FR
Nous nous sommes habitués à une boîte aux lettres électronique remplie de spam. Mais de nos jours, les clients de messagerie tels que Gmail ou Outlook sont suffisamment intelligents pour les filtrer automatiquement, en veillant à les déverser dans le dossier spam sans fond. Mais si vous ouvrez cette boîte de Pandore, vous remarquez des courriels plutôt intéressants. Certains proviennent apparemment de votre magasin préféré, de votre banque ou d'une agence gouvernementale. Mais certains parviennent à passer, et ils constituent un outil précieux dans la panoplie du fraudeur.
L'hameçonnage consiste à guider des utilisateurs naïfs par des messages électroniques frauduleux vers de faux sites web d'apparence légitime, où ils sont invités à révéler des informations personnelles telles que leur numéro de compte ou leur mot de passe.
- Sid Kirchheimer
Comme le montre la définition ci-dessus, le phishing utilise la familiarité d'un consommateur avec un site ou une marque pour l'inciter à fournir des informations. Mais cela peut aussi aller jusqu'au téléchargement de logiciels malveillants que les utilisateurs ne feraient pas habituellement. Tout cela est dû à la confiance qu'ils accordent à la marque ou au site web et à la façon dont ils baissent leur garde. Mais ce phénomène ne se limite pas aux attaques personnelles, puisque le phishing d'entreprise a récemment pris de l'ampleur.
Les escrocs utilisent cette forme d'escroquerie pour obtenir des informations ou introduire des logiciels malveillants. Étant donné que nos communications passent de plus en plus par l'internet (qu'il s'agisse d'opérations bancaires, de commerce électronique, d'administration publique, etc.
En utilisant l'envoi massif de courriels, les escrocs peuvent rester anonymes tout en envoyant un volume important de courriels d'hameçonnage à l'échelle mondiale, l'avantage (pour eux) étant qu'ils sont plus personnalisés que s'ils utilisaient des spams généraux. En ciblant des services et des marques que le consommateur connaît bien, le taux de réussite est plus élevé.
Voici une liste de contrôle des types de données que les escrocs du phishing recherchent !
Le problème du phishing est pour les escrocs une industrie lucrative, profondément ancrée dans la technologie. Et comme toute industrie technologique, elle est en constante évolution.
Auparavant, le phishing visait principalement les particuliers, les escrocs cherchant à marquer des points de personne à personne. L'année 2018 a vu ce changement s'opérer. Les principaux acteurs du monde du phishing ont jeté leur dévolu sur le monde de l'entreprise, où les organisations sont désormais ciblées. Les principales cibles sont les courriels et les services en ligne (26 % de toutes les attaques), qui ont dépassé les institutions financières (21 %).
Les attaques contre les logiciels en tant que service (SaaS) ont connu une croissance fulgurante de 237 %. À cela s'ajoutent les attaques contre les plateformes de médias sociaux. Comme nous l'avons déjà mentionné, la confiance des utilisateurs dans ce type de plateformes augmente et les escrocs qui pratiquent le phishing en profitent.
Les États-Unis sont toujours en tête de liste des cibles des escrocs et le nombre d'attaques augmente. En fait, ils ont été la cible de 86 % de toutes les attaques. Les autres cibles importantes sont l'Inde, la Turquie et la Colombie. Mais cela ne signifie pas qu'il n'y a pas eu de baisse ailleurs. Le Canada, l'Italie et la France ont connu des baisses d'activité en 2017
La localisation des sites de phishing est également intéressante. Selon PhishLabs, la plupart des sites de phishing se trouvent sur des "réseaux d'hébergement web compromis". Le choix le plus populaire est de loin celui des États-Unis (56 %), la France (4 %), l'Allemagne (4 %) et le Royaume-Uni (3 %) étant loin derrière. Ceci, ajouté au fait que 49% des sites de phishing utilisent le TLD (top level domain) .com, indique que les escrocs veulent que les utilisateurs aient l'impression d'être sur un site fiable et digne de confiance.
Une tendance très inquiétante est l'adaptation des escrocs du phishing aux indicateurs de sécurité utilisés par les consommateurs pour se protéger. La certification utilisée par les sites web est au cœur de ce phénomène. Les utilisateurs ont appris de diverses sources à rechercher cet indicateur particulier comme signe de confiance. Et ils avaient raison, car en 2016, seuls 5 % des sites d'hameçonnage possédaient ce certificat. Pourtant, ce chiffre a grimpé en flèche en 2017, avec près d'un tiers des sites d'hameçonnage disposant désormais de HTTTPS.
