Qui est concerné ?
Il n’y a pas d’exception. Nous sommes tous concernés par l’hameçonnage. Individuellement et collectivement. Personnellement et professionnellement. Que l’on appartienne à une petite ou grande organisation. Quel que soit le service dont nous dépendons. De même, le secteur professionnel et le lieu importent peu.
Une cyberattaque par hameçonnage peut viser
n’importe qui, n’importe quand et n’importe où.
L’argent est, bien sûr, l’enjeu majeur des hackers. Néanmoins, ces derniers ne viseront pas uniquement les grands groupes. En effet, collecter des données, même auprès d’organisations au chiffre d’affaire modeste ou à but non lucratif, peut s’avérer tout autant fructueux. Les cybercriminels recourent au Dark Web pour vendre et acheter des informations. A titre d’exemples, les cyberattaques ciblant des collectivités comme la mairie de Mitry-Mory ou l’attaque par phishing du Tribunal de Paris en 2020.
Par ailleurs, mener une attaque par rebond (en utilisant, à leur insu, les systèmes intermédiaires des fournisseurs ou prestataires par exemple) est tout autant envisageable.
De facto, tout individu est concerné. De plus, 80% des cyberattaques ont pour origine un e-mail de phishing, sur lequel un individu a cliqué faute d’attention ou par négligence. C’est, par conséquent, l’humain qui est non pas à l’origine mais bien au coeur de la problématique du phishing. Toutefois, qui oserait condamner un utilisateur qui n’a pas été formé à déjouer les pièges de l’hameçonnage ?
Comment l’hameçonnage est-il mis en oeuvre ?
La difficulté de réalisation d’un hameçonnage varie selon le niveau de la fraude.
Pour un phishing basique, des solutions “clés en main” sont même disponibles sur Internet. Comme le souligne l’ANSSI dans une communication du 31 janvier 2019 sur ce type de cyberattaques : “Cette profusion d’attaques est facilitée par la vente sur Internet de rançongiciels “prêts-à-l’emploi” (RaaS : Ransomware-as-a-Service), comme GandCrab, Ryuk, SamSam, Dharma, etc.”
Seule une minorité de hackers possèdent les aptitudes nécessaires pour mener une attaque par hameçonnage pointue.
L’hameçonnage peut prendre plusieurs formes :
- L’envoi d’e-mails “en masse”, c’est-à-dire à plusieurs utilisateurs en même temps, dans la perspective que l’un d’entre eux tombe dans le piège et clique.
- L’envoi d’e-mail ciblé, c’est-à-dire visant une personne en particulier. Cette fraude, appelée harponnage (ou “spear phishing” en anglais), consiste à recueillir un maximum d’informations sur la victime avant de lui envoyer un e-mail frauduleux tellement bien réalisé que la victime ne se doute de rien. Pour ce faire, le web (et dark web) dispose d’une quantité de données surabondantes. Il est donc aisé de collecter des informations sur un individu ou une organisation en menant une investigation numérique.
Pour piéger les utilisateurs, les hackers usent de stratagèmes variés, de plus en plus sophistiqués.
L’usurpation d’identité : en imitant ou volant l’identité d’un tiers de confiance :
- Enseigne (EDF, opérateur téléphonique…), organisation, administration (impôts, CAF…)…
- Supérieur hiérarchique, collaborateur, fournisseur, prestataire…
L’utilisation de tous les moyens de communication :
L’e-mail demeure le vecteur principal pour lancer une cyberattaque. Néanmoins, sites web falsifiés, programmes corrompus pour ordinateurs ou smartphones, campagnes de phishing par sms sont également l’apanage des hackers.
Les ressorts psychologiques :
Les pirates informatiques ne manquent pas d’imagination pour manipuler leur victime. Ils jouent sur la gamme des émotions humaines (l’enthousiasme, l’impulsivité, la peur, le stress, …) et/ou inventent des scénarios suffisamment réalistes pour atteindre leurs objectifs.
A titre d’exemple, ces techniques sont combinées au travers des arnaques de type “fraude au président” (FOVI : Faux Ordres de VIrements). En usurpant l’identité d’un supérieur hiérarchique, le hacker incite sa cible à effectuer un virement en urgence. Sous pression, stressée, la victime s’exécute alors et perd tout bon sens.
