La différence entre le phishing, le spear phishing et l'ingénierie sociale
Il existe de nombreuses différences entre le phishing, le spear phishing et les attaques d'ingénierie sociale, mais ces termes sont souvent utilisés de manière interchangeable et erronée. Cela crée une certaine confusion lorsque l'on décrit ces attaques et que l'on élabore des stratégies de défense. Il est important de bien comprendre ces différents types d'attaques.
Dans notre analyse intitulée « Les 5 fléaux des cyberattaques », nous avons souligné que 60 % des entreprises ont déclaré avoir été victimes d’attaques par ingénierie sociale au cours de l’année précédente et que 61 % considéraient le spear phishing comme l’une des menaces les plus importantes auxquelles elles sont confrontées aujourd’hui. D'autres rapports indiquent que 91 % de toutes les cyberattaques débutent par une campagne de phishing ou de spear phishing, et Proofpoint a constaté que 99,7 % des documents utilisés dans les campagnes basées sur des pièces jointes reposaient sur l'ingénierie sociale et les macros.
C'est clair ? Très bien. L'équipe « Graphus » a établi des définitions claires des termes « hameçonnage », « hameçonnage ciblé » et « ingénierie sociale ». Nous avons également inclus quelques exemples et ajouté le terme « whaling » en bonus. Une compréhension commune de ces termes peut aider les services informatiques et les dirigeants d'entreprise à communiquer plus clairement et à mieux coordonner leurs efforts pour se défendre contre les formes les plus courantes de cyberattaques réussies.
Qu'est-ce que le « phishing » ?
Les escroqueries par hameçonnage traditionnelles ratissent large dans l’espoir d’attraper quelques victimes imprudentes. En général, la cible reçoit un e-mail d’apparence légitime l’avertissant qu’elle doit se connecter à un site web pour effectuer une action précise. L'e-mail contient un lien vers ce qui ressemble à un site web légitime, et la victime est invitée à saisir les identifiants de son compte. Une fois ces informations saisies, le cybercriminel les utilise pour commettre un vol, une fraude ou obtenir des informations encore plus précieuses. La stratégie d'attaque consiste à contacter un grand nombre de victimes potentielles dans l'espoir d'en identifier quelques-unes qui cliqueront sur le lien et se laisseront piéger par la ruse.
Quels sont les exemples de hameçonnage ?
Les attaques par hameçonnage impliquent généralement une pièce jointe malveillante ou un lien malveillant vers un site web piraté. Ars Technica a fait état en 2016 de plusieurs attaques par ransomware déclenchées par hameçonnage et visant des hôpitaux.
« Le mois de mars n’a pas été tendre avec les services informatiques des hôpitaux. La semaine dernière, le personnel du Methodist Hospital de Henderson, dans le Kentucky, a versé une rançon pour rétablir les systèmes de l’établissement, qui s’élèverait, selon certaines sources, à 17 000 dollars — bien que des sources proches de l’affaire affirment que l’hôpital ait payé un montant bien plus élevé. En Californie, deux hôpitaux gérés par Prime Healthcare Management, Inc. ont quant à eux été contraints de mettre leurs systèmes hors service. L’attaque par ransomware visant Prime Healthcare a également entraîné des perturbations de service dans plusieurs autres hôpitaux et chez des prestataires de soins affiliés, les systèmes partagés ayant été mis hors ligne… Les attaques par ransomware contre le Methodist Hospital et Prime Healthcare ont été perpétrées par le biais d’e-mails de « hameçonnage ». »
Qu'est-ce que le « spear phishing » ?
À l'inverse, le spear phishing consiste à cibler un petit nombre de contacts pour obtenir un taux de conversion élevé. Les auteurs de spear phishing obtiennent des informations confidentielles en effectuant des recherches sur le profil des particuliers et des entreprises via les réseaux sociaux, les sites web d'entreprise et d'autres sources d'informations accessibles au public. Les cybercriminels utilisent ces informations ciblées pour convaincre la victime d'effectuer une action ou de divulguer des informations.
Quels sont les exemples de « spear phishing » ?
Un article récent publié sur le site d'actualités locales du comté de Berks, en Pennsylvanie, en est un bon exemple.
