1er trimestre 2022 : record absolu du nombre d’attaques de phishing

Qu’est-ce que le phishing ? 

Définition du phishing 

Le phishing (ou hameçonnage) est la technique qui consiste à tenter de convaincre un correspondant de faire quelque chose (communiquer des identifiants, livrer des informations confidentielles, effectuer un virement, télécharger un fichier, ou cliquer sur un lien), au moyen d’un email trompeur destiné à abuser de sa confiance.  

Les objectifs du phishing 

Les cybercriminels pourront ensuite tirer parti de cette action : 

• Ils pourront se connecter sur le compte bancaire des victimes pour leur voler de l’argent ; 
• Alternativement, ils usurperont son identité pour se connecter en son nom à des réseaux sociaux afin de poster des messages destinés à les discréditer. 
• Ils pourront aussi revendre leurs données personnelles ou les informations confidentielles obtenues sur des plateformes du dark web ou des concurrents, par exemple. 
• La victime pourra cliquer sur un lien ou un fichier provoquant le téléchargement d’un logiciel malveillant. Un keylogger permettra au cybercriminel de connaître toutes les touches saisies sur le clavier de la victime (pratique pour connaître les identifiants de connexion) ou un logiciel espion qui prendra le contrôle de la caméra et du micro pour mettre la cible sur écoute, par exemple. 
• Enfin, le phishing est aussi la porte d’entrée de la plupart des attaques de ransomwares (rançongiciels). Les pirates adressent un email de phishing à leur victime, contenant une pièce jointe infectée par un malware, ou un lien vers un site factice qui déclenchera le téléchargement du rançongiciel sans que la victime ne s’en rende compte. 

Le rançongiciel se déploie ensuite dans le système informatique de la victime. Il code une partie ou la totalité des fichiers pour les rendre inexploitables. Les pirates sont alors en position de réclamer une rançon contre la transmission d’une clé qui permettra de débloquer le système informatique et de le rendre de nouveau opérationnel. 

La confiance de la victime 

Pour parvenir à obtenir la confiance de leur victime, les pirates peuvent usurper l’identité d’une personne ou d’un organisme qu’elle connaît bien. 

• Par exemple, ils peuvent adresser un email au client d’une banque en imitant les messages que cette dernière adresse à ses clients (logo, police de caractères), pour lui réclamer ses identifiants de connexion. 
• Ils peuvent aussi imiter un message de collecte de dons émanant d’une organisation humanitaire pour profiter de la générosité de leur cible. Dans les formes les plus élaborées, ils auront pris soin de créer un site factice simulant le site officiel de cette banque ou de cette ONG pour amener le client à croire qu’il se connecte réellement au site de cette organisation. 
• Ils peuvent exploiter les liens hiérarchiques et l’autorité, en se faisant passer pour un responsable ordonnant qu’un virement soit effectué de toute urgence pour un nouveau fournisseur. 
• Enfin, les cybercriminels utilisent parfois aussi l’effet d’aubaine, en faisant miroiter à leur cible qu’elle pourra obtenir un gain important (grosse somme d’argent, smartphone à gagner, etc.) en livrant des informations personnelles ou bancaire, ou en cliquant sur un lien. 

C’est notamment ce stratagème qui est mis en œuvre dans ce que l’on nomme les “Nigerian Letters”, auxquelles vous avez sûrement été déjà confronté. 

Dans ce type de phishing, les escrocs (souvent établis au Nigeria, d’où l’appellation de cette arnaque) adressent un email réclamant l’intervention d’un particulier pour débloquer une énorme somme d’argent prétendument bloquée dans une banque à l’étranger. L’email précise que l’aide apportée sera rétribuée par un pourcentage significatif de la somme en question. 

Malheur à la personne trop candide qui leur fournira ses identifiants bancaires, comme demandé… 

Les différentes formes de phishing 

Les pirates ne manquent jamais de créativité, et le phishing se décline en plusieurs variantes qu’il est important de connaître : 

• Le Vishing. Dans cette forme de phishing, les escrocs contactent leur victime par téléphone (vishing est un mot-valise composé du “v” de voix (voice en anglais) et du mot phishing. Ils pourront par exemple lui expliquer qu’ils ont été chargés d’auditer son poste de travail à des fins de maintenance, et qu’elle doit leur communiquer tous ses identifiants de connexion. 
• Le smishing. C’est une attaque de phishing lancée au moyen d’un SMS. 
• Le Spear phishing. Cette forme de phishing n’est pas lancée en masse, au hasard, dans l’espoir de tromper une personne crédule, comme la plupart des autres formes de phishing. Au contraire, l’attaque vise une personne particulière, souvent un responsable ou une personne dotée de prérogatives importantes lui donnant accès à des informations ou des comptes très convoités (spear est la lance, le harpon, que l’on lance pour attraper un seul poisson). Elle est aussi soigneusement préparée à l’avance. Les cybercriminels vont rassembler le plus d’informations possible afin de bien connaître leur victime et de préparer le message le plus crédible possible. Le spear phishing pourra par exemple être employé pour cibler un comptable, afin de lui ordonner d’effectuer un virement. 
• Le Whaling. En anglais, whale signifie “baleine”, mais cela correspond plus à ce que nous appelons chez nous un “gros poisson”, c’est-à-dire, une personne très haut placée dans la hiérarchie d’une organisation, ou très influente. Ce type de phishing cible donc spécifiquement ces personnes très puissantes, telles que des PDG, ou des responsables financiers. Là aussi, les attaques seront soigneusement préparées.