Hameçonnage ciblé vs. hameçonnage : comment différencier et se défendre

Les menaces cybernétiques prennent diverses formes, mais peu sont aussi insidieuses que le phishing. Pire encore, le spear phishing, qui implique un niveau plus élevé de manipulation psychologique, peut être encore plus dommageable.

Le phishing et le spear phishing sont deux menaces répandues qui peuvent avoir des conséquences dévastatrices si elles ne sont pas correctement comprises et gérées. Bien qu'elles puissent sembler similaires, ces attaques diffèrent considérablement dans leur approche et leur impact.

Que ce soit face à une tentative de phishing traditionnelle ou de spear phishing, les deux types d'attaques peuvent entraîner des problèmes, comme des pertes financières ou des violations de données. Les organisations s'efforcent de protéger leurs données commerciales et leurs employés contre ces attaques grâce à des programmes de sécurité des e-mails. 

Qu'est-ce que le phishing ?

Les campagnes de phishing sont des tentatives larges de vol d'informations sensibles, telles que les détails de comptes bancaires, les numéros de cartes de crédit et les mots de passe de comptes. 

Les phishers se déguisent souvent en sources dignes de confiance, y compris des institutions légitimes ou des individus connus. Leur objectif est de tromper le lecteur pour qu'il clique sur leur lien malveillant, fournisse des informations bancaires ou s'engage avec toute autre tactique qu'ils utilisent pour recueillir des informations sensibles. 

Les phishers utilisent différentes formes de communication pour mener leurs attaques, notamment :

• Phishing par e-mail : L'e-mail est l'une des méthodes les plus courantes pour mener des attaques de phishing. Les escrocs imitent généralement une adresse e-mail légitime et rédigent un e-mail qui semble digne de confiance avec des logos, des signatures et d'autres éléments de marque utilisés par la marque. Ces e-mails contiennent des liens vers des sites Web malveillants ou des instructions sur la manière dont les lecteurs peuvent fournir leurs informations pour obtenir une assistance supplémentaire. Pour augmenter les chances de succès, les attaquants incorporent également un sentiment général d'urgence pour encourager une action rapide. 

• Phishing vocal ou vishing : Certains escrocs utilisent des appels téléphoniques pour convaincre les individus de révéler des informations personnelles comme des numéros de cartes de crédit et des mots de passe. Par exemple, lorsqu'ils recherchent des informations financières, un escroc pourrait se faire passer pour un représentant de leur banque de choix. Les tentatives de vishing sont exécutées à travers des conversations en temps réel avec des humains et à travers des enregistrements de robocall.

• Phishing par SMS ou smishing : Similaire au vishing, cela implique l'envoi d'un texte qui semble légitime avec le nom d'une institution ou d'un individu de confiance écrit directement dans le texte. Les phishers incluent souvent des liens vers des sites Web encourageant les lecteurs à soumettre leurs informations pour obtenir une assistance supplémentaire. 

• Phishing par hameçonnage : Dans un type plus récent de phishing, des prétendants malveillants trompent les utilisateurs de réseaux sociaux en se faisant passer pour des représentants du service client qui peuvent aider les clients mécontents. Un individu laisse un avis ou un commentaire négatif sur une entreprise sur son profil de réseau social ou sur le compte de la marque. Ensuite, le phisher intervient, prétendant être un contact légitime de la marque, demandant des informations personnelles sous prétexte de fournir de l'aide. 

Les attaques de phishing dans les actualités

Les escroqueries par phishing sont un problème récurrent, et certaines ont fait la une des journaux en raison de leur ampleur massive. 

En 2019, Evaldas Rimasauskas et ses co-conspirateurs ont orchestré un stratagème pour envoyer des e-mails de phishing aux employés de Facebook et Google, se faisant passer pour des employés de Quanta à Taïwan. Ils ont dupé les géants de la technologie en leur faisant débourser plus de 100 millions de dollars. 

Plus récemment, en avril 2024, un Redditor mgahs a détaillé un appel d'escroquerie qu'il a reçu ciblant les clients de T-Mobile. Le Redditor a reçu plusieurs appels téléphoniques concernant une commande d'iPhone qu'il n'avait pas passée. Finalement, l'escroc a dit au Redditor qu'il devait réinitialiser le mot de passe de son compte T-Mobile en suivant une série d'instructions par message texte.

