6 Attaques de phishing courantes et comment s’en protéger

Les attaques de phishing continuent de jouer un rôle dominant dans le paysage des menaces numériques. Dans son rapport 2020 sur les enquêtes sur les violations de données (DBIR), par exemple, Verizon Enterprise a constaté que le phishing était la deuxième variété d’action de menace la plus importante dans les incidents de sécurité et la première variété d’action de menace dans les violations de données. Il n’est donc pas surprenant que plus d’un cinquième (22 %) des violations de données analysées par les chercheurs de Verizon Enterprise impliquent le phishing d’une manière ou d’une autre.

Les fraudeurs numériques ne montrent aucun signe de ralentissement de leur activité de phishing en 2020, non plus. Au contraire, un rapport de Google a révélé que les sites Web de phishing ont augmenté de 350 %, passant de 149 195 en janvier 2020 à 522 495 seulement deux mois plus tard. Nombre de ces sites Web ont probablement utilisé le coronavirus 2019 (COVID-19) comme appât. En effet, Barracuda Networks a observé que les e-mails de phishing utilisant la pandémie comme thème sont passés de 137 en janvier 2020 à 9 116 à la fin du mois de mars – un taux de croissance de plus de 600 %.

L’augmentation des attaques de phishing représente une menace importante pour toutes les organisations. Il est important que toutes les entreprises sachent comment repérer certaines des escroqueries par phishing les plus courantes si elles veulent protéger les informations de leur entreprise. Il est également crucial qu’elles connaissent certains des types de techniques les plus courants que les acteurs malveillants utilisent pour réaliser ces escroqueries.

À cette fin, nous, à The State of Security, allons discuter de six des types d’attaques de phishing les plus courants, ainsi que fournir des conseils utiles sur la façon dont les organisations peuvent se défendre.

Hameçonnage trompeur

Le phishing trompeur est de loin le type d’escroquerie par phishing le plus courant. Dans ce stratagème, les fraudeurs se font passer pour une entreprise légitime dans le but de voler les données personnelles ou les identifiants de connexion des gens. Ces e-mails utilisent fréquemment des menaces et un sentiment d’urgence pour effrayer les utilisateurs et les amener à faire ce que les attaquants veulent.

Techniques utilisées dans le phishing trompeur

Vade Secure a mis en évidence certaines des techniques les plus courantes utilisées dans les attaques de phishing trompeur :

• Liens légitimes : De nombreux attaquants tentent d’échapper à la détection des filtres de messagerie en incorporant des liens légitimes dans leurs courriels de phishing trompeurs. Ils pourraient le faire en incluant des informations de contact légitimes pour une organisation qu’ils pourraient usurper.
• Mélange de code malveillant et bénin : Les responsables de la création de pages de destination de phishing mélangent couramment du code malveillant et bénin pour tromper Exchange Online Protection (EOP). Cela peut prendre la forme d’une réplique des CSS et JavaScript de la page de connexion d’un géant de la technologie dans le but de voler les identifiants de compte des utilisateurs.
• Redirections et liens raccourcis : Les acteurs malveillants ne veulent pas lever de drapeaux rouges auprès de leurs victimes. Ils conçoivent donc leurs campagnes de phishing pour utiliser des URL raccourcies afin de tromper les passerelles de messagerie sécurisées (SEG), le « time bombing » comme moyen de rediriger les utilisateurs vers une page de destination de phishing seulement après que le courriel a été délivré et les redirections vers des pages Web légitimes après que les victimes ont renoncé à leurs identifiants.
• Modifier les logos de marque : Certains filtres d’email peuvent repérer lorsque des acteurs malveillants volent les logos d’organisations et les incorporent dans leurs emails d’attaque ou sur leurs pages de destination de phishing. Ils le font en recherchant les attributs HTML des logos. Pour tromper ces outils de détection, les acteurs malveillants modifient un attribut HTML du logo, comme sa couleur.
• Contenu minimal des e-mails : Les attaquants numériques tentent d’échapper à la détection en incluant un contenu minimal dans leurs emails d’attaque. Ils peuvent choisir de le faire en incluant une image à la place du texte, par exemple.