« Weidenhammer a été victime d’une attaque de spear phishing qui a entraîné le transfert de 100 % de nos formulaires W-2 de 2016 à un tiers inconnu », a déclaré le fondateur de Weidenhammer Systems Corporation à ses employés en 2017. « Vous devez partir du principe que votre numéro de Sécurité sociale, votre adresse personnelle, vos revenus de 2016 et l’ensemble des retenues fiscales figurant sur un formulaire W-2 ont été compromis. »
« Les auteurs de ces infractions ont déjà commencé à utiliser ces informations pour déposer des déclarations d'impôts frauduleuses au niveau fédéral et régional pour l'année 2016, demander des prêts immobiliers et ouvrir des comptes de carte de crédit à des fins frauduleuses », a déclaré John Weidenhammer.
Cet exemple montre à quelle vitesse une attaque de spear phishing peut escroquer les employés d'une entreprise. Cependant, le danger le plus courant concerne directement les finances ou la propriété intellectuelle de l'entreprise. L'Infosec Institute a consigné les détails d'une autre attaque de spear phishing visant Ubiquiti Networks en 2015.
« Le potentiel destructeur d’une attaque par spear phishing pour une entreprise est clairement illustré par le cas d’Ubiquiti Networks Inc., une société américaine spécialisée dans les technologies réseau destinées aux fournisseurs de services et aux entreprises. En juin 2015, l’entreprise a subi une perte de 46,7 millions de dollars à la suite d’un e-mail de spear phishing. Un rapport de la Commission américaine des opérations boursières (SEC) indique que l’attaque a été menée par « l’usurpation d’identité d’un employé et des demandes frauduleuses émanant d’une entité externe ciblant le service financier de l’entreprise ». »
Qu'est-ce que la chasse à la baleine ?
Il s'agit d'un terme relativement récent qui désigne simplement une attaque de « spear phishing » ciblant les cadres supérieurs, les « baleines ». Le « whaling » peut s'apparenter au « spear phishing » ou à l'ingénierie sociale, mais se distingue par les personnes visées au sein de l'organisation. Les cadres supérieurs peuvent avoir besoin d'une formation supplémentaire pour repérer ce type d'attaques et ils ont certainement besoin d'une protection renforcée grâce à des solutions technologiques capables de prévenir les incidents avant qu'ils ne se produisent. Si vous êtes protégé contre le « spear phishing », vous pouvez partir du principe que vous l'êtes également contre le « whaling ».
Quel est un exemple de chasse à la baleine ?
Un exemple de « whaling » datant de 2016 concerne Snap, une entreprise très en vue spécialisée dans les réseaux sociaux, connue pour son application populaire Snapchat. Digital Guardian a proposé ce résumé de l'attaque.
Début 2016, l'application de réseaux sociauxSnapchat a été victime d'une attaque de type « whaling »: un cadre supérieur a reçu un e-mail d'un cybercriminel se faisant passer pour le PDG et s'est laissé piéger, divulguant ainsi des informations relatives à la paie des employés.
En 2015, une cyberattaque a visé Mattel, le célèbre fabricant de Barbie et d'autres jouets. CBS News a rapporté :
« L’e-mail semblait anodin : une demande de routine de la directrice générale de Mattel concernant un nouveau paiement à un fournisseur en Chine… La responsable financière qui a reçu le message était naturellement désireuse de satisfaire son nouveau patron. Elle a vérifié une nouvelle fois la procédure. Les virements bancaires nécessitaient l’approbation de deux cadres supérieurs. Elle remplissait les conditions requises, tout comme la directrice générale… Satisfaite, la responsable a viré plus de 3 millions de dollars à la Banque de Wenzhou, en Chine. Quelques heures plus tard, elle a mentionné ce paiement à Sinclair. Mais celui-ci n’avait formulé aucune demande de ce genre. »
Qu'est-ce que l'ingénierie sociale ?
