E-réputation — 24 juin 2013 — 5 commentaires
Spear-phishing : ne mordez pas à l’hameçon !

Vous êtes dirigeant ou cadre de votre entreprise ? Vous êtes marketer et vous traitez beaucoup de données pour vos clients ? Vous avez accès à des informations confidentielles ? Vous travaillez pour une administration publique ? Vous êtes un activiste ou militant ? Si vous répondez par l’affirmative à l’une de ces questions, alors vous êtes la cible idéale du Spear Phishing

A la différence du phishing classique (envoi massif de mails contenant des liens ou du code malicieux), le Spear Phishing vise des personnes identifiées et sélectionnées en fonctions de critères précis, à savoir leur position dans une organisation qui détient certains biens ou informations qui intéressent l’auteur du phishing.

Il s’agit d’une attaque ciblée, avec un but précis, qui se déroule le plus souvent par étapes successives.

Le scénario classique

Le « Spear Phisher » va d’abord se renseigner sur sa cible et son intérêt potentiel en consultant l’organigramme de votre société ou bien en posant des questions « innocentes » à vos collègues ou connaissances. Il pourra de la même manière récupérer votre adresse e-mail (d’autant plus facilement, si votre adresse est publiée sur Internet).

A partir des informations personnelles et professionnelles qu’il aura pu récupérer, le « Spear Phisher », pourra vous envoyer un mail parfaitement personnalisé contenant un fichier joint avec du code malicieux (logiciel malveillant) ou un lien vers un site compromis.

La plupart du temps, il s’agira d’installer des programmes espions permettant au pirate de rassembler des informations afin de préparer une attaque ultérieure.

Le Spear Phishing n’a donc pas forcément d’effet immédiat, et on peut avoir l’impression que l’e-mail en question est inoffensif, malgré qu’il soit étrange. Si vous avez déjà ouvert un fichier suspect ou cliqué sur un lien corrompu, faites nettoyer votre PC avant de continuer à l’utiliser.

Comment se protéger ?

Les protections habituelles de type firewall ou filtre anti-spam ne parviennent déjà pas à bloquer tous les codes malicieux et les spams qui circulent. A fortiori, ils n’auront aucune efficacité contre le Spear Phishing qui est une forme d’ingénierie sociale. La vigilance est donc de mise dès l’instant où vous constituez une cible privilégiée.

Si vous recevez un mail personnel inattendu de la part d’un expéditeur qui semble vous connaître et vous demande de cliquer sur un lien ou d’ouvrir un fichier joint, méfiez-vous. Il se peut même que l’e-mail provienne apparemment d’un collègue, dont l’attaquant aura réussi à usurper l’identité. En cas de doute, demandez confirmation à l’expéditeur du message qu’il en est bien l’auteur, en utilisant un autre canal de communication.

Astuce :

Pour sécuriser vos communications avec vos collègues, vous pouvez utiliser un code qui signalera que vous êtes effectivement l’auteur du message.  Ce code devra être utilisé pour tout message ‘sensible’, c’est-à-dire contenant des pièces jointes, des liens ou des demandes particulières.

Par ailleurs, il est intéressant de connaître vos informations professionnelles et personnelles qui sont facilement accessibles sur le web. Faites le test en tapant votre « Prénom Nom » sur Google et Facebook. Vous aurez de cette manière un aperçu des informations publiques qui sont les plus faciles à obtenir sur votre personne.

Si votre date de naissance figure sur un réseau social, et que vos fonctions figurent sur le site web de votre entreprise, il sera facile pour le « spear phisher » de vous envoyer un mail personnalisé en vous proposant un cadeau d’anniversaire… qui se trouve derrière un lien corrompu.

Logo Cases

Faits et chiffres

  • 94 % des emails ciblés (Spear Phishing) utilisent des fichiers joints ;
  • Le format de ces fichiers est varié : rtf, xls, zip, rar, pdf, doc… ;
  • Dans certains cas, des fichiers exécutables sont dissimulés en documents avec de fausses icônes ;
  • Les cibles du Spear Phishing sont dans 76 % des cas des entreprises ou des administrations ;
  • 75 % des victimes du Spear Phishing avaient une adresse mail facile à trouver sur Internet (soit par une recherche sur Google, soit en utilisant le nom de domaine de leur entreprise).

Articles similaires

Articles Recommandés



L'auteur

Jean Larock

Passionné par la communication, je suis actif sur le web depuis le début du millénaire... Journaliste de formation, je m'intéresse plus particulièrement au volet éditorial et j'interviens auprès des entreprises et administrations pour les aider à développer leur stratégie de contenu.

 


5 Commentaires

  1. Le problème s’est que dans ce « domaine » les hackers ont de belles idées… je dis « belles idées » non pas que je les soutiennes mais ils sont quand même super malin…

    Internet est une vraie jungle..

  2. Comme l’indique Romain au dessus, d’un certain côté « Internet est une vraie Jungle »… Mais ce n’est pas pour autant que nous utilisateurs journaliers devons nous laisser abattre ou baisser les bras !

    En terme de sécurité email et de protection contre le phishing, il existe des solutions comme celles de Vade Retro Technology. Ces solutions vous protègent contre toutes les menaces liées à l’email : phishing, spam, spear phishing, scam, virus,…

  3. @ Vade Retro : contre le Spear phishing, aucune solution technique ne peut vraiment nous protéger. Ces attaques sont justement calibrées pour contourner les filtres. Rien à faire, il faut s’armer de son esprit critique pour survivre dans la « jungle ».

  4. En effet aucune solution ne sera fiable à 100% de par la nature du spear phishing. Vous avez donc raison de prévenir les internautes en leur indiquant de rester méfiant et de développer leur esprit critique.

    Cependant contrairement à une technologie basée sur les signatures emails, la technologie heuristique est capable de détecter les emails de phishing et spear phishing potentiels en amont pour attirer l’attention de l’utilisateur.

  5. Bonjour,

    Le billet est très intéressant. Le risque 0 n’existe pas mais cela n’empêcha pas de mettre en application quelques règles élémentaires afin de diminuer les risques.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *