et les préjudices pour la marque. Avec la formation de sensibilisation à la sécurité Barracuda, vos employés passent de vulnérabilité humaine à ligne de défense contre les attaques par phishing.

• Barracuda Incident Response prend automatiquement la situation en main en cas d'incident par le biais de mesures correctives qui vous permettent de traiter les problèmes plus rapidement et plus efficacement. Les administrateurs peuvent envoyer des alertes aux utilisateurs affectés et mettre en quarantaine les e-mails malveillants de leur boîte de réception en seulement quelques clics. Les informations sur les menaces fournies par la plateforme Incident Response permettent d'identifier les anomalies dans les e-mails reçus et de détecter les menaces de manière plus proactive.

Des questions sur l'hameçonnage ? Contactez-nous dès maintenant !