Exemples récents d’attaques de phishing trompeuses

À titre d’exemple, les escrocs de PayPal pourraient envoyer un courriel d’attaque qui demande aux destinataires de cliquer sur un lien afin de rectifier une anomalie sur leur compte. En réalité, le lien redirige vers un site Web conçu pour imiter la page de connexion de PayPal. Ce site Web recueille les informations de connexion de la victime lorsqu’elle tente de s’authentifier et envoie ces données aux attaquants.

Nous avons également vu ces types de campagnes faire les gros titres ces dernières années. Début septembre 2020, par exemple, PR Newswire a partagé des recherches du CERT de Retarus avertissant les organisations de se méfier des attaquants se faisant passer pour des partenaires contractuels. Ces acteurs malveillants ont envoyé des courriels de phishing invitant les organisations à mettre à jour les contrats de leurs partenaires commerciaux en téléchargeant une pièce jointe. Pour ajouter de la légitimité à leur attaque, les acteurs malveillants ont fait croire que les documents étaient hébergés sur le système de transaction leader du secteur, Dotloop. Mais en cliquant sur le document, la victime était simplement redirigée vers une fausse page de connexion Microsoft.

Moins d’un mois après cela, les chercheurs de Cofense ont repéré une campagne d’e-mails qui prétendait provenir d’un fournisseur de formation à la sensibilisation à la sécurité. Les courriels d’attaque de l’opération avertissaient le destinataire qu’il ne lui restait qu’un jour pour suivre une formation obligatoire en cliquant sur une URL. Dans le cas où la victime s’exécutait, la campagne l’envoyait vers un kit de phishing qui utilisait une fausse page de connexion OWA hébergée sur un domaine russe pour voler les identifiants Microsoft des victimes.

Comment se défendre contre le phishing trompeur

Le succès d’un phishing trompeur dépend de la ressemblance entre l’e-mail d’attaque et un élément de correspondance officielle de l’entreprise abusée. Par conséquent, les utilisateurs doivent inspecter soigneusement toutes les URL pour voir si elles redirigent vers un site Web inconnu et/ou suspect. Ils doivent également faire attention aux salutations génériques, aux fautes de grammaire et aux fautes d’orthographe disséminées dans le courriel.

Spear Phishing

Toutes les escroqueries par phishing n’embrassent pas les techniques de « spray and pray ». Certaines ruses reposent davantage sur une touche personnelle. Elles le font parce qu’elles n’auraient pas de succès autrement.

Entrez dans les schémas de spear phishing.

Dans ce type de stratagème, les fraudeurs personnalisent leurs emails d’attaque avec le nom de la cible, son poste, son entreprise, son numéro de téléphone professionnel et d’autres informations pour tenter de faire croire au destinataire qu’il a un lien avec l’expéditeur. L’objectif est pourtant le même que pour le hameçonnage trompeur : inciter la victime à cliquer sur une URL ou une pièce jointe malveillante pour qu’elle communique ses données personnelles. Compte tenu de la quantité d’informations nécessaires pour élaborer une tentative d’attaque convaincante, il n’est pas surprenant que le spear-phishing soit courant sur les sites de médias sociaux comme LinkedIn, où les attaquants peuvent utiliser plusieurs sources de données pour élaborer un courriel d’attaque ciblé.

Techniques utilisées dans le spear-phishing

Vous trouverez ci-dessous quelques-unes des techniques les plus courantes utilisées dans les attaques de spear-phishing :

• Hébergement de documents malveillants sur des services cloud : CSO Online rapporte que les attaquants numériques hébergent de plus en plus leurs documents malveillants sur Dropbox, Box, Google Drive et d’autres services cloud. Par défaut, l’informatique n’est pas susceptible de bloquer ces services, ce qui signifie que les filtres de messagerie de l’organisation ne signaleront pas les docs armés.
• Compromis tokens : La plateforme d’actualités sur la sécurité a également noté que les criminels numériques tentent de compromettre les jetons d’API ou les jetons de session. Un succès à cet égard leur permettrait de voler l’accès à un compte de messagerie, un site SharePoint ou une autre ressource.
• Recueillir des notifications hors du bureau : Les attaquants ont besoin de beaucoup de renseignements pour envoyer une campagne de spear-phishing convaincante. Selon Trend Micro, l’une des façons d’y parvenir est d’envoyer des courriels aux employés en masse et de recueillir des notifications hors du bureau pour apprendre le format des adresses électroniques utilisées par les employés internes.
• Explorer les médias sociaux : Les acteurs malveillants doivent apprendre qui travaille dans une entreprise ciblée. Pour ce faire, ils peuvent utiliser les médias sociaux pour enquêter sur la structure de l’organisation et décider qui ils souhaitent isoler pour leurs attaques ciblées.