Dans le récapitulatif de la tentative de phishing, ils ont partagé les messages texte qu'ils ont reçus qui étaient presque identiques aux vrais textes de vérification d'identité de T-Mobile :

Source : Reddit

Qu'est-ce que le spear phishing ?

Le spear phishing est une tentative de phishing avancée et ciblée dirigée vers une victime ou une organisation spécifique. Plutôt que d'envoyer un message large qui s'applique à la masse, le spear phishing implique de développer une connaissance approfondie d'un individu ou de son organisation et d'utiliser ces informations dans l'attaque. 

Cette forme d'attaque repose fortement sur des tactiques d'ingénierie sociale comme la tromperie et la manipulation pour exploiter les erreurs humaines. Elle nécessite une certaine influence psychologique pour inciter les victimes à des actions qui profitent à l'attaquant. 

Dans la plupart des cas, les attaques de spear phishing sont personnalisées et approfondies. Elles incluent le nom du lecteur et des faits à son sujet ou sur son organisation. Plutôt que de s'appuyer sur un sentiment d'urgence forcé, les spear phishers peuvent utiliser un ton plus décontracté et conversationnel pour gagner la confiance du lecteur avant d'agir. 

Le spear phishing dans les actualités

En 2020, des attaquants ont ciblé un certain nombre de membres du personnel de Twitter (désormais X) dans une tentative de spear phishing dans l'espoir d'accéder à des comptes de célébrités. Ils ont pris le contrôle des comptes de Bill Gates, Joe Biden et Kim Kardashian West, accédant même à leurs messages directs. 

Quatre différences significatives entre le spear phishing et le phishing

À première vue, repérer les différences entre le phishing et le spear phishing peut sembler difficile. Regardez les caractéristiques suivantes pour les différencier.

1. Public ciblé

Les tentatives de phishing traditionnelles jettent un large filet pour capturer autant de victimes que possible. Bien que le public puisse partager certaines caractéristiques clés (peut-être qu'un phisher envoie un e-mail à chaque employé de la même organisation), l'objectif est d'obtenir autant de prises que possible. Cela privilégie la quantité sur la qualité de l'information. 

En revanche, les attaques de spear phishing sont plus précises, calculées et bien recherchées. Elles sont beaucoup plus intentionnelles (et souvent plus convaincantes) qu'une attaque traditionnelle. Le phisher fait un travail préalable pour augmenter ses chances d'accéder aux informations qu'il souhaite plutôt que de jouer un jeu de chiffres. 

2. Détails dans le message

Avec un large public à l'esprit, les attaquants utilisent des messages larges et généralisés sans personnalisation dans les tentatives de phishing traditionnelles. L'attaque peut ne pas inclure le nom de la victime potentielle. Le contenu ici est vague, générique et peut-être inapplicable. 

En revanche, les spear phishers utilisent un contenu adapté et pertinent. Ils envoient des messages personnalisés et détaillés avec des informations sur la cible qu'ils essaient d'atteindre. Leurs messages peuvent inclure le nom du destinataire, son organisation, son titre, son emplacement ou d'autres détails de sa vie. Les cybercriminels apprennent le travail, les habitudes, les intérêts et les amitiés de leur cible et utilisent ces informations pour les tromper.

3. But de l'attaque

Les attaques de phishing régulières sont conçues pour recueillir des informations sensibles de nombreuses personnes, telles que des identifiants de connexion, des numéros de cartes de crédit, des codes de sécurité, des numéros de sécurité sociale ou même des détails de comptes bancaires. Ils utilisent ces informations pour commettre d'autres crimes ou les vendre à des fins lucratives. Dans ces cas, les phishers ne tiennent pas nécessairement compte de la qualité des informations qu'ils obtiennent et de leur utilité pour leurs plans. 

Contrairement à une attaque de phishing traditionnelle avec des objectifs larges, les spear phishers savent ce qu'ils recherchent. En général, ils recherchent des données spécifiques ou un accès à un système contenant des données précieuses. Lorsqu'ils ciblent un individu, ils peuvent vouloir obtenir un accès direct au compte bancaire de la personne pour transférer immédiatement des fonds. Lorsqu'ils ciblent des individus spécifiques au sein d'organisations, ils recherchent généralement des informations financières, des informations propriétaires de l'entreprise et d'autres informations protégées auxquelles les dirigeants et les membres de l'équipe financière peuvent accéder. 