Le plus souvent, les hameçonneurs ont tendance à utiliser des domaines enregistrés créés de manière malveillante plutôt que de compromettre des sites légitimes. Le catalyseur de ce changement peut être retracé jusqu'à l'utilisation de fournisseurs d'hébergement gratuits.
Étude de cas : Remplissage d'URL
Pour tromper les utilisateurs peu méfiants, les escrocs font preuve d'ingéniosité. Pour faire croire aux utilisateurs qu'ils se trouvent sur un site légitime, ils remplissent l'URL de symboles tels que des traits d'union, tout en incluant une partie légitime de l'URL de marque.
Par exemple, www.amazon------------------/shoes/converse.tk
Cette technique tire parti de la taille réduite de l'écran de la plupart des téléphones mobiles. L'utilisateur verra donc très probablement la section www.amazon-----. Ce procédé, associé à un faux site bien conçu, suffit souvent à tromper les utilisateurs sur l'authenticité du site.
Les téléphones mobiles sont de plus en plus utilisés dans le monde entier. En tant que plateforme, le téléphone portable offre des possibilités de ciblage faciles.
Utilisez-vous le dernier modèle de téléphone portable ? Si ce n'est pas le cas, avez-vous déjà ignoré cette notification de "mise à jour maintenant" à plusieurs reprises (ou pire encore, peut-être que le fabricant a cessé de fournir des mises à jour...). Cette situation, ainsi que la myriade d'applications qui peuvent être téléchargées (de qualité douteuse), a entraîné une augmentation de l'importance accordée à l'hameçonnage.
1. Vous pensez cliquer sur un lien au hasard ? Détrompez-vous !
Soyez prudent lorsque vous ouvrez un courriel ou un message et que vous voyez un hyperlien (lien vers un autre site web). Celui-ci peut souvent être caché dans un texte ou sur une image. Si vous n'êtes pas sûr à 100 % de la légitimité d'un courriel, réfléchissez-y à deux fois et voyez si vous pouvez trouver la page avec une simple recherche sur Google.
2. l'aspect et la convivialité : Orthographe, grammaire et formatage
Il s'agit d'un moyen classique de repérer une escroquerie. Les escrocs qui pratiquent le phishing, tout comme l'internet lui-même, sont des créatures mondiales. Par conséquent, la langue dans laquelle ils essaient de communiquer avec vous n'est peut-être pas leur langue maternelle. Contrairement au service de communication d'une grande entreprise, ils n'ont ni le temps, ni la patience, ni les connaissances nécessaires pour vérifier leur langage. Il en va de même pour les supports utilisés, tels que les photos. Celles-ci peuvent souvent paraître bizarres, avec une faible résolution ou un mauvais cadrage.
Pensez-vous vraiment qu'une entreprise légitime laisserait passer ce genre de messages à ses clients ? Non, alors si vous voyez cela, réfléchissez-y à deux fois !
3) Demandes d'informations personnelles
Si un courriel ou un message vous demande des informations telles que les détails de votre compte, votre nom d'utilisateur/mot de passe ou d'autres informations de cette nature, réfléchissez-y à deux fois. Les institutions ne demanderont jamais ce genre d'informations par courrier électronique ou par message, car elles savent que ces derniers ne sont pas sécurisés. De plus, il n'est pas logique qu'une organisation demande des informations qui sont à la fois sensibles et déjà connues d'elle.
4. urgence ou menaces
Une autre tactique des escrocs de phishing consiste à mettre l'accent sur des menaces imminentes. Il peut s'agir de la fermeture de votre compte, d'une transaction suspecte qui doit être traitée au plus vite, etc. Il peut également s'agir de menaces explicites telles qu'une amende ou des poursuites judiciaires si aucune mesure n'est prise.
Des organisations telles que des banques ou des autorités gouvernementales sont utilisées pour accroître cette pression. Les escrocs comptent sur votre inquiétude ou votre désarroi... mais ne tombez pas dans leur piège. Respirez un bon coup et demandez-vous si l'organisation vous demande ce genre de choses ou d'informations. Si vous avez des doutes, utilisez un moteur de recherche pour obtenir les coordonnées de l'organisation et confirmez qu'elle vous a bien envoyé cette communication.
Alors, chasseurs d'escroqueries, soyez prudents et évitez les pièges que vous tendent ces "hameçonneurs". Si vous suivez les conseils ci-dessus et faites preuve de bon sens, vous serez prêts à faire face à toute éventualité !