Exemples d’attaques de spear phishing

Début septembre 2020, Proofpoint a révélé avoir détecté deux campagnes d’attaques de spear phishing impliquant le groupe APT TA413 basé en Chine. La première a eu lieu en mars et a ciblé des entités gouvernementales européennes, des organismes de recherche à but non lucratif et des entreprises mondiales associées aux affaires économiques en tentant les destinataires d’ouvrir le document de l’OMS intitulé  » Critical preparedness, readiness and response actions for COVID-19, Interim guidance « . Le second visait les dissidents tibétains avec une présentation PowerPoint intitulée « TIBETANS BEING HIT BY DEADLY VIRUS THAT CARRIES A GUN AND SPEAKS CHINESE.ppsx ». Tous deux ont livré des charges utiles d’une nouvelle famille d’infostealer appelée Sepulcher.

Moins d’une semaine plus tard, Armorblox a expliqué être tombé sur une tentative d’attaque par phishing contre l’une des 50 premières entreprises innovantes au monde en 2019. L’email d’attaque utilisait des techniques d’usurpation pour tromper le destinataire en lui faisant croire qu’il contenait un rapport financier interne. La pièce jointe de la campagne redirigeait par la suite les destinataires vers une fausse page de connexion Office 365 qui montrait leur nom d’utilisateur pré-saisi sur la page, créant ainsi davantage le déguisement que le portail était une ressource interne de l’entreprise.

Comment se défendre contre le Spear Phishing

Pour se protéger contre ce type d’escroquerie, les organisations devraient mener une formation continue de sensibilisation à la sécurité des employés qui, entre autres, décourage les utilisateurs de publier des informations personnelles ou d’entreprise sensibles sur les médias sociaux. Les entreprises devraient également investir dans des solutions qui analysent les courriels entrants à la recherche de liens malveillants/de pièces jointes connues. Cette solution devrait être capable de repérer les indicateurs de logiciels malveillants connus et de menaces de type  » zero-day « .

Fraude au PDG

Les spécialistes de l’hameçonnage au poireau peuvent cibler n’importe qui dans une organisation, même les dirigeants. C’est la logique qui sous-tend une attaque de type  » baleine « . Dans ces escroqueries, les fraudeurs tentent de harponner un cadre et de voler ses informations de connexion.

En cas de succès de leur attaque, les fraudeurs peuvent choisir de mener une fraude au PDG. En tant que deuxième phase d’une escroquerie de compromission d’e-mails d’entreprise (BEC), la fraude au PDG consiste à ce que les attaquants abusent du compte e-mail compromis d’un PDG ou d’un autre cadre de haut rang pour autoriser des virements électroniques frauduleux vers une institution financière de leur choix. Ils peuvent également exploiter ce même compte de messagerie pour effectuer un hameçonnage W-2 dans lequel ils demandent les informations W-2 de tous les employés afin de remplir de fausses déclarations de revenus en leur nom ou de publier ces données sur le dark web.

Techniques utilisées dans le whaling

Les attaques de whaling font généralement appel aux mêmes techniques que les campagnes de spear phishing. Voici quelques tactiques supplémentaires que les acteurs malveillants pourraient utiliser :

• Infiltrer le réseau : Le compte d’un dirigeant compromis est plus efficace qu’un compte de messagerie usurpé. Comme le note Varonis, les attaquants numériques pourraient donc utiliser des logiciels malveillants et des rootkits pour infiltrer le réseau de leur cible.
• Suivre par un appel téléphonique : Le Centre national de cybersécurité (NCSC) du Royaume-Uni a eu connaissance de plusieurs cas où des attaquants ont fait suivre un courriel de baleine d’un appel téléphonique confirmant la demande par courriel. Cette tactique d’ingénierie sociale a permis d’apaiser les craintes de la cible, qui pensait que quelque chose de suspect se préparait.
• S’attaquer à la chaîne d’approvisionnement : En outre, le NCSC a été témoin d’une augmentation des cas où des acteurs malveillants ont utilisé des informations provenant des fournisseurs et des vendeurs des cibles pour faire en sorte que leurs courriels baleiniers semblent provenir de partenaires de confiance.

Exemples récents d’attaques baleinières

En mai 2016, Infosecurity Magazine a couvert la décision du fabricant aérospatial autrichien FACC de licencier son PDG. Le conseil de surveillance de l’organisation a déclaré que sa décision était fondée sur l’idée que l’ancien PDG avait « gravement violé ses fonctions, notamment en relation avec le « Fake President Incident ». » Cet incident semblait être une attaque baleinière au cours de laquelle des acteurs malveillants ont volé 50 millions d’euros à l’entreprise.

C’est plus de trois ans plus tard que le Lituanien Evaldas Rimasauskas a reçu une peine de prison de cinq ans pour avoir volé 122 millions de dollars à deux grandes entreprises américaines. Comme le rapportait Naked Security en décembre 2019, Rimasauskas a mis en scène des attaques baleinières en 2013 et 2015 contre deux entreprises en envoyant de fausses factures tout en se faisant passer pour une entreprise taïwanaise légitime. Le tribunal de Manhattan qui a prononcé la sentence a également ordonné à Rimasauskas de purger deux ans de liberté surveillée, de renoncer à 49,7 millions de dollars et de payer 26,5 millions de dollars de restitution.

Comment se défendre contre le whaling

Les attaques de whaling fonctionnent parce que les dirigeants ne participent souvent pas à une formation de sensibilisation à la sécurité avec leurs employés. Pour contrer les menaces de fraude du PDG et de hameçonnage W-2, les organisations devraient exiger que tout le personnel de l’entreprise – y compris les cadres – participe à une formation de sensibilisation à la sécurité sur une base continue.

Les organisations devraient également envisager d’injecter des canaux d’authentification multifactorielle (MFA) dans leurs processus d’autorisation financière afin que personne ne puisse autoriser des paiements par le seul biais du courrier électronique.

Vishing

Jusqu’à présent, nous avons abordé les attaques de phishing qui, pour la plupart, reposent uniquement sur le courrier électronique comme moyen de communication. Le courrier électronique est sans aucun doute un outil populaire auprès des hameçonneurs. Malgré cela, les fraudeurs se tournent parfois vers d’autres médias pour perpétrer leurs attaques.

Prenez le vishing, par exemple. Ce type d’attaque par hameçonnage se passe de l’envoi d’un courriel et opte plutôt pour le placement d’un appel téléphonique. Comme le note Comparitech, un attaquant peut perpétrer une campagne de vishing en mettant en place un serveur VoIP (Voice over Internet Protocol) pour imiter diverses entités afin de voler des données sensibles et/ou des fonds.

Techniques utilisées dans le Vishing

Voici quelques techniques courantes utilisées dans les attaques de vishing :

• « La technique du mumble » : Les attaquants numériques incorporent souvent des tactiques uniques pour s’attaquer à des cibles spécifiques. Par exemple, comme le rapporte Social-Engineer, LLC, lorsqu’ils tentent de cibler les représentants du service clientèle ou les agents des centres d’appels, les acteurs malveillants peuvent utiliser ce que l’on appelle « la technique du marmonnement » pour marmonner une réponse à une question dans l’espoir que leur « réponse » suffira.
• Jargon technique : Dans le cas où les acteurs malveillants ciblent les employés d’une entreprise, Social-Engineer, LLC a noté qu’ils pourraient se faire passer pour le support technique interne en utilisant un jargon technique et en faisant allusion à des choses comme les problèmes de vitesse et le badgeage pour convaincre un employé qu’il est d’accord pour qu’il transmette ses informations.
• Espionnage d’identité : Avec cette tactique, un acteur malveillant déguise son numéro de téléphone pour faire croire que son appel provient d’un numéro de téléphone légitime dans l’indicatif régional de la cible. Twinstate a noté que cette technique pouvait bercer les cibles d’un faux sentiment de sécurité.

