ANTI PHISHING : LE GUIDE ULTIME

Une récente enquête menée auprès des entreprises françaises révèle que plus de 50 % d’entre elles ont subi entre une et trois cyberattaques en 2021. Le phishing s’impose comme le vecteur d’attaque le plus fréquent. Il recule cependant légèrement par rapport à l’année précédente, avec 73 % des attaques en 2021 contre 80 % en 2020. Malgré cette baisse, les entreprises doivent rester vigilantes. Comme des forteresses, elles doivent prévenir les intrusions et se doter des moyens de se défendre contre les hackers, les cybersquatteurs et les autres assaillants de l’ère Internet.

Cet article explique donc ce qu’est le phishing. Il détaille ensuite ses formes les plus courantes, puis présente les réflexes et les outils qui permettent aux entreprises de s’en protéger, de réagir en cas de préattaque, et de limiter les dégâts si l’attaque a déjà eu lieu. Découvrez comment X-RAY d’EBRAND détecte et neutralise les signaux de préattaque avant qu’ils ne deviennent une crise.

Qu’est-ce que le phishing ?

Désigné en français sous le nom d’hameçonnage, le phishing est une technique de fraude. Les cybercriminels l’utilisent pour leurrer le personnel et les clients des entreprises, et plus largement l’ensemble des internautes. L’attaquant cherche ainsi à soutirer aux personnes visées des informations confidentielles, des données bancaires ou des extraits K-Bis.

En filant la métaphore, l’attaquant agit comme un pêcheur qui lance ses filets. L’email frauduleux constitue alors son principal appât. Les dégâts peuvent par ailleurs être considérables : ils vont jusqu’à bloquer le site web d’une entreprise et paralyser son activité.

Les techniques des cybercriminels évoluent constamment et gagnent en sophistication. Le site Cyber Malveillance recense néanmoins les formes de phishing email les plus répandues, sans que cette liste soit exhaustive.

Les fraudes qui ciblent les entreprises

Les cybercriminels usurpent le plus souvent l’identité d’un organisme public ou commercial de confiance. Ils demandent ainsi la mise à jour ou la confirmation d’informations personnelles, comme des identifiants ou des coordonnées bancaires, sous peine de sanction. D’autres campagnes exploitent en revanche un prétendu défaut de paiement : un faux mail informe la victime qu’un bien ne peut être expédié, ou qu’un impayé doit être réglé.

Dans les entreprises, cette technique prend souvent la forme d’une fraude au faux fournisseur. Le pirate se fait passer pour un fournisseur régulier et informe le service comptable d’un changement de compte bancaire. Le vrai fournisseur finit par réclamer le paiement des sommes dues, et la fraude éclate au grand jour.

La fraude au faux client et au faux président

La fraude au faux client fonctionne selon une logique proche. Le fraudeur se fait passer pour un prospect, fournit les coordonnées d’un distributeur usurpé ainsi que des documents comme un extrait K-Bis, puis met le vendeur en confiance. Il passe ensuite une commande payable à 30 jours ou plus après réception. Cette commande ne sera bien sûr jamais réglée.

La fraude au faux président vise quant à elle directement les collaborateurs. Elle consiste à convaincre un employé d’exécuter un ordre prétendument émis par son dirigeant, comme un virement ou un acompte sur un contrat en cours. L’email frauduleux part d’une fausse adresse qui semble provenir de la direction.

Le whaling et les autres techniques d’usurpation

Le whaling, littéralement la chasse à la baleine, reprend cette même mécanique. Il utilise toutefois des messages particulièrement personnalisés qui visent les profils les plus stratégiques de l’entreprise, comme les PDG ou les directeurs financiers. Un appel imitant la voix du donneur d’ordre visé accompagne parfois cette attaque pour confirmer l’action frauduleuse à mener.

D’autres campagnes se présentent sous la forme d’une demande d’informations concernant un remboursement ou une livraison. Ce mode opératoire bien rodé trompe aussi bien un particulier qui attend un colis qu’une entreprise qui l’a expédié. Une demande de règlement pour éviter la perte d’un nom de domaine ou une prétendue mise en conformité au RGPD complète enfin cet arsenal.

Les particuliers restent par ailleurs exposés, notamment via les appels aux dons frauduleux, les demandes d’aide financière émises par de soi-disant proches, et les chaînes d’emails signalant de fausses alertes virales.

