L'hameçonnage sur les réseaux sociaux est une forme de cyberattaque utilisant des sites de réseaux sociaux au lieu d'e-mails. Bien que le canal soit différent, l'objectif est le même :vous inciter à fournir vos informations personnelles ou à télécharger un fichier malveillant.
Les médias sociaux sont les favoris des cybercriminels car les victimes ne manquent pas. Et grâce à l'environnement de confiance, il existe une mine d'or de données privées qu'ils peuvent utiliser pour lancer une attaque de harponnage de suivi.
Voici comment ils procèdent sur certaines des plateformes les plus populaires.
Facebook est la troisième marque la plus souvent usurpée pour les attaques de phishing. Avec plus de 2,6 milliards d'utilisateurs dans le monde, il est facile de comprendre pourquoi. La plate-forme propose une pléthore de profils et de messages regorgeant d'informations personnelles que les hameçonneurs peuvent exploiter.
Les attaques sur Facebook ciblent souvent les consommateurs et pas autant les grandes organisations. Les hameçonneurs utilisent l'ingénierie sociale pour inciter les victimes sans méfiance à exposer leurs données.
Ils feront semblant d'être de Facebook et enverront des e-mails aux utilisateurs concernant une alerte de sécurité, par exemple. À partir de là, les utilisateurs sont invités à se connecter à leurs profils Facebook et à modifier leur mot de passe. Ils sont ensuite envoyés sur une fausse page de connexion Facebook où leurs informations d'identification sont collectées.
S'ils ont accès à votre compte, ils peuvent élargir leur réseau en victimisant vos contacts. Ils peuvent également utiliser les informations que vos amis partagent avec vous dans le cadre d'une campagne de harponnage plus ciblée.
Les hameçonneurs utiliseront votre compte pour envoyer des messages ou publier un statut avec un lien malveillant. Et parce que vos contacts vous font confiance, il y a plus de chances qu'ils cliquent dessus.
Il s'agit d'un type de phishing qui utilise les médias sociaux mais qui a un MO plus sophistiqué. Ils ciblent les utilisateurs qui publient (principalement des diatribes) sur un service ou leur compte. Les attaquants prétendent appartenir au fournisseur de services, puis envoient à l'utilisateur un lien pour entrer en contact avec un représentant du service client.
Mais vous l'avez deviné :le lien mène à un faux site pour récolter des informations.
Ce qui était autrefois une galerie de selfies est désormais une entreprise de plusieurs millions de dollars utilisée par les plus grandes marques et influenceurs du monde.
Comme les hameçonneurs sur Facebook, ceux qui exploitent Instagram envoient des e-mails aux utilisateurs les avertissant d'une alerte de sécurité. Par exemple, il peut s'agir d'un message concernant une tentative de connexion à partir d'un appareil inconnu. L'e-mail contient un lien qui redirige les utilisateurs vers un faux site où les informations de connexion sont collectées.
Une fois qu'ils y auront accès, ils disposeront d'une mine d'informations personnelles à exploiter de différentes manières. Une attaque sinistre, par exemple, consiste à vous faire chanter, vous ou vos amis, en menaçant de divulguer des photos que vous avez partagées en privé ou via Instagram Direct Messenger (IGdm) si vous ne cédez pas à leurs demandes.
Si les hameçonneurs mettent la main sur des comptes professionnels, en particulier sur des comptes vérifiés, ils peuvent lancer des campagnes d'hameçonnage plus insidieuses via IGdm.
Un compte vérifié pour la succursale d'une grande entreprise au Chili, par exemple, a été signalé par des utilisateurs en juin 2020 pour avoir envoyé des messages d'hameçonnage.
Le message a alerté les utilisateurs d'une violation des droits d'auteur dans un message. Le reste du message disait :« Si vous pensez que la violation du droit d'auteur est mauvaise, vous devez fournir des commentaires. Sinon, votre compte sera fermé dans les 24 heures. Le lien pour les commentaires était bien sûr une fausse page Instagram collectant des informations de connexion.
Rien ne semble aussi légitime que d'avoir ce chèque bleu tant convoité. Les hameçonneurs l'exploitent également.