Exemples récents d’attaques par hameçonnage

À la mi-septembre 2020, l’organisation de soins de santé gérés Spectrum Health System a publié un communiqué avertissant les patients et les membres de Priority Health de se méfier des attaques par hameçonnage vocal. Cet avertissement indiquait que les personnes responsables de l’attaque s’étaient fait passer pour des employés de Spectrum Health ou de Priority Health. Ils ont utilisé ce déguisement pour essayer de faire pression sur les individus afin qu’ils remettent leurs informations, leur argent ou l’accès à leur compte.

C’est moins de deux semaines plus tard qu’un reportage a émergé sur WFXRtv.com dans lequel les responsables du comté de Montgomery ont averti les résidents de la communauté de Virginie de se méfier des escroqueries impliquant des numéros de sécurité sociale. Le reportage soulignait spécifiquement une recrudescence de fraudeurs menant des attaques par vishing dans lesquelles ils informaient les résidents que leur numéro de sécurité sociale était suspendu et que l’accès à leurs comptes bancaires serait saisi à moins qu’ils ne vérifient leurs données.

Comment se défendre contre le vishing

Pour se protéger des attaques de vishing, les utilisateurs doivent éviter de répondre aux appels provenant de numéros de téléphone inconnus, ne jamais donner d’informations personnelles au téléphone et utiliser une application d’identification de l’appelant.

Smishing

Le vishing n’est pas le seul type de phishing que les fraudeurs numériques peuvent perpétrer à l’aide d’un téléphone. Ils peuvent également mener ce que l’on appelle le smishing. Cette méthode exploite les messages texte malveillants pour inciter les utilisateurs à cliquer sur un lien malveillant ou à remettre des informations personnelles.

Techniques utilisées dans le smishing

Webroot a identifié certaines techniques couramment utilisées par les smishers :

• Déclencher le téléchargement d’une application malveillante : Les attaquants peuvent utiliser des liens malveillants pour déclencher le téléchargement automatique d’apps malveillantes sur les appareils mobiles des victimes. Ces apps pourraient alors déployer des ransomwares ou permettre à des acteurs malveillants de contrôler à distance leurs appareils.
• Lien vers des formulaires de vol de données : Les attaquants pourraient exploiter un message texte ainsi que des techniques de phishing trompeuses pour inciter les utilisateurs à cliquer sur un lien malveillant. La campagne pourrait alors les rediriger vers un site web conçu pour voler leurs informations personnelles.
• Instruire l’utilisateur à contacter le support technique : Avec ce type de tactique d’attaque, les acteurs malveillants envoient des messages texte qui demandent aux destinataires de contacter un numéro pour le support client. L’escroc se fait alors passer pour un représentant légitime du service clientèle et tente d’inciter la victime à lui remettre ses données personnelles.

Exemples récents d’attaques par smishing

Des informations ont émergé à la mi-septembre sur une campagne de smishing qui utilisait la poste américaine (USPS) comme appât. Les SMS d’attaque de l’opération informaient les destinataires qu’ils devaient consulter des informations importantes sur une livraison prochaine de l’USPS. En cliquant sur le lien, ils étaient dirigés vers divers endroits, dont un faux jeu de casino ainsi qu’un site Web conçu pour voler les identifiants de compte Google des visiteurs.

Ce n’est que peu de temps après que Naked Security a publié un rapport sur une campagne de smishing visant les fans d’Apple. Les SMS semblaient être arrivés à un mauvais numéro, et ils utilisaient un faux chatbot Apple pour informer le destinataire qu’il avait gagné la chance de faire partie du programme de test 2020 d’Apple et de tester le nouvel iPhone 12. Cette campagne demandait finalement aux victimes de payer des frais de livraison. En réalité, l’opération a simplement utilisé un faux portail web pour voler les identifiants de carte de paiement de ses victimes.