Le phishing, le smishing et le vishing, deux menaces en plein essor

La multiplication des appareils mobiles a fait émerger de nouvelles formes de phishing. Le smishing, mot-valise formé à partir de « SMS » et de phishing, prend la forme d’un message texte contenant un lien. Ce lien dirige le possesseur d’un smartphone vers un site web trompeur.

Le vishing, quant à lui, tente de convaincre la cible de communiquer des informations sensibles. Il passe par un message vocal transmis via la téléphonie internet, ou par un simple appel téléphonique.

Évaluer ses actifs et sa surface de phishing risque

La protection contre le phishing commence par une évaluation complète des actifs à risque de l’entreprise. Cela inclut les noms de domaine utilisés pour les sites web, les adresses email, les applications et les appareils connectés. Cette évaluation permet ensuite de déterminer une stratégie de variation pour chaque domaine identifié.

Cette stratégie consiste à générer toutes les variantes typographiques que des fraudeurs pourraient utiliser pour tromper visuellement les internautes, notamment par l’usage d’homoglyphes. Un nom de domaine stratégique peut ainsi générer plusieurs milliers de combinaisons. Chacune doit être considérée comme une faille potentielle, ce qui permet de détecter les signes de préattaque avant qu’ils ne se transforment en incident.

Enregistrer et surveiller les domaines défensifs

L’entreprise a ensuite intérêt à enregistrer les domaines défensifs les plus à risque identifiés dans cette stratégie de variation. Il est en effet préférable de dépenser 500, 1 000 ou 2 000 euros dans des enregistrements défensifs. Les conséquences financières d’une attaque réussie atteignent, elles, quasi systématiquement plusieurs milliers d’euros, parfois plusieurs millions.

Une surveillance horaire des enregistrements de noms de domaine complète ce dispositif. Elle permet de repérer tout signe de préattaque, comme un nouveau dépôt suspect ou l’activation d’adresses email, et de prendre les mesures préventives nécessaires pour protéger l’entreprise, ses utilisateurs et ses clients.

Automatiser la sécurité et les bonnes pratiques de base

L’automatisation d’un processus de sécurité renforce encore cette protection. Elle interface la surveillance horaire au système d’information de l’entreprise via une API, ce qui permet de bannir automatiquement tous les noms de domaine suspects détectés. Le responsable de la sécurité informatique gagne ainsi un temps considérable, puisqu’il n’a plus besoin d’analyser manuellement les rapports de surveillance.

Ces mesures de fond doivent par ailleurs s’accompagner de bonnes pratiques déjà connues, mais trop souvent négligées. Il s’agit notamment de changer les mots de passe tous les trois mois, d’utiliser un VPN, de sécuriser sa connexion Wi-Fi, et de vérifier que l’antivirus reste activé et à jour sur l’ensemble du parc informatique.

Former les collaborateurs à repérer un phishing email suspect

La formation des collaborateurs joue un rôle décisif dans la lutte contre le phishing. L’Agence nationale de la sécurité des systèmes d’information recommande ainsi de ne jamais accorder une confiance aveugle au nom de l’expéditeur d’un email. Il faut rester attentif à tout indice suspect, notamment lorsque le message contient un lien ou une pièce jointe. En cas de doute, mieux vaut contacter directement l’interlocuteur supposé pour vérifier qu’il est bien à l’origine du message.

La méfiance doit également s’appliquer aux pièces jointes, qui peuvent contenir des virus ou des espiongiciels. L’antivirus doit rester activé et à jour, et tout comportement anormal du poste doit être signalé pour contrôle. Les collaborateurs ne doivent par ailleurs jamais répondre à une demande d’informations confidentielles par email, puisqu’une demande légitime n’emprunte jamais ce canal.

Les réflexes techniques à adopter au quotidien

Passer la souris au-dessus des liens avant de cliquer permet de vérifier qu’ils pointent bien vers l’adresse annoncée dans le message. Il faut également prêter attention aux caractères accentués et à la qualité du français employé, car un texte traduit automatiquement comporte souvent des fautes d’orthographe.

Il est en outre recommandé de paramétrer correctement son logiciel de messagerie. Cela passe par l’activation des mises à jour automatiques, la désactivation de la prévisualisation automatique des emails, et l’interdiction de l’exécution automatique des plug-ins dans les paramètres de sécurité.

