Spear Phishing... comme le phishing mais un peu plus direct.
Nous avons tous déjà entendu parler du terme " phishing" et de son fonctionnement : un e-mail générique est envoyé avec une URL ou une pièce jointe cryptée et lorsque l'on clique dessus, "BOOM"... vous êtes pris. Mais nous assistons actuellement à une recrudescence du spear phishing.
Le spear phishing est techniquement la même chose, mais avec une approche plus directe et plus ciblée. Les pirates passent du temps à examiner la vie, les intérêts et le rôle professionnel d'une personne ou d'un petit groupe de personnes et créent un e-mail qui semble légitime et intéressant, suffisamment intéressant pour qu'on clique dessus. Et si cette seule personne clique et active le logiciel malveillant, celui-ci peut se propager et causer des effets néfastes au sein de l'entreprise
.
Le Federal Bureau of Investigation a mené des recherches approfondies sur le spear phishing et a indiqué que la plupart des attaques de ce type visent les entreprises qui utilisent "les virements électroniques comme méthode courante de transfert de fonds à des fins professionnelles". Ce type d'escroquerie est également connu sous le nom de BEC Scam, qui est défini comme une "... escroquerie sophistiquée ciblant les entreprises travaillant avec des fournisseurs étrangers et/ou les entreprises qui effectuent régulièrement des virements électroniques. L'escroquerie est réalisée en compromettant des comptes de courrier électronique d'entreprises légitimes par des techniques d'ingénierie sociale ou d'intrusion informatique (
) afin d'effectuer des transferts de fonds non autorisés."
- Perte combinée en dollars exposée = 3 086 250 090 $.
- Depuis janvier 2015, il y a eu une augmentation de 1 300 % des pertes exposées identifiées
- Les transferts frauduleux ont été envoyés dans 79 pays, la majorité allant à des banques asiatiques
situées en Chine et à Hong Kong.
- Le nombre de victimes nationales et internationales s'élève à 22 143.
Voici un aperçu de la façon dont les "pêcheurs" ciblent et attrapent.
Facebook - Vos mises à jour peuvent en dire long sur votre personnalité. Vos habitudes de consommation, le nom de votre chien, une photo de vos récentes vacances en Grèce ou l'achat de votre nouvelle voiture. Les hameçonneurs peuvent créer un e-mail crédible vous demandant de passer en revue vos récentes vacances ou d'acheter des aliments pour chiens à prix réduit portant le nom de votre chien, qui comprendrait un lien rempli de logiciels malveillants. Nous ne disons pas que vous ne devez plus jamais mettre à jour quoi que ce soit, mais soyez attentif et réfléchissez avant de poster ou de cliquer !
Twitter- Votre twitter est rempli de hashtags, #sister #bestfriend #family... et généralement liés à ceux-ci sont des tags de noms de personnes, de lieux et même d'images. Il est donc facile pour les hameçonneurs de créer un personnage "caché". Si vous receviez un e-mail portant le nom de votre sœur, vous penseriez automatiquement que c'est normal et vous ne penseriez jamais qu'il s'agit d'un e-mail de phishing, mais malheureusement, c'est parfois le cas.
LinkedIn- Vous avez votre image, le titre de votre entreprise, le nom de l'entreprise, tous les employés connectés et tout ce qui vous intéresse est visible. Les hameçonneurs peuvent utiliser cela contre vous et pour
vous manipuler. N'est-ce pas une idée effrayante ? Tout ce que vous faites en ligne et ce avec quoi vous interagissez sont en fait des éléments constitutifs de votre propre attaque de spear phishing.
Mettez tout cela ensemble et vous êtes la cible privilégiée d'un scandale de spear phishing, qui, s'il est cliqué, peut être envoyé à vos collègues, ce qui fait boule de neige. Soyez prudent et ne commencez pas la boule de neige
.
Spear phishing - Comment l'éviter et réduire les risques d'en être victime
1- Soyez prudent - Avec toutes vos données en ligne maintenant, vos informations peuvent être trouvées et utilisées très facilement. Ne donnez pas trop d'informations et ne publiez jamais de détails personnels tels que votre adresse, votre numéro de téléphone ou vos coordonnées bancaires. Profitez-en quand même, postez des photos amusantes, dites à vos amis que vous avez passé la meilleure journée à la plage avec votre famille, dites même à tout le monde que vous avez mangé un burrito à midi... mais faites attention. Si vous recevez un e-mail vous annonçant un "burrito gratuit" de votre restaurant préféré au bord de la mer, ce n'est probablement pas une coïncidence !
Soyez conscient et restez vigilant.
2- Vérifiez les liens - Les courriels de harponnage contiennent généralement des liens qui vous invitent à cliquer pour modifier un mot de passe, vérifier des informations ou vous inscrire à quelque chose de nouveau et d'exclusif. Mais avant de cliquer, la meilleure chose à faire est de vérifier l'URL en passant la souris sur le lien. S'il s'agit d'une escroquerie par hameçonnage, vous pouvez parier que l'URL sera quelque chose qui n'a rien à voir avec l'e-mail et sera parfois suivie d'une ligne de chiffres et de nombres aléatoires.
3- Utiliser la logique - Pourquoi votre collègue de travail voudrait-il connaître vos coordonnées bancaires ? Pourquoi votre patron vous enverrait-il un lien permettant de consulter votre facture de téléphone ? Il est fort probable qu'il ne le ferait pas, alors en cas de doute, contactez directement cette personne et vérifiez si elle a envoyé l'e-mail. Et si vous recevez un courriel de phishing, supprimez-le immédiatement ! Mieux vaut prévenir que guérir.
Avez-vous déjà reçu un e-mail de spear phishing ? Vous pensez pouvoir en repérer un ? Faites-le nous savoir dans les commentaires !
