Attaques par hameçonnage: ce que vous devez savoir

Lorsque l'assistant du chef du Comité national démocrate (DNC), John Podesta, lui a envoyé un courrier électronique affirmant que le compte Gmail de Podesta était piraté, Podesta a fait ce que la plupart d'entre nous auraient fait: il a cliqué sur le lien dans le courrier électronique et a été dirigé vers un site Web où il a été invité. pour entrer un nouveau mot de passe. Il l'a fait et s'est ensuite occupé de ses affaires quotidiennes. Malheureusement pour Podesta, le parti démocrate et la campagne présidentielle d'Hillary Clinton, le courrier électronique envoyé à Podesta n'était pas de Google. Il s'agissait plutôt d'une attaque de phishing par un groupe de pirates informatiques russes appelé "Fancy Bear".

Même si vous n'avez jamais entendu parler de «harponnage», vous avez sans doute entendu parler de ce type d'attaques. Vous en avez probablement même été la cible. Ces attaques prennent généralement la forme de courriers électroniques d'assistance à la clientèle vous demandant de modifier les informations d'identification. Ils peuvent également être envoyés via de fausses adresses électroniques à des entreprises demandant des données très personnelles à leurs clients ou à leurs employés. Par exemple, en 2015, les employés d’Ubiquiti Networks ont transféré 46, 7 millions de dollars sur des comptes à l’étranger à la suite des courriels supposés avoir été envoyés par des dirigeants d’Ubiquiti. En réalité, les hackers ont créé des comptes de messagerie frauduleux qui ressemblaient aux comptes de dirigeants d’Ubiquiti et ont trompé les employés.

Selon les données d'une étude récente menée par IronScales, une entreprise de sécurité du courrier électronique, 77% des attaques sont ciblées au laser et ciblent 10 comptes ou moins, un tiers des attaques ne ciblant qu'un seul compte. Les attaques sont courtes: 47% durent moins de 24 heures et 65% moins de 30 jours. Les filtres anti-spam et les outils de protection des points finaux traditionnels ne détectent pas les attaques. Sur cinq attaques identifiées par des filtres anti-spam, 20 attaques ont été enregistrées dans la boîte de réception d'un utilisateur.

(Image Via: IronScales)

"Nous constatons que les attaquants passent beaucoup plus de temps à étudier leurs cibles que par le passé et à mettre en place un processus de reconnaissance très complet", a déclaré Eyal Benishti, PDG d'IronScales. "En conséquence, les e-mails de phishing sont devenus très ciblés et adaptés à l'entreprise cible, car les attaquants sont en mesure de collecter des informations grâce à la reconnaissance qui les aide à concevoir des e-mails ressemblant à des communications internes légitimes. Par exemple, nous avons vu que certaines attaques utilisaient la le jargon et les signatures des organisations, et le contenu est très en rapport avec ce qui se passe actuellement au sein de la société et entre les parties de confiance."

Jeff Pollard, analyste principal chez Forrester Research, a ajouté que ces attaques gagnent également en sophistication. "Les attaques deviennent de plus en plus sophistiquées, à la fois en termes d'attraits utilisés pour inciter les gens à cliquer et en ce qui concerne les logiciels malveillants utilisés pour pénétrer dans les systèmes", a déclaré Pollard. "Mais c'est ce à quoi nous nous attendons étant donné que la cybersécurité est une bataille constante entre défenseurs et attaquants."

La solution

Pour lutter contre ces attaques, les entreprises se tournent vers un logiciel anti-phishing pour détecter et signaler les attaques entrantes. Les outils anti-spam et anti-malware sont une évidence pour les entreprises qui souhaitent protéger leurs données. Mais des sociétés telles que IronScales vont encore plus loin en superposant des outils d'apprentissage automatique (ML) pour rechercher et signaler de manière proactive les courriels d'hameçonnage par hameçonnage. De plus, comme ML permet aux outils de compiler ou de mémoriser des données d’escroquerie, le logiciel apprend et s’améliore à chaque analyse.

"La technologie rend plus difficile pour l'attaquant de tromper le défenseur avec de petites modifications qui contournent normalement une solution basée sur la signature", a déclaré Benishti. "Avec ML, nous pouvons rapidement regrouper différentes variantes d'une même attaque et lutter plus efficacement contre le phishing. En fait, d'après notre analyse, ML est le meilleur moyen de former un système permettant de faire la différence entre les courriels légitimes provenant d'un partenaire de confiance ou collègue par rapport à un non légitime."

La technologie n'est pas la seule protection contre ces formes d'attaques. L'éducation et la prudence sont peut-être les moyens de défense les plus importants contre les attaques de spear-phishing. "Certaines entreprises sont conscientes des menaces, bien que d'autres croient à tort que leur solution actuelle protège des attaques ciblées", a déclaré Benishti. "Il est très important de comprendre que l'utilisation des mêmes mécanismes de défense et l'attente de résultats différents lors d'attaques futures ne suffiront tout simplement pas. L'utilisation de la technologie seule pour lutter contre les attaques avancées, visant à cibler les personnes, échouera toujours, de même que la prise en compte exclusive des employés formation… Les personnes et les machines travaillant en étroite collaboration pour combler cet écart d'attaques inconnues est le seul moyen de réduire les risques."

(Image Via: IronScales)

Comment rester en sécurité

Voici quelques moyens très simples pour éviter toute arnaque à votre entreprise et à votre entreprise:

• Assurez-vous que les courriels de l'entreprise sont étiquetés "INTERNE" ou "EXTERNE" dans la ligne d'objet.
• Vérifiez les demandes suspectes ou risquées par téléphone. Par exemple, si votre PDG vous envoie un e-mail et vous demande d'envoyer les données de santé personnelles d'une personne, appelez-la ou envoyez un message de discussion en ligne pour vérifier la demande.
• Si une entreprise vous demande de changer votre mot de passe, n'utilisez pas le lien indiqué dans la notification par courrier électronique. allez directement sur le site Web de l'entreprise et changez votre mot de passe à partir de là.
• En aucun cas, ne devriez-vous envoyer votre mot de passe, votre numéro de sécurité sociale ou vos informations de carte de crédit à une personne figurant dans le corps d'un e-mail.
• Ne cliquez pas sur des liens dans des courriels qui ne contiennent aucun autre texte ou information.

"Les attaques s'améliorent, les attaques s'améliorent", a déclaré Pollard. "Je pense que nous verrons davantage de campagnes ciblées d'hameçonnage et de chasse à la baleine. Nous assisterons également à une augmentation du phishing et de l'escroquerie sur les réseaux sociaux, domaine qui n'est pas aussi mature que la sécurité de la messagerie électronique."

Malheureusement, aussi prudents soient-ils, les attaques s'intensifieront et deviendront plus intelligentes. Vous pouvez faire tout ce qui est en votre pouvoir pour éduquer vos employés et vous-même, vous pouvez construire une défense anti-phishing reposant sur les nouvelles technologies et prendre toutes les précautions possibles. Mais, comme le notait Pollard, "cela ne prend qu'une seule mauvaise journée, un clic erroné ou un utilisateur pressé d'essayer de nettoyer une boîte de réception pour aboutir à une catastrophe".