Il ne faut pas sous-estimer les conséquences du phishing

Le phishing est une forme de fraude en ligne utilisée par des criminels pour inciter leurs victimes à introduire leurs données personnelles, mots de passe ou codes PIN sur des sites web frauduleux. Ces informations sont alors utilisées pour dérober une identité, vider un compte en banque ou lancer des cyberattaques ciblées sur des entreprises.

Wouter Vandenbussche, Solution Lead Cybersecurity chez Proximus, et Koen Bossaert, Solution Lead Vulnerability Management et cofondateur de Davinsi Labs, nous exposent les différents types de phishing, leurs dangers et conséquences.

Types de phishing

On distingue différentes formes de phishing en fonction du canal utilisé par les escrocs. Outre la voie classique par e-mail, le phishing peut également revêtir les formes suivantes :

• Le vishing ou voice phishing consiste pour les fraudeurs à contacter leur victime par téléphone. Si celle-ci ne décroche pas, ils n’hésitent pas à laisser un message vocal. Leur approche est souvent ferme, voire menaçante, afin que la victime se sente obligée de donner les informations demandées ou de rappeler.
• Le smishing est la version SMS du phishing. Les cybercriminels vous envoient par exemple de faux SMS de services de livraison qui vous permettent prétendument de suivre ou de modifier votre commande via un lien frauduleux.
• Les escrocs font également des victimes sur les réseaux sociaux et les applications de messagerie instantanée. Méfiez-vous des réactions ou commentaires suspects, car certains comptes peuvent avoir été piratés à l’insu de leur propriétaire.
• Le clone phishing est une méthode par laquelle les cybercriminels envoient des répliques d’e-mails qui semblent venir d’une entreprise de confiance, mais les liens qu’ils contiennent vous conduisent en fait vers des sites malveillants.

Des entreprises qui ont perdu des centaines de milliers d’euros, des PDG et des directeurs financiers licenciés à cause du phishing : cela arrive plus souvent qu’on ne l’imagine.

Wouter Vandenbussche, Solution Lead Cybersecurity chez Proximus

Des cibles diverses

En fonction de l’objectif poursuivi, les cybercriminels visent différentes cibles. Le phishing vise un grand groupe de personnes et les e-mails sont envoyés à grande échelle.

À l’inverse, le spear phishing ne s’en prend qu’à une seule personne ou à un groupe spécifique de personnes (par ex. le service RH). Très sophistiqués, les messages sont plus difficiles à détecter. L’attaquant se renseigne de manière approfondie au préalable et est donc bien préparé.

Lorsque l’attaque vise les dirigeants d’une organisation qui ont accès à des informations très précieuses, par exemple des PDG ou des directeurs financiers, on parle alors de whaling. Les objectifs de ce type d’escroquerie sont presque toujours financiers. Lorsqu’une entreprise est prise pour cible, c’est souvent la première étape d’une cyberattaque de plus grande ampleur.

Le maillon faible = l’être humain

Le phishing est dangereux parce qu’il peut causer d’énormes dommages et parce qu’il vise le maillon le plus faible de la chaîne de protection, c’est-à-dire l’être humain. “Les entreprises qui ont frôlé la faillite à cause du phishing ne se comptent plus”, observe Wouter Vandenbussche. “La fraude au président ou à la facturation leur font perdre des centaines de milliers d’euros. De l’argent qu’elles ne reverront jamais, car les fonds sont très rapidement transférés vers des comptes étrangers. Le licenciement de PDG, directeurs financiers ou directeurs des systèmes d'information à cause du phishing arrive plus souvent qu’on ne l’imagine.”

Même si moins de 0,01 % des destinataires transmettent leurs données, le gain pour les escrocs reste gigantesque.

Koen Bossaert, Solution Lead Vulnerability Management chez Davinsi Labs

Des centaines de millions d’e-mails par jour

Une enquête menée auprès d’entreprises belges et néerlandaises révèle que les attaques par phishing ont été les plus fréquentes en 2020Nouvelle fenêtre. Le phishing est fréquent, car il est facile à automatiser, très bon marché et extrêmement rentable. Les hackers n’ont même pas besoin de connaître l’environnement IT auquel ils veulent s’en prendre. Tout le monde a certainement déjà rencontré ce type d’attaque, car des centaines de millions d’e-mails sont envoyés chaque jour.

“Même si moins de 0,01 % des destinataires transmettent leurs données, le gain pour les escrocs reste gigantesque. Surtout lorsqu’ils parviennent à convaincre un collaborateur d’un service financier de leur transférer de l’argent. Ou pire encore, lorsqu’ils parviennent à accéder aux comptes bancaires de l’entreprise”, explique Koen Bossaert.

Les escrocs connaissent l’identité de leurs victimes

Le phishing se fait de plus en plus spécifique et personnel. Autrefois, les e-mails étaient rédigés en anglais ou dans un français rudimentaire. Ils sont désormais rédigés dans un français parfait et s’adressent même au destinataire par son prénom ou son nom de famille. En règle générale, ils proviennent soi-disant d’un client ou d’un fournisseur, et parfois même d’une personne ou d’un service important de l’entreprise.

Le danger nous guette à tout moment, y compris dans votre entreprise. Wouter Vandenbussche : “Une grande entreprise belge a récemment subi une attaque au niveau de son service RH. Les hackers connaissaient les numéros de personnel des collaborateurs et ont demandé un changement de numéro de compte en leur nom. L’attaque a heureusement été détectée par les services de cybersécurité de l’entreprise. Sans cette réaction appropriée, les escrocs auraient mis la main sur de nombreux salaires pour des montants importants.”