4. Tentatives de suivi

Bien que ce ne soit pas impossible, les tentatives de phishing traditionnelles n'impliquent pas toujours un suivi. L'attaquant peut recueillir les informations qu'il souhaite après le premier message, décider de contacter un nouveau public ou cesser complètement sa campagne de phishing. 

Les attaques de spear phishing sont plus susceptibles de faire un suivi ou de contacter en utilisant plusieurs points de contact. Ils peuvent initier une conversation comme première étape pour établir la confiance, suivie d'une augmentation de la fréquence de communication à travers un dialogue engageant pour augmenter la probabilité de leur succès. 

Se protéger contre le spear phishing et le phishing

Bien que nous ne puissions pas empêcher les attaquants de faire des tentatives, il existe des méthodes de défense que vous pouvez utiliser pour vous protéger. Les meilleures pratiques suivantes vous aideront à rester vigilant et conscient des attaques de phishing et de spear phishing dommageables.

Connaître les signaux d'alerte

Comprendre les caractéristiques communes des attaques de phishing est la première étape pour les repérer et les prévenir. Bien que les escrocs évoluent constamment dans leurs pratiques pour découvrir de nouvelles façons d'obtenir ce qu'ils veulent, faites toujours attention à ces signes d'avertissement dans les messages :

• Messages avec des salutations impersonnelles comme "Cher client," 
• Demandes non sollicitées d'argent via des virements bancaires, PayPal, Zelle, Venmo, WhatsApp ou toute autre plateforme de transfert d'argent 
• Demandes non justifiées, comme un message de votre patron demandant des informations d'identification de connexion sans contexte préalable 
• Une quantité excessive d'erreurs grammaticales et de ponctuation 
• Un niveau d'urgence élevé
• Tous les liens (même s'ils semblent légitimes ou valides) 

Vérifiez les adresses e-mail de l'expéditeur et recherchez les numéros de téléphone pour vous assurer qu'ils sont légitimes. En cas de doute, n'hésitez pas à demander une vérification d'identité ou à contacter une entreprise pour plus d'informations si vous pensez que quelqu'un pourrait se faire passer pour un membre de leur équipe. 

Restez informé grâce à la formation à la sensibilisation à la sécurité

Les organisations, les universités et d'autres institutions comptent régulièrement sur la formation à la sensibilisation à la sécurité pour éduquer les employés et les étudiants sur les signes d'avertissement et les dangers. Une éducation continue incorporant de nouvelles tactiques et stratégies à mesure qu'elles émergent peut être une ligne de défense solide. 

La formation devrait couvrir : 

• Comment fonctionnent les attaques de phishing et de spear phishing 
• Indicateurs de phishing courants, tels que des adresses e-mail suspectes et des liens de sites Web douteux
• Comment vérifier l'authenticité des e-mails, des appels téléphoniques et d'autres communications 
• Techniques d'ingénierie sociale populaires utilisées dans les attaques de phishing 
• Façons de signaler les tentatives de phishing ou de spear phishing suspectées à l'équipe de sécurité ou informatique 

Utilisez un outil de sécurité des e-mails

Un logiciel de sécurité des e-mails peut être une ligne de défense utile, filtrant les messages de phishing avant qu'ils n'atteignent votre boîte de réception. Ces programmes peuvent :

• Bloquer les e-mails indésirables ou de spam et les filtrer en conséquence 
• Repérer les liens malveillants, les adresses e-mail usurpées et les pièces jointes nuisibles 
• Vérifier les e-mails entrants à l'aide de protocoles d'authentification des e-mails 

Ne mordez pas à l'hameçon !

Alors que les attaques de phishing jettent un large filet, ciblant les individus avec des escroqueries génériques, les spear phishers opèrent avec précision, se concentrant sur des individus ou des organisations spécifiques avec des tactiques sophistiquées et sur mesure. L'éducation sur le fonctionnement et l'apparence de ces attaques, une formation régulière à la sensibilisation à la sécurité et l'utilisation d'outils logiciels de messagerie sont quelques-unes des meilleures lignes de défense. 

L'ingénierie sociale est malveillante et manipulatrice. Apprenez à repérer les phases d'une attaque d'ingénierie sociale pour ne pas vous laisser piéger. 

Édité par Monishka Agrawal