Que faire en cas de signe de préattaque

Le service sécurité de l’entreprise doit d’abord bannir du système d’information tout nom de domaine frauduleux identifié, s’il n’a pas déjà automatisé ce processus. Il doit ensuite le signaler auprès de consortiums comme Scamadviser ou APWG, dont la mission est d’éliminer la fraude et l’usurpation d’identité causées par le phishing. Ce signalement permet aux navigateurs d’afficher une alerte de sécurité lorsqu’un utilisateur tente de consulter la page associée.

L’activation d’un traceur sur le nom de domaine frauduleux permet par ailleurs de surveiller tout changement d’activité, comme une modification de zone. Le service juridique doit enfin être informé afin de demander une levée d’anonymat et d’envoyer une lettre de mise en demeure visant à obtenir la gestion ou la suppression du domaine concerné.

Sans confondre vitesse et précipitation, l’entreprise doit agir rapidement après une attaque. Sans confondre vitesse et précipitation, l’entreprise doit agir rapidement après une attaque. Le changement de tous les mots de passe sur l’ensemble des applications utilisées constitue la première étape. Toute activité inhabituelle au sein du système informatique doit ensuite être identifiée, qu’il s’agisse d’un logiciel de prise de contrôle à distance ou de la création de comptes administrateurs suspects. Enfin, l’étendue de l’intrusion doit être évaluée, notamment les informations éventuellement perdues ou compromises.

Phishing: Signaler l’attaque aux bons organismes

L’entreprise a également intérêt à signaler l’attaque aux organismes compétents. PHAROS, le portail officiel de signalement des contenus illicites de l’Internet proposé par le ministère de l’Intérieur, en fait partie. Phishing Initiative France permet quant à lui de signaler les sites de phishing francophones afin de bloquer leur adresse chez les navigateurs, tout comme les consortiums Scamadviser ou APWG.

Jérôme Notin, directeur général de Cybermalveillance.gouv.fr, conseille par ailleurs de télécharger le module Signal Spam correspondant au navigateur utilisé dans l’entreprise. Signal Spam partage ensuite les informations recueillies avec les acteurs autorisés, ce qui permet le blocage automatique d’un site frauduleux.

X-RAY d’EBRAND, une solution de protection complète

Le facteur le plus déterminant en matière de phishing reste le temps. Plus une entreprise détecte tôt les signaux de préattaque, mieux elle peut anticiper les risques. C’est pourquoi une surveillance horaire des enregistrements de noms de domaine s’impose comme la mesure la plus efficace.

X-RAY, la solution développée par EBRAND, répond directement à cet objectif. Elle s’appuie sur deux fonctionnalités complémentaires, X-RAY Radar et X-RAY Tracker, toutes deux concentrées sur les signaux de préattaque. Une fois interfacée avec le système d’information de l’entreprise via une API dédiée, la solution automatise un processus de sécurité qui bannit tous les domaines suspects n’appartenant pas à l’entreprise.

Ce que détecte X-RAY Radar

X-RAY Radar assure une surveillance intégrale de l’utilisation des noms de domaine, des certificats SSL, des sous-domaines, des logos, des réseaux sociaux et du dark web. Elle identifie ainsi, en continu et en temps réel, tout nouvel enregistrement de nom de domaine ou son expiration, la création de sous-domaines, et l’activation de nouveaux certificats SSL utilisés à des fins de phishing.

Les noms de domaine et sous-domaines identiques ou approchants à ceux de l’entreprise font également l’objet d’un repérage, qu’il s’agisse d’homoglyphes, d’homographes ou de simples fautes de frappe. Une recherche d’image inversée permet par ailleurs de détecter l’usage du logo de l’entreprise sur des sites tiers, ainsi que les messages publiés sur les réseaux sociaux susceptibles de mener à une escroquerie. Les différentes sources du dark web sont enfin surveillées pour identifier les données en circulation, comme un vol de données, et l’entreprise est informée dès qu’une brèche survient.

Ce que suit X-RAY Tracker

X-RAY Tracker complète ce dispositif en détectant tout changement dans les données liées aux noms de domaine. Cela concerne un nouvel enregistrement dans la zone DNS, une modification des informations WHOIS, le contenu des pages web, ou les certificats SSL.

Lorsque X-RAY Radar détecte un enregistrement suspect non encore exploité, X-RAY Tracker en assure ainsi le suivi pour évaluer l’évolution du risque de phishing dans le temps. X-RAY Tracker permet enfin à l’entreprise de surveiller son propre portefeuille de noms de domaine, afin de détecter toute altération non autorisée touchant ses noms stratégiques.