L'une des escroqueries par hameçonnage Instagram consiste à envoyer aux utilisateurs un e-mail leur offrant un badge certifié. Une fois que les utilisateurs ont cliqué sur le bouton "Vérifier le compte", ils sont redirigés vers une page de phishing où leurs informations personnelles seront collectées. La plupart du temps, les influenceurs et les utilisateurs "instagram-célèbres" sont ciblés par ce type d'attaque.
Consultez notre guide sur la façon d'être vérifié sur Instagram pour contourner ces escrocs.
La principale plate-forme de la communauté commerciale mondiale utilisée par plus de 700 millions de professionnels est également une cible privilégiée des hameçonneurs.
Selon un rapport sur la confiance numérique, les gens font plus confiance à LinkedIn qu'à tout autre site de réseautage social. Les utilisateurs sont également plus susceptibles de publier des détails sur leur travail, ce qui en fait une cible de choix pour les attaques de harponnage et de chasse à la baleine.
L'une des campagnes de phishing les plus cruelles sur les réseaux sociaux est une attaque qui cible les demandeurs d'emploi sur LinkedIn. Les cybercriminels se font passer pour un recruteur et informent les utilisateurs d'une fausse offre d'emploi via la messagerie LinkedIn.
Les hameçonneurs vous attirent en disant que vos antécédents sont parfaits pour le rôle qu'ils essaient de remplir. Ils rendront cela encore plus irrésistible avec un package de rémunération augmenté.
Vous verrez un lien qui, selon le phisher, contient tous les détails sur le travail. Ils peuvent également envoyer une pièce jointe au format Microsoft Word ou Adobe PDF à télécharger.
Cela semble excitant, surtout pour quelqu'un qui cherche un emploi. Mais des liens vous mènent à une page de destination usurpée et le fichier Word contient des macros pour lancer des logiciels malveillants. Ce dernier pourrait voler vos données ou ouvrir une porte dérobée vers votre système.
CONNEXION : Comment bloquer quelqu'un sur LinkedIn
Il existe deux fausses demandes de contact les plus courantes. Dans le premier cas, les utilisateurs reçoivent un e-mail les avertissant d'une demande de contact. Cela vient avec un lien menant à une fausse page de connexion LinkedIn.
La seconde est plus compliquée :elle consiste à créer de faux comptes et à envoyer des demandes de connexion depuis LinkedIn. Une fois que vous avez accepté l'invitation, les hameçonneurs ont accès à plus d'informations dans votre profil et se rapprochent de toutes vos relations.
Ils peuvent alors envoyer un message de phishing ou utiliser vos informations pour lancer des attaques plus ciblées sur vos contacts. Être votre 1 er -le contact de degré leur donne également plus de crédibilité en rendant leur profil plus légitime.
Pour vous protéger de ces types d'attaques, ne cliquez pas sur les liens dans les e-mails et les DM. Vérifiez la source. Même s'il semble que le message provienne d'une personne de confiance, il est possible que son compte ait été piraté.
Appelez d'abord la personne pour vous assurer qu'elle est réelle, en particulier si le message contient des pièces jointes que vous êtes invité à télécharger.
Vérifiez toujours l'URL des sites Web que vous visitez. Les pirates créent des URL usurpées en modifiant une ou plusieurs lettres de l'URL de sites Web bien connus. Ils peuvent également utiliser des lettres symboliques pour ressembler aux lettres d'origine. Passez la souris sur les liens pour examiner l'intégralité de l'URL, qui doit apparaître en bas de votre navigateur.
N'oubliez pas que la correspondance officielle des réseaux sociaux et d'autres organisations ne proviendra jamais d'une personne utilisant des adresses e-mail avec des noms de domaine @gmail ou @yahoo.
D'autres signes révélateurs à surveiller sont les erreurs typographiques et grammaticales ou les messages qui vous poussent à agir. Ce dernier est conçu pour provoquer la peur ou la panique afin que vous n'ayez pas le temps de réfléchir.
Si vous vous exposez à des attaques de phishing sur les réseaux sociaux, vous mettez en danger vos amis et vos proches, car les pirates peuvent également utiliser votre compte comme passerelle pour les atteindre.
Heureusement, un peu de prudence et de bon sens contribuent grandement à vous protéger.
