Le phishing a beaucoup évolué. Alors que l’email frauduleux était auparavant facilement repéré par ses nombreuses fautes d’orthographe et par les demandes ou menaces exagérées (versement immédiat d’argent, compte intégralement effacé, etc.), il reprend aujourd’hui les codes d’organismes de confiance. De plus, le phishing implique désormais des demandes personnalisées ou des interlocuteurs connus de la personne attaquée (responsables hiérarchiques par exemple), ce qui le rend plus difficile à détecter.
Le phishing consiste à interagir avec des emails piégés. Il s’agit de la méthode la plus couramment utilisée pour l’ingénierie sociale, une branche de la cyber-criminalité.
L’ingénierie sociale cible le comportement humain. Elle a pour but d’amener un utilisateur à dévoiler des informations confidentielles et à réaliser des actions néfastes pour soi-même ou pour un organisme auquel il appartient. Vous pouvez sensibiliser vos équipes à ce risque en réalisant un audit d’ingénierie sociale.
Nous verrons dans cet article comment déjouer les différents stratagèmes du phishing, qui peuvent échapper même aux utilisateurs avertis et vigilants.
Soyez vigilant aux objets qui poussent facilement au clic : informations tapageuses, promotions exceptionnelles, invitation à gagner ceci ou cela, besoin d’aide urgent, ou encore problème sur votre compte bancaire, etc. S’ils ne sont pas une mauvaise publicité ou une newsletter, il est fort probable qu’ils soient une tentative de vous faire cliquer rapidement.
Plus que l’objet, c’est le corps de l’email qui va généralement révéler les intentions douteuses de son auteur. Sans prendre en compte l’émetteur (nous analyserons la source plus tard), certains contenus devront attirer votre attention. Il s’agit de ceux qui nous demandent des informations et/ou documents personnels ou confidentiels, ou bien ceux qui demandent (explicitement ou non) de réaliser des actions particulières et souvent inhabituelles.
Prenons pour exemple :
Les prétextes peuvent être nombreux et certains semblent suffisamment légitimes pour que l’action soit réalisée sans se poser de questions. Certains prétextes peuvent également jouer sur des sentiments et émotions afin de duper la raison. Vous pouvez par exemple consulter notre article détaillant certains ressorts psychologiques utilisés pour pousser au clic. Méfiez-vous particulièrement des prétextes des types suivants :
Si l’émetteur vous est inconnu, il faut vérifier son identité : la personne / l’entreprise existe-t-elle ? Pour cela, une rapide recherche sur un moteur de recherche révèle généralement les faux émetteurs. Pour une entreprise, vérifiez par exemple qu’elle est visible sur internet (site web, avis externes, etc.).
Pour des cas plus spécifiques, demandez une confirmation à une personne appropriée. Par exemple, vous recevez un mail d’une personne se présentant comme le « nouveau stagiaire ». Cette personne vous questionne sur des informations confidentielles. Renseignez-vous auprès des ressources humaines de votre établissement afin de confirmer son arrivée.
Si l’émetteur prétend être une personne que vous connaissez ou appartenant à un groupe que vous connaissez, il faut alors vérifier que cette identité ne soit pas usurpée. Une usurpation simple consiste à utiliser une adresse email proche de celle de la personne pour qui l’attaquant veut se faire passer.
Vous recevez par exemple un email de votre collègue Peter qui vous demande si vous pouvez lui redonner le mot de passe de l’accès à l’intranet de l’entreprise que vous aviez créé pour lui 2 mois plus tôt. Vigilant, vous observez l’adresse mail de l’émetteur. Vous savez que sa réelle adresse mail est Peter.Collins@etudiants-cp.net.
Voici un exemple de cas qui peuvent se présenter à vous :
Les possibilités sont extrêmement nombreuses et, bien qu’elles soient montrées ici de manière évidente, il peut être difficile de détecter ce genre de modification. D’autant plus qu’avec un manque de vigilance, l’adresse ne sera peut-être même pas lue par la personne ciblée.
En cas de doute, n’hésitez pas à contacter la personne pour confirmer son identité :
Il est possible d’usurper une adresse email de manière plus transparente, voire quasi indétectable pour un utilisateur n’ayant pas de connaissances techniques avancées. En effet, l’usurpateur va pouvoir afficher une adresse d’expédition identique à celle usurpée.
Cela semble un piège parfait ? Don’t worry, il est toujours possible de détecter l’attaque.
Dans le cas où l’usurpateur attend une réponse par email, l’usurpation se détecte en cliquant sur répondre (ou Reply).
Pour reprendre l’exemple précédent, l’usurpateur pourra effectivement envoyer un email en affichant comme adresse Peter.Collins@etudiants-cp.net (identique à l’adresse authentique).
