A propos du phishing/hameçonnage

Les bases

Pour comprendre le phishing ou hameçonnage et toutes ses déviations, il faut d'abord comprendre que le phishing ou hameçonnage est une forme d'ingénierie sociale, aussi connue comme manipulation sociale ou arnaque. Dans son coeur, l'ingénierie sociale consiste essentiellement à manipuler, à essayer de gagner la confiance de ses victimes pour les amener à révéler des informations confidentielles ou à effectuer les actions désirées en utilisant des connaissances psychologiques. La méthode de l'ingénierie sociale n'est en aucun cas exclusive à l'Internet. Mais à cause de la nature de l'internet - avec ses informations facilement accessibles et la possibilité d'atteindre rapidement de nombreuses personnes - il est devenu le principal terrain de jeu pour ces types d'arnaques et de fraudes.

Le phishing peut être divisé en deux groupes principaux : le phishing ou hameçonnage et le spear phishing ou harponnage. Plus d'informations à ce propos ci-dessous.

Phishing ou hameçonnage et spear phishing ou harponnage

Phishing ou hameçonnage

Le phishing ou hameçonnage est caractérisé par son caractère impersonnel et générique, comptant sur une grande quantité de destinataires dans l'espoir que quelqu'un morde à l'hameçon. L'arnaque typique par phishing ou hameçonnage se fait par le biais de spams, ce qui explique aussi pourquoi le phishing ou hameçonnage est presque devenu synonyme de courriels de phishing ou de hameçonnage. Les courriels de phishing ou hameçonnage sont souvent un moyen pour les criminels de recueillir des informations en vue de tenter le spear phishing ou harponnage.

Exemples de phishing ou d'hameçonnage:

Arnaque par email du support technique:

L'expéditeur se fait passer pour une grande entreprise, par exemple Microsoft, PayPal, une grande banque ou même le service d'assistance technique de votre propre entreprise, et prétend qu'il y a eu une "activité de connexion inhabituelle" sur votre compte et vous pousse à agir. En général le courriel vous donne les instructions pour vous connecter via un lien fourni dans le courriel - en volant vos identifiants de connexion pendant la procédure - ou de cliquer sur un document joint qui installera un logiciel malveillant sur votre ordinateur.

Arnaque bancaire par courriel:

L'expéditeur de l'e-mail se fait passer pour une banque et prétend que vous devez mettre à jour vos informations d'utilisateur, via un lien fourni dans l'e-mail. Une fois que vous avez soumis vos informations d'utilisateur, les criminels vont utiliser les informations à des fins criminelles.

L'ampleur de la quantité de courriels envoyés par les cybercriminels garantit qu'un grand pourcentage des destinataires seront des clients de la banque pour laquelle les escrocs se font passer.

Le gain à la loterie:

L'expéditeur du courriel se fait passer pour une société de loterie et prétend que vous avez gagné un gros lot. Le but de l'arnaque est soit de vous faire céder des informations personnelles (comme un numéro de compte bancaire, etc.), ou de vous faire payer des frais administratifs, une taxe sur les bénéfices ou des frais bancaires.

Spear phishing ou harponnage

Le spear phishing ou harponnage diffère principalement du phishing ou hameçonnage par la manière dont cela est personnalisé. Deuxièmement, l'arnaque typique du spear phishing ou harponnage est concentrée sur une ou plusieurs cibles sélectionnées (il existe toutefois de nombreux exemples d'exceptions à cette caractéristique). Dans les cas extrêmes, la victime désignée est espionnée pendant des semaines ou des mois avant que les criminels n'initient le premier contact. Pendant cette période, les criminels en apprennent le plus possible sur leur victime afin d'augmenter leurs chances de réussir leur manipulation. Tout comme le "phishing ou hameçonnage normal", le spear phishing ou harponnage a traditionnellement été conduit par courrier électronique.

Le spear phishing ou harponnage cible souvent des individus dans leur rôle professionnel avec le but de voler de l'argent à l'entreprise où la victime travaille ou de mettre la main sur des informations sensibles de l'entreprise. Les tentatives de spear phishing ou harponnage contre des particuliers dans la sphère privée ont lieu régulièrement.

Exemples de spear phishing ou harponnage:

Fraude des PDG (entreprises):

Le nom "fraude au PDG" (également connu sous le nom de "chasse à la baleine des cadres") vient de la procédure d'escroquerie dans laquelle le criminel se fait passer pour un PDG ou un autre cadre de l'entreprise. Il incite ensuite l'employé à transférer de l'argent ou à donner des informations confidentielles sur l'entreprise, par exemple.

Tout se résume principalement au respect général de l'autorité. Si l'employé croit qu'il est contacté par un cadre de l'entreprise qui a un besoin urgent d'un transfert d'argent ou d'informations confidentielles, l'employé agira conformément aux instructions sans réfléchir à deux fois. Ou du moins c'est ce que les criminels espèrent.

Fichiers contenant des logiciels malveillants (entreprises):

Le criminel envoie un courriel avec un fichier joint contenant apparemment des informations importantes sur l'entreprise, par exemple un plan de recrutement ou un rapport de fin d'année. En réalité, le fichier contient un logiciel malveillant qui va s'installer lorsque le fichier sera ouvert. Le plus souvent, l'expéditeur frauduleux se fait passer pour un employé ou une autre entreprise avec laquelle il sait que la société ciblée travaille avec.

Une fois que le logiciel malveillant est installé, il peut, par exemple, donner au cybercriminel un accès à distance au réseau des entreprises, lui permettant de leur voler des données sensibles.

Spear phishing ou harponnage dirigé vers les particuliers:

Le spear phishing ou harponnage n'est en aucun cas un problème réservé aux entreprises. Les particuliers sont aussi visés. Le plus souvent, cela se produit lorsque les cybercriminels mettent la main sur les informations d'identification des clients des entreprises.

Un exemple typique est l'envoi de 100 millions d'e-mails à des clients ciblés d'Amazon qui avaient récemment effectué un achat. Les courriels envoyés ressemblaient à des courriels légitimes d'Amazon mais contenaient une pièce jointe qui installait un ransomware qui cryptait les fichiers sur l'ordinateur de l'utilisateur. Le ransomware demandait ensuite à la victime de payer une rançon en bitcoins afin de supprimer le cryptage.