Alors que les tentatives d'hameçonnage s'appuient généralement sur les e-mails, les pièces jointes et les pages Web pour récupérer des données confidentielles, l'ingénierie sociale peut recourir à ces moyens, mais aussi au téléphone ou à toute une série d'autres méthodes. L'ingénierie sociale consiste à manipuler psychologiquement les personnes afin qu'elles divulguent des informations ou commettent des actes inappropriés. Très souvent, les victimes ne se rendent pas compte qu'elles ont commis une erreur avant que la fraude ne soit révélée par la suite. À l'instar du spear phishing, les attaques par ingénierie sociale visent très spécifiquement un petit nombre de victimes potentielles.
Quels sont les exemples d'attaques par ingénierie sociale ?
Un article récent de USA Today décrit une technique d'attaque par ingénierie sociale utilisée en 2016.
« Dans l'une des variantes les plus récentes de cette arnaque, les malfaiteurs, se faisant passer pour des avocats, contactent des dirigeants d'entreprises ciblées en prétendant traiter des dossiers importants, confidentiels ou extrêmement urgents, et exercent une pression psychologique pour amener le dirigeant à effectuer un virement bancaire en faveur des escrocs. »
Un autre exemple nous est fourni par Smartfile. Il décrit une attaque contre le FBI menée à l'aide d'une technique simple d'ingénierie sociale, déclenchée par un simple appel téléphonique.
« “J’ai donc appelé [le service d’assistance], je leur ai dit que j’étais nouveau et que je ne savais pas comment accéder à [le portail]”, a déclaré le pirate informatique à Motherboard. “Ils m’ont demandé si j’avais un code d’authentification, j’ai répondu que non, et ils m’ont dit que ce n’était pas grave, que je n’avais qu’à utiliser le leur. J’ai cliqué dessus et j’ai eu un accès complet à l’ordinateur.” »
« Peu après, 20 000 dossiers du FBI et 9 000 dossiers du Département de la Sécurité intérieure ont été rendus publics. Le pirate informatique a eu accès aux noms des employés et même à leurs informations de carte bancaire. Si l’on se base sur le coût par enregistrement établi par IBM en 2015 pour les violations de données (170 dollars par enregistrement en cas d’activité malveillante), cela représente près de 5 millions de dollars de pertes au cours d’une conversation téléphonique de deux minutes. Le montant réel est probablement plus élevé, compte tenu du volume de données de cartes bancaires et des implications encore inconnues liées aux données de sécurité nationale auxquelles le pirate a eu accès. »
Qu'est-ce que ces attaques ont en commun ?
Toutes ces techniques peuvent conduire à la compromission des identifiants de compte, à l’utilisation de liens malveillants ou de logiciels malveillants dans le cadre des attaques. De nombreuses violations de la sécurité de l’information impliquent plusieurs outils, techniques et procédures (TTP), comme le dit l’adage du secteur. Mais la plupart d’entre elles commencent par un simple e-mail. Le phishing, le spear phishing, le whaling et l’ingénierie sociale sont généralement utilisés comme points d’entrée pour lancer une attaque ou comme points d’escalade afin d’accéder plus facilement à des informations précieuses ou d’exécuter des actions plus destructrices.
Elles impliquent toutes des techniques de piratage que même vos meilleurs systèmes de prévention des intrusions et de détection au niveau des terminaux ne peuvent pas contrer. Ce sont vos employés qui laissent ces personnes entrer par la grande porte. Parfois, ce sont même vos employés qui, sans le savoir, commettent le vol pour le compte des criminels.
Graphus Vous aide à évaluer le niveau de confiance et à prévenir les failles de sécurité
Graphus a trouvé un moyen de bloquer la quasi-totalité de ces attaques en identifiant les marqueurs connus de tromperie ET en établissant un graphe des relations de confiance entre vos collaborateurs et le monde extérieur. Cela va bien au-delà de la sécurité des e-mails fournie par Google ou des formations anti-hameçonnage. Ces deux solutions sont utiles, mais laissent passer beaucoup trop d’attaques. Un rapport de l’ISMG indique que 65 % de toutes les attaques d’ingénierie sociale parviennent à contourner ces défenses traditionnelles. En combinant la théorie des graphes avec l’apprentissage automatique et des algorithmes de big data, Graphus parvient à éliminer les attaques de spear phishing et d’ingénierie sociale.
