Qu'est-ce que le Spear Phishing ? Comment repérer et éviter cette arnaque par e-mail

Si vous êtes bien informé sur la sécurité Internet, vous avez probablement entendu parler de phishing. Vous avez sans doute reçu des e-mails prétendant provenir de votre banque ou de Microsoft, vous demandant d'envoyer votre mot de passe. J'espère que vous savez que vous ne devriez jamais faire cela.

Mais il existe une version beaucoup plus sophistiquée de cette technique, appelée spear phishing. C'est là qu'un individu est la cible d'une campagne de phishing très bien documentée et personnalisée.

Même les internautes chevronnés peuvent être trompés par le spear phishing, alors voici comment cela fonctionne et comment s'en protéger.

 Comment fonctionne le Spear Phishing ?

Le spear phishing suit un schéma bien connu. Les hameçonneurs commenceront par vous rechercher et en apprendront davantage sur l'entreprise pour laquelle vous travaillez, vos collègues et les projets sur lesquels vous travaillez peut-être actuellement.

Ensuite, vous recevrez un e-mail qui semble provenir d'une personne que vous connaissez. Par exemple, il peut faire référence à un projet sur lequel vous travaillez ou à un problème auquel vous êtes confronté. (Alternativement, il peut faire référence à un événement à venir ou à un contact mutuel). Dans l'e-mail, vous trouverez un lien vers un fichier que vous êtes invité à télécharger.

Souvent, le fichier sera hébergé par un service comme Dropbox ou Google Drive. Lorsque vous vous rendez sur la page hébergeant le fichier, il vous sera demandé de saisir vos identifiants. Le site de connexion ressemblera à une page de connexion Google légitime ou similaire.

Mais cette page est en fait gérée par l'escroc. Lorsque vous entrez votre nom d'utilisateur et votre mot de passe, ces informations sont envoyées à l'escroc au lieu de vous connecter. Cela peut même fonctionner avec une authentification à deux facteurs. Lorsque vous entrez votre code d'authentification, celui-ci est également envoyé à l'escroc.

L'escroc dispose alors du nom d'utilisateur et du mot de passe de votre compte Google ou d'un autre compte important. Ils peuvent également l'utiliser pour accéder à vos autres comptes. Votre sécurité est totalement compromise.

 Comment les harponneurs rendent leurs messages légitimes

Les e-mails de phishing réguliers sont faciles à repérer si vous savez ce qu'il faut rechercher. Mais contrairement aux e-mails de phishing génériques qui sont envoyés en masse, une attaque de spear phishing vous cible spécifiquement. Les hameçonneurs utilisent des techniques pour rendre leurs e-mails plus convaincants.

Une astuce courante consiste pour le phisher à acheter un domaine très similaire au domaine réel à partir duquel il souhaite falsifier un message.

Par exemple, si quelqu'un essayait de simuler un e-mail de makeuseof.com, il pourrait acheter le domaine rnakeuseof.com. Le r et le n ensemble ressemblent beaucoup à un m si vous lisez rapidement. Si quelqu'un vous a envoyé un message de [email protected], vous pourriez bien penser qu'il était légitime.

Alternativement, un hameçonneur peut utiliser l'usurpation d'e-mail pour falsifier un faux e-mail d'une personne que vous connaissez.

Les messages électroniques seront bien écrits et professionnels, sans fautes d'orthographe ou de grammaire. Et les hameçonneurs peuvent être très rusés dans la façon dont ils donnent aux e-mails un aspect urgent et important. Ils pourraient simuler un e-mail de votre patron ou du PDG de votre entreprise --- quelqu'un que vous ne voudriez pas interroger.

Les hameçonneurs peuvent même faire des recherches pour savoir quand l'un de vos collègues est en voyage d'affaires. Ensuite, ils vous enverront un e-mail en prétendant être ce collègue, car ils savent que vous ne leur parlerez pas en personne. Il existe de nombreuses façons pour un hameçonneur de découvrir votre entreprise et d'utiliser ces informations pour vous tromper.

Personnes vulnérables au spear phishing

Le spear phishing étant une attaque ciblée qui nécessite de nombreuses recherches, les escrocs choisissent leur cible avec soin. Les hameçonneurs choisiront une personne dans une entreprise qui a accès à des systèmes clés, ou cibleront des personnes fortunées ou qui peuvent accéder à des fonds importants.

Les personnes les plus exposées aux attaques de spear phishing sont les employés généraux d'une entreprise ou toute personne utilisant son ordinateur à la maison. Les cadres supérieurs d'une entreprise, tels que ceux qui travaillent dans la gestion ou les personnes travaillant dans l'informatique, seront plus exposés au "whaling", qui est une cyberattaque sur des cibles de grande valeur.

Comment rester à l'abri du spear phishing

Les attaques de spear phishing étant aussi sophistiquées qu'elles le sont, vous devez être prudent. Même un message apparemment inoffensif d'un ami ou d'un collègue de confiance peut s'avérer être une attaque de phishing.

Heureusement, vous pouvez prendre certaines mesures pratiques pour rester en sécurité et réduire la probabilité qu'une attaque de phishing contre vous réussisse :

• Chaque fois que vous recevez un e-mail, vérifiez deux fois et trois fois l'adresse de l'expéditeur. Vous devez regarder attentivement pour vous assurer que l'adresse n'est pas fausse ou inexacte. Ce n'est pas parce qu'un e-mail semble provenir d'une personne que vous connaissez qu'il ressemble à un e-mail normal (avec sa signature, les informations sur l'entreprise, etc.) qu'il est nécessairement légitime.
• Méfiez-vous si l'expéditeur donne l'impression que la demande est très urgente, surtout s'il vous demande de faire quelque chose que vous ne feriez pas normalement. Par exemple, si au sein de votre entreprise, vous partagez généralement des fichiers sur un lecteur réseau, mais que quelqu'un vous demande maintenant de télécharger de toute urgence un fichier à partir d'une Dropbox, c'est un indice que quelque chose ne va pas.
• Confirmer une demande par téléphone si elle sort de l'ordinaire. La meilleure façon de vaincre le phishing est de décrocher le téléphone et de parler vous-même au prétendu expéditeur. Si la demande est authentique, la confirmation ne prendra qu'une minute. Si ce n'est pas le cas, vous aurez évité une situation potentiellement dangereuse.
• Méfiez-vous des fichiers liés dans les e-mails. Même quelque chose que vous pourriez supposer sûr, comme un fichier Excel ou Word, peut cacher un logiciel malveillant. Soyez très prudent si un fichier lié vous oblige à activer des macros, car il s'agit d'un moyen courant d'installer des logiciels malveillants sur votre appareil.

Méfiez-vous des attaques de spear phishing sophistiquées

Le spear phishing est une version beaucoup plus sophistiquée des attaques de phishing traditionnelles. Il utilise de nombreuses recherches pour cibler un individu en particulier, en simulant la correspondance par e-mail de l'un de ses contacts.

Ces e-mails peuvent sembler très convaincants et demander au destinataire de télécharger un fichier contenant des logiciels malveillants, permettant au phisher d'accéder au compte de messagerie de la cible ou à d'autres comptes.

Méfiez-vous de ces e-mails qui peuvent sembler légitimes mais qui peuvent être un moyen de compromettre vos comptes. Et pendant que vous êtes ici, découvrez d'autres techniques de phishing à connaître, comme le vishing et le smishing également.

Crédit image :yanlev/Depositphotos