Comment se défendre contre le smishing

Les utilisateurs peuvent aider à se défendre contre les attaques de smishing en faisant des recherches approfondies sur les numéros de téléphone inconnus et en appelant l’entreprise nommée dans les messages s’ils ont des doutes.

Pharming

Alors que les utilisateurs deviennent plus sages face aux arnaques traditionnelles de phishing, certains fraudeurs abandonnent complètement l’idée d' »appâter » leurs victimes. Au lieu de cela, ils recourent au pharming. Cette méthode d’hameçonnage exploite l’empoisonnement du cache contre le système de nom de domaine (DNS), un système de dénomination que l’Internet utilise pour convertir les noms de sites Web alphabétiques, tels que « www.microsoft.com », en adresses IP numériques afin de pouvoir localiser et ainsi diriger les visiteurs vers des services et des appareils informatiques.

Dans une attaque par empoisonnement du cache DNS, un hameçonneur cible un serveur DNS et modifie l’adresse IP associée à un nom de site Web alphabétique. Cela signifie qu’un attaquant peut rediriger les utilisateurs vers un site web malveillant de son choix. C’est le cas même si la victime saisit le nom de site correct.

Techniques utilisées dans le pharming

Vous trouverez ci-dessous quelques tactiques de pharming identifiées par Panda Security :

• Code de courriel malveillant : Dans cette variante d’une attaque de pharming, les acteurs malveillants envoient des e-mails contenant un code malveillant qui modifie les fichiers hôtes sur l’ordinateur du destinataire. Ces fichiers hôtes modifiés redirigent ensuite toutes les URL vers un site web sous le contrôle des attaquants afin qu’ils puissent installer des logiciels malveillants ou voler les informations d’une victime.
• Cibler le serveur DNS : Alternativement, les acteurs malveillants pourraient choisir de ne pas cibler les ordinateurs des utilisateurs individuels et s’en prendre directement à un serveur DNS. Cela pourrait potentiellement compromettre les requêtes URL de millions d’internautes.

Exemples récents d’attaques de pharming

Tout en 2014, Team Cymru a révélé avoir découvert une attaque de pharming en décembre 2013. Cette opération a touché plus de 300 000 routeurs de petites entreprises et de bureaux à domicile basés en Europe et en Asie. Au final, la campagne a utilisé des attaques de type man-in-the-middle (MitM) pour écraser les paramètres DNS des victimes et rediriger les requêtes URL vers des sites sous le contrôle des attaquants.

Un an plus tard, Proofpoint a révélé avoir détecté une campagne de pharming ciblant principalement des utilisateurs brésiliens. L’opération avait utilisé quatre URL distinctes intégrées dans des e-mails de phishing pour s’attaquer aux propriétaires de routeurs UTStarcom et TP-Link. Lorsqu’un destinataire cliquait sur l’une de ces URL, la campagne l’envoyait vers un site Web conçu pour exécuter des attaques CSRF (cross-site request forgery) sur les vulnérabilités des routeurs ciblés. Une exploitation réussie permettait aux acteurs malveillants de réaliser des attaques MitM.

Comment se défendre contre le pharming

Pour se protéger contre les attaques de pharming, les organisations devraient encourager les employés à saisir leurs identifiants de connexion uniquement sur des sites protégés par HTTPS. Les entreprises devraient également déployer des logiciels antivirus sur tous les appareils de l’entreprise et mettre en œuvre des mises à jour régulières des bases de données virales. Enfin, elles devraient rester à l’affût des mises à jour de sécurité émises par un fournisseur d’accès Internet (FAI) de confiance.

Conclusion

En utilisant le guide ci-dessus, les organisations seront en mesure de repérer plus rapidement certains des types d’attaques de phishing les plus courants. Malgré cela, cela ne signifie pas qu’elles seront en mesure de repérer chaque phishing. Le phishing évolue constamment pour adopter de nouvelles formes et techniques.

Avec cela en tête, il est impératif que les organisations mènent des formations de sensibilisation à la sécurité de manière continue afin que leurs employés et leurs dirigeants puissent rester au fait de l’évolution du phishing.

Pour plus d’informations sur la manière dont le personnel de votre entreprise peut repérer un phish, veuillez cliquer ici.