Hameçonnage

Qu'est-ce que le phishing ?

Le phishing est un type de cybercriminalité où les hackers utilisent la tromperie et la fraude pour inciter les utilisateurs à divulguer des informations sensibles comme des mots de passe ou des détails financiers.

Les cybercriminels qui s'engagent dans le phishing utilisent des techniques d'ingénierie sociale pour manipuler leurs victimes, soit en exploitant leurs vulnérabilités personnelles, soit en les encourageant à agir contre leurs instincts naturels. Une fois qu'une victime a donné ses informations au criminel, celles-ci peuvent être utilisées pour accéder à des comptes financiers.

De nombreuses tentatives de phishing se présentent sous la forme d'emails. Les criminels créent un email qui semble provenir d'une entreprise légitime ou d'une organisation gouvernementale, mais il contient généralement un lien malveillant. Une fois que la victime clique dessus, les hackers ont accès aux systèmes d'entreprise ou aux données personnelles.

Les meilleurs logiciels anti-spam pour emails peuvent désormais détecter bon nombre de ces emails malveillants, les empêchant d'apparaître dans les boîtes de réception. Mais il arrive encore que ces emails contournent les filtres anti-spam, donc les utilisateurs doivent toujours être conscients de ce qu'il faut rechercher en matière de tentatives de phishing.

Types de phishing

Bien que beaucoup de gens pensent que le phishing est exclusivement basé sur les emails, les cybercriminels utilisent d'autres méthodes de phishing. Celles-ci incluent :

• Phishing par site web. L'une des tentatives de phishing les plus difficiles à repérer se présente sous la forme de faux sites web. Ils prennent l'apparence d'une entreprise légitime, généralement de grandes entreprises que les utilisateurs connaissent et en qui ils ont confiance. Ils pensent se connecter à leurs vrais comptes, mais ils donnent en réalité leurs identifiants de connexion aux hackers.
• Vishing. Le phishing vocal est l'une des méthodes de phishing les plus anciennes – même antérieure à Internet. Les hackers ciblent les utilisateurs via des messages vocaux comme des appels téléphoniques pour les tromper et leur faire fournir des informations comme des détails bancaires ou des identifiants de connexion. Les hackers commettent ensuite un vol d'identité avec les détails qu'ils ont volés.
• Smishing. Également connu sous le nom de phishing par SMS, c'est lorsque les hackers envoient des liens malveillants par texto aux téléphones des utilisateurs. Dans la plupart des cas, le lien ouvre une page web ou commence à télécharger une application, permettant aux cybercriminels de pirater le téléphone.
• Phishing sur les réseaux sociaux. Certains cybercriminels utilisent des messages directs et commentaires sur les réseaux sociaux pour envoyer des liens malveillants. Dans d'autres cas plus extrêmes, les hackers créent de faux profils sociaux pour suivre les amis des cibles ou d'autres groupes sociaux et utilisent ces personnages pour extorquer de l'argent ou des informations.

Éléments de base du phishing

Il existe plusieurs signaux d'alerte que les gens peuvent connaître qui indiquent qu'il pourrait s'agir d'une tentative de phishing. Les plus courants incluent :

• Un sentiment d'urgence. Les cybercriminels ne veulent pas que leurs victimes aient le temps de réfléchir à leurs messages et de réaliser qu'il s'agit d'une arnaque. Les tentatives de phishing exigent souvent une action immédiate pour faire paniquer la victime et cliquer sur le lien ou télécharger la pièce jointe.
• Liens ou pièces jointes suspects. Il y a une raison pour laquelle certains des meilleurs conseils en cybersécurité chaque année sont de ne pas ouvrir quoi que ce soit dans un email ou un texto qui n'était pas attendu – c'est généralement une tentative de phishing. Tout lien ou pièce jointe qui semble étrange doit être évité.
• Une salutation inhabituelle. Une salutation atypique est un grand signe de tentative de phishing. Par exemple, si un message semble provenir de l'enfant de l'utilisateur, mais que le début du texte dit « salut Claire ! » plutôt que Maman, ce n'est probablement pas l'expéditeur réel.
• Messages trop beaux pour être vrais. Ces messages offrent quelque chose comme un prix ou une récompense pour que l'utilisateur ne fasse rien. Bien que les offres soient tentantes à cliquer, cette méthode est l'une des plus courantes pour que les hackers accèdent aux appareils.
• Demandes inhabituelles. Toute demande qui ne semble pas correcte doit toujours être signalée comme un potentiel phishing. Par exemple, un email du PDG de l'entreprise à un employé aléatoire demandant de collecter des cartes-cadeaux de divers endroits ou de transférer de l'argent sur un compte n'est pas réel.
• Fautes d'orthographe ou de grammaire. Bien que tout le monde fasse des fautes de frappe de temps en temps, les correcteurs et relecteurs vérifient généralement les emails des professionnels ou des grandes entreprises avant qu'ils ne soient envoyés. De nombreuses fautes d'orthographe étranges, erreurs grammaticales ou tournures de phrases maladroites doivent être notées et signalées comme suspectes.

Meilleures pratiques contre le phishing

Chaque année, les cybercriminels deviennent plus sophistiqués dans leurs méthodes de phishing. Mais il existe des moyens de rester protégé et de rester vigilant face à ce type d'escroquerie, tels que :

• Rester sceptique. Il est toujours préférable d'être prudent et de confirmer tous les détails avant d'agir, comme cliquer sur un lien ou télécharger une application. En cas de doute, aller directement sur un site web plutôt que de cliquer sur un lien dans un email est toujours une bonne idée.
• Changer régulièrement de mots de passe. Si un mot de passe n'est plus correct, les hackers ne devraient pas pouvoir accéder aux comptes associés. Changer fréquemment de mots de passe et utiliser des gestionnaires de mots de passe pour stocker et générer ces identifiants de connexion sécurisés devrait aider.
• Vérifier souvent tous les comptes. Surtout en ce qui concerne les comptes financiers, les relevés et les dossiers doivent être examinés fréquemment pour vérifier toute activité frauduleuse. Bien que les banques soient généralement bonnes pour détecter les tentatives de fraude suspectées, il est toujours utile pour les individus d'être proactifs à ce sujet par eux-mêmes.
• Utiliser l'authentification à deux facteurs. Ajouter une couche de sécurité supplémentaire, comme un code à usage unique envoyé à un téléphone, peut aider à empêcher les hackers d'accéder aux comptes en ligne. À moins qu'ils n'aient également accès à ce téléphone, ils ne devraient pas pouvoir contourner cette étape pour se connecter.

Phishing vs. spam

Il est courant de confondre un email de phishing avec un email de spam, mais les deux ont des différences importantes.

Le phishing a toujours une intention malveillante. Les hackers essaient activement de voler des informations et de les utiliser à leur avantage, généralement pour un gain financier.

Le spam peut ou non être une tentative de phishing. La grande majorité du spam est comme du courrier indésirable numérique : frustrant, non désiré, mais inoffensif.

Protégez les données de votre entreprise contre les cybercriminels en utilisant des logiciels de protection intelligente des emails qui peuvent détecter le spam et les comportements malveillants avant qu'ils n'atteignent vos employés.