2017 a été une année difficile en matière de cybersécurité à cause des attaques de phishing de grande envergure qui ont grandement affecté des agences gouvernementales et entreprises du monde entier. Même les organisations ayant les plus gros budgets dédiés à la protection web, comme Google, Yahoo et Equifax, ont été victimes de ces cyberattaques.
Chaque année, les cybercriminels proposent de nouvelles façons d’amener les utilisateurs à laisser des données sensibles ou à révéler des informations d’identification sur leurs comptes.
Les attaques de phishing sont l’une des façons les plus populaires qu’ils utilisent pour accéder à ces données ou pour infecter un réseau interne avec des logiciels malveillants. En début 2018, ils proposaient déjà de nouvelles idées qui leur permettent d’accéder davantage à vos données. En voici quelques exemples, à retenir pour ne pas se faire avoir par le phishing en 2019 !
Utiliser les Jeux olympiques d’hiver pour tromper les utilisateurs
Dès le mois de janvier 2018, les cybercriminels ont commencé à utiliser des événements mondiaux tels que les Jeux olympiques d’hiver pour réaliser des attaques de phishing.
Des courriels de phishing de masse ont été envoyés à partir d’une adresse électronique usurpée du centre antiterroriste sud-coréen. Celle-ci contenait une pièce jointe contenant une macro malveillante. La macro permettait aux cybercriminels d’accéder aux serveurs si le bon destinataire ouvre le fichier et exécute l’application.
Ce spear pishing particulier visait un groupe de personnes ciblé, notamment celles qui avaient accès à des réseaux de grande envergure. Une fois qu’il accède à ces réseaux, le logiciel malveillant peut infecter silencieusement d’autres machines ou voler des données en arrière-plan sans pouvoir être détecté.
La leçon à tirer de ces attaques est que les événements spéciaux sont désormais l’un des moyens les plus prisés par les cybercriminels pour faire du phishing.
Les attaques Business Email Compromise pourraient coûter 9 milliards de dollars
Selon un rapport publié récemment, les compromissions de la messagerie en entreprise (Business Email Compromise) pourraient entraîner une perte de revenus de 9 milliards de dollars en 2018.
Bien qu’il existe plusieurs façons de tromper les utilisateurs, l’objectif principal des cybercriminels est de voler leurs identifiants. Pour ce faire, ces derniers ciblent de plus en plus les personnels occupant un poste à hautes responsabilités.
Ils choisissent par exemple les représentants des RH, le personnel financier ou les cadres supérieurs de niveau C, car ceux-ci ont un niveau d’accès plus élevé aux données sensibles de leur entreprise.
Étant donné qu’ils sont les principales cibles des cybercriminels, ces hauts responsables devraient donc être les mieux informés concernant les éléments auxquels faire attention et les signes qui permettent d’identifier un email de phishing.
Les réseaux sociaux restent un outil de reconnaissance primaire pour le Spear phishing en 2019
Pour réussir leurs attaques, les cybercriminels doivent faire des recherches et trouver les bonnes personnes à qui ils vont envoyer des emails de pishing. Cette étape préliminaire s’appelle la phase de reconnaissance.
Aucun compte spécial ou payant n’est nécessaire. Pour ce faire, ils font tout simplement des recherches sur les médias sociaux, comme Facebook, LinkedIn, Twitter et Instagram.
Il est possible de gérer la plupart des risques associés aux médias sociaux en éduquant les utilisateurs. Par exemple, ils devraient être conscients de l’ingénierie sociale et du fait qu’ils mettent trop d’informations personnelles sur les médias sociaux.
Pourquoi ?
Parce que, si ces utilisateurs sont trop ouverts sur ces réseaux, les cybercriminels peuvent facilement collecter les informations qui les concernent en vue de les utiliser dans le cadre d’une attaque de phishing.
Les cybercriminiels sont plus patients et prennent leur temps pour réaliser de gros gain grâce au phishing
Par le passé, les cybercriminels se contentaient d’envoyer des centaines d’emails dans l’espoir d’obtenir un nombre aléatoire de victimes. De nos jours, leur but est de lancer une attaque de phishing pour obtenir des informations d’identification et des données spécifiques, de sorte qu’ils puissent réaliser de gros gains sur le long terme.
Ainsi, ils créent des bases de données sur le deep web, en regroupant des profils d’individus spécifiques sur des pages invisibles et non indexés. Lorsqu’un cybercriminel achète ces profils, il peut utiliser les données ailleurs, sans que la personne ne soit au courant de la menace.
Pour éviter cela, les utilisateurs d’internet doivent donc savoir parfaitement ce qu’ils recherchent sur le web et ne jamais exécuter de macros ni ouvrir des pièces jointes suspicieuses. Il ne faut pas oublier que les méthodes de pishing ne cessent de s’accroitre et se diversifier et elles sont de plus en plus efficaces.
Étant donné que le phishing connaît actuellement un grand succès, les cybercriminels s’en servent comme principal moyen d’attaquer les utilisateurs d’Internet.
Pas plus tard que la semaine dernière, le journal italien Il Tempo a rapporté que des comptables de la région de Latium se sont fait escroquer et ont envoyé 2 millions d’euros (1,75 million de livres sterling) sur un compte bancaire de fraudeurs. Cela démontre clairement l’importance de la sécurité antiphishing et de la sensibilisation aux menaces. Bref, chaque organisation doit être à l’affut de ces nouvelles menaces, car aucune d’elles n’est à l’abri d’un piratage informatique.