Le phishing, c’est quoi ?
Le phishing (hameçonnage en français) est une technique utilisĂ©e par des fraudeurs pour obtenir des renseignements dans le but de perpĂ©trer une usurpation d’identitĂ©.
Les phishers (ou «hameçonneurs») vont aÌ la peÌche aux informations preÌcieuses ou des donnĂ©es trĂšs personnelles.
Grùce à des faux e-mails ou sms, ils tentent de dérober des mots de passe, des numéros de cartes de credit, ou de propager des virus informatiques.
Quel est le but du phishing ?
La plupart du temps, le but du phishing est de rĂ©colter de l’argent. Les phishers peuvent Ă©galement rĂ©cupĂ©rer des donnĂ©es confidentielles pour provoquer par la suite d’Ă©ventuelles cyberattaques.
Certaines sociĂ©tĂ©s frauduleuses se sont mĂȘme spĂ©cialisĂ©es dans la vente du phishing. En d’autres termes, les clients les payent pour envoyer des faux messages. Si les informations rĂ©coltĂ©es sont fructueuses, elles peuvent ĂȘtre revendues au prix fort !
Comment reconnaitre un phishing ?
« Quelquâun sâest connectĂ© sur votre compte en utilisant votre mot de passe. Nous avons bloquĂ© la connexion mais nous souhaitons vĂ©rifier s’il s’agissait bien de vous ! Urgent cliquez ici ! »
Les phishers peuvent se faire passer pour des institutions du quotidien telles que la SĂ©curitĂ© Sociale, une banque, Hadopi ou encore un conseiller CPF et faire une requĂȘte directement par mail ou sms. Cela demande un travail analytique auprĂšs des victimes qui doivent dĂ©tecter le vrai du faux pour chaque demande reçue.
Certains phishers peuvent mĂȘme connaĂźtre en amont les goĂ»ts de la victime pour l’inciter davantage. Pour exemple, si cette derniĂšre aime le golf, l’agresseur peut lui envoyer une promotion exclusive sur cette activitĂ©. Ainsi, la personne cĂšde et clique.
Si les attaques par phishing sont aussi rĂ©pandues, câest avant tout parce qu’elles ne sont pas Ă©videntes Ă identifier. Les usurpations sont de plus en plus crĂ©dibles, car elles sont plus rĂ©alistes et plus sophistiquĂ©s. Pourtant, avec des simulateurs de phishing et de lâentraĂźnement, il est possible de dĂ©masquer les hackeurs.
VĂ©rifier lâorthographe et porter attention au logo
Analyser lâadresse email de lâexpĂ©diteur
Ăvaluer la cohĂ©rence de la demande
Se renseigner et survoler les liens avant de cliquer
Du phishing au ransomware
Le ransomware (rançongiciel) est un type dâattaque informatique qui bloque lâaccĂšs Ă lâappareil ou aux fichiers dâune victime et qui exige le paiement dâune rançon en Ă©change du rĂ©tablissement de lâaccĂšs.
Depuis 2021, lâANSSI indique quâaucun secteur nâest Ă©pargnĂ© au niveau national comme international. Les Ătats-Unis semblent ĂȘtre particuliĂšrement touchĂ©s par ce flĂ©au.
Les institutions médicales voient notamment une hausse des cyberattaques en cette période de pandémie mondiale.
Et pour sĂ»r, plusieurs hĂŽpitaux se sont faits attaquer par des ransomwares. Ces assauts Ă rĂ©pĂ©tition sont allĂ©s jusqu’Ă entrainer la mort d’un bĂ©bĂ© dans un hĂŽpital (Springhill Medical Center) en Alabama. Il s’agit officiellement du premier individu dĂ©cĂ©dĂ© Ă cause dâun ransomware. Le nourrisson de quelques mois se trouvait en rĂ©animation lorsqu’un cyberattaquant a bloquĂ© le service en lien avec ses soins, devenu inutilisable.
Suite à cet incident, les institutions luttent sans relùche contre ses attaques et tentent de sensibiliser au maximum leurs employés contre cette menace.
Un ransomware entraine un décÚsComment sensibiliser
contre le phishing ?
Pour sensibiliser les employĂ©s, certaines entreprises imposent des cours de cybersĂ©curitĂ© dĂšs leur arrivĂ©e. Ces formations sont obligatoires avec des courtes questions sur le sujet. Des simulations d’attaques par phishing sont effectuĂ©es pour analyser le comportement de l’employĂ© face Ă celles-ci.
GrĂące Ă ces formations, les internautes sont armĂ©s beaucoup plus rapidement contre les attaques par phishing. Pour sâassurer que les Ă©quipes puissent les identifier sans en subir les consĂ©quences, la mise en place dâoutils de simulation de phishing est donc essentielle.
Les conseils d’un expert contre le phishing
« Il faut essayer dâĂȘtre le ou la plus logique possible. Si le nom d’une sociĂ©tĂ© figure dans le mail ou le sms, je conseille Ă toute personne ayant le moindre doute de toujours la contacter directement. Sâil sâagit dâun particulier, le contact direct est prĂ©fĂ©rable Ă©galement. La derniĂšre option est certainement la meilleure : l’ignorance (si vous ne connaissez pas la personne). J’encourage aussi les internautes Ă vĂ©rifier les intitulĂ©s des adresses mails car ils rĂ©vĂšlent rĂ©guliĂšrement les vĂ©ritables provenances de ceux-ci. »
Joao Aviz
Consultant en cybersécurité chez Capgemini
IPSSI n’attend plus que vous !
Prenez contact tout au long de l’annĂ©e pour Ă©changer avec lâun de nos conseillers et parler de votre avenir ! đ€
Je prends contact