Les trois étapes d'une attaque de phishing : appât, hameçon et capture

Le spear phishing est la forme la plus dangereuse de phishing. Contrairement aux attaques classiques, basées sur des modèles, le spear phishing implique la recherche d'informations sur la cible afin de personnaliser le message de phishing et de le rendre plus efficace.

Une attaque de spear phishing commence par la recherche par le cybercriminel d'informations sur la cible, puis l'utilisation de cette cible pour établir une connexion, et enfin l'utilisation de cette connexion pour faire exécuter une action à la cible. Lisez ce qui suit pour en savoir plus sur l'appât, l'hameçon et la capture : les trois étapes d'une attaque de spear-phishing.

Étape 1 : Recherche d'informaions (appât)

La première des trois étapes d'une attaque de phishing consiste à préparer l'appât. Il s'agit de trouver des détails sur la cible, ce qui peut être aussi simple que de savoir qu'elle utilise un service particulier ou travaille dans une entreprise particulière. C'est l'une des raisons pour lesquelles les brèches de données qui ne compromettent aucune information "sensible" peuvent être si dangereuses : si un service divulgue une liste des seules adresses électroniques de ses utilisateurs, les criminels seront en mesure de savoir que tous les propriétaires de ces adresses électroniques utilisent ce service et pourront les cibler avec des courriels qui prétendent provenir de ce service.

Dans le cadre d'attaques de spear-phishing plus sophistiquées, les cybercriminels peuvent recueillir des informations sur vos profils sur les réseaux sociaux afin d'élaborer un message de spear-phishing hautement personnalisé qui a de fortes chances de vous convaincre de son authenticité.

Étape 2 : La promesse (hameçon)

Une fois que le hacker a obtenu les informations nécessaires pour servir d'appât, il doit ensuite préparer l'hameçon. Afin d'inciter la cible à effectuer une action, le hacker doit lui promettre quelque chose ou l'effrayer pour qu'il agisse. 

Dans de nombreuses escroqueries, l'hameçon consiste à faire croire à la cible que l'un de ses comptes a été compromis, ce qui crée un sentiment d'urgence et incite la cible à agir rapidement - peut-être sans réfléchir. le hacker peut ensuite rediriger la cible vers un lien menant à une page où il peut recueillir les données de la victime.

Étape 3 : L'attaque (capture)

La troisième phase du phishing est l'attaque proprement dite. Le cybercriminel envoie l'e-mail et se prépare à ce que sa proie tombe dans le piège. 

L'action suivante du hacker dépend de la nature de l'escroquerie. Par exemple, s'il a utilisé une page de renvoi pour obtenir le mot de passe de l'adresse électronique de la victime, il peut ensuite se connecter au compte de messagerie de la victime afin de recueillir davantage d'informations et commencer à envoyer d'autres e-mails de phishing aux contacts de la victime.

Comment puis-je défendre mon entreprise contre les attaques de phishing ?

Pour protéger votre entreprise contre le phishing, il est essentiel de comprendre la menace. Pourquoi quelqu'un ciblerait-il votre entreprise ? Quelles sont les données précieuses que vous détenez ? Quelles sont les transactions financières que vous effectuez et sur lesquelles un cybercriminel pourrait essayer de mettre la main dessus ?

1. Authentification à deux facteurs

L'authentification multifactorielle est absolument essentielle pour protéger vos comptes contre le phishing. Elle ajoute une deuxième ligne de défense, ce qui signifie que même si vous tombez dans le piège d'une attaque de phishing et que vous donnez votre mot de passe de messagerie, vous serez toujours en mesure d'empêcher le hacker d'accéder à votre compte.

2. Formation de sensibilisation à la cybersécurité

Comme le phishing peut être pratiqué de tant de façons différentes, il n'existe pas de solution technique simple qui puisse l'arrêter. L'être humain sera toujours le facteur de risque en matière de phishing. C'est pourquoi la formation est absolument essentielle.

Il convient d'apprendre à vos employés à repérer les signes de phishing et à faire preuve d'une grande prudence lorsqu'ils suivent des liens provenant d'e-mails inattendus. En inscrivant vos utilisateurs à des cours de sensibilisation à la sécurité, vous contribuerez à atténuer la menace des e-mails de phishing. 

3. Simulation de phishing

Si la formation des employés est essentielle, la simulation de phishing vous permet de voir comment vos employés se comportent face à un scénario réel. Les simulations permettent à vos employés de voir à quel point il est facile de tomber dans le piège d'un e-mail de phishing. Elles sont très efficaces pour sensibiliser les employés, car ils sont beaucoup plus susceptibles de se souvenir d'être tombés dans le piège d'un e-mail de phishing que de suivre une simple formation.