Mais l’imposteur ne possédant pas réellement cette adresse, il ne pourra pas recevoir la réponse si elle est émise sur cette même adresse. Ainsi, c’est une fois avoir cliqué sur Répondre que peut se dévoiler une adresse falsifiée, telle que celles citées ci-avant.
Enfin, il est possible que l’usurpateur accepte de ne pas recevoir de réponse (par exemple, s’il vous demande de réaliser une action telle que télécharger et exécuter un fichier malveillant). Il est alors plus compliqué de détecter la supercherie.
Dans ce cas, c’est le contenu du mail qui doit alerter. Être attentif permet d’éveiller un soupçon, qui pourra être confirmé en joignant la personne prétendument usurpée (téléphone, autre email, rencontre physique).
Un utilisateur avancé pourra de plus consulter les headers ou vérifier par exemple que l’adresse IP de l’émetteur soir conforme avec celle du serveur mail attendu.
Dans la majeure partie des cas, les pièces jointes sont automatiquement scannées et filtrées de manière à empêcher un fichier potentiellement malveillant d’atterrir dans votre boite email. Il existe toutefois des moyens de contourner cette protection, par exemple en créant une archive chiffrée (demandant un mot de passe). L’attaquant peut donner de fausses excuses à cela, telles que la « compression d’un fichier trop grand » ou la volonté de « rendre les fichiers confidentiels » (argument de sécurité).
Dans ces conditions, les fichiers peuvent abriter toute sorte de code malveillant, et il est donc recommandé de ne pas télécharger ni ouvrir ce type de pièces jointes. Si les pièces sont légitimes, il n’y a pas de raison de ne pas les envoyer par les méthodes habituelles (la procédure inhabituelle doit alarmer). En effet, les fichiers classiques tels que PDF et Word (.doc et .ppt) ne peuvent théoriquement pas embarquer de code malveillant, raison pour laquelle ils sont transmissibles par mail. À noter toutefois qu’une pièce jointe, quelle qu’elle soit, n’est jamais garantie sans malware à 100 %, comme l’ont montré les récentes vulnérabilités découvertes sur les fichiers .docx.
D’une manière plus générale, lors de l’ouverture d’un fichier, il se peut qu’une fenêtre vous avertisse et vous demande si vous désirez exécuter le programme. Un programme exécutable est potentiellement très dangereux, et il est fort improbable que vous receviez légitimement ce type de fichier par email. On pourra de plus citer les deux extensions les plus utiliser dans des attaques de phishing : .exe et .hta. Refusez l’exécution de ces fichiers.
Enfin, un fichier Word particulier peut contenir des macros (.docm). À l’ouverture de celui-ci, il vous sera demandé si vous souhaitez les activer. Les macros sont potentiellement très dangereuses. Elles sont utilisées seulement pour des cas particuliers (documents professionnels complexes) ; elles n’ont ainsi dans la grande majorité des cas aucune raison d’être activées dans un fichier légitime. Refusez d’activer les macros, et prenez même l’habitude de ne pas ouvrir ces fichiers (.docm).
Quand un lien est présent dans un mail, il est important de vérifier la destination de celui-ci (avant d’avoir cliqué, c’est préférable). Pour cela, une méthode simple consiste à mettre le pointeur de la souris sur celui-ci afin de faire afficher la destination. En effet, il ne faut jamais se fier à l’URL qui est apparente, car celle-ci n’est que purement visuelle et ne donne aucune information quant à la destination réelle.
Une fois la destination réelle affichée, lire attentivement le chemin d’accès (et plus particulièrement le nom de domaine) afin de détecter les usurpations. Dans l’exemple ci-dessus, une lecture attentive permet de détecter l’escroquerie : le site destination est intranet.etudiants-cq.net et non intranet.etudiants-cp.net. Cela peut donc être un site détenu par un attaquant et destiné à tromper les utilisateurs.
En cas de doute, préférez accéder au site via un moteur de recherche plutôt qu’en suivant le lien.
Lorsqu’un lien est envoyé par email et semble légitime, vous allez certainement cliquer dessus. Si vous n’avez pas eu de suspicion lors de la lecture du mail, certains comportements de l’application doivent eux alerter :
En conclusion, comme nous l’avons vu dans cet article, de nombreuses méthodes peuvent être utilisées pour tromper un internaute et l’inciter à réaliser une action sensible. Nous pouvons tous, à un moment ou un autre, tomber dans l’un de ces pièges. Ne soyez pas trop pressé quand vous ouvrez vos emails et prenez le temps de vérifier les différents éléments cités ci-dessus : cela vous protègera du phishing.
Le phishing est la méthode la plus utilisée dans l’ingénierie sociale. Nous conduisons des audits d’ingénierie sociale dpuis plusieurs années. Nos clients ont partagé leur retour d’experience et ce qu’ils en ont tiré.
