Qu'est-ce que c'est ? Notre glossaire du phishing démystifie le jargon du secteur

Lorsque vous réfléchissez à la meilleure façon de protéger vos systèmes et vos données contre le phishing, il est utile de savoir à quoi vous avez affaire. Il existe une terminologie spécifique au phishing, et vous devrez vous la familiariser pour vous assurer de protéger votre entreprise contre la plus grande menace actuelle : 90 % des incidents aboutissant à une fuite de données commencent par un e-mail de phishing. Voici quelques types courants d'attaques de phishing auxquels votre entreprise pourrait être confrontée. 

Attaque par prise de contrôle de compte (ATO) 

Le détournement de compte est une forme d'usurpation d'identité et de fraude. L'objectif d'une attaque de ce type est de permettre à un tiers malveillant de s'emparer des identifiants d'un utilisateur et de les exploiter. Cela permet ensuite aux cybercriminels de se faire passer pour des employés légitimes d'une organisation afin de mener à bien leurs manœuvres, telles que l'envoi d'e-mails de hameçonnage, le vol de données sensibles, l'installation de logiciels malveillants ou l'accès à d'autres comptes au sein de l'organisation. 

Hameçonnage 

Le « phishing par appât » consiste à mener des attaques de phishing via les réseaux sociaux. Cela peut inclure le fait de se faire passer pour un compte de service client sur les réseaux sociaux, les escroqueries de type BEC (Business Email Compromise) utilisant des services de messagerie, la publicité malveillante, ainsi que d'autres utilisations des profils et outils des réseaux sociaux visant à faciliter la fraude. Le réseau social le plus couramment utilisé pour le « phishing par appât » est LinkedIn.  

Usurpation d'identité par e-mail professionnel  

La « Business Email Compromise » (BEC), parfois appelée « Email Account Compromise » (EAC), est une arnaque qui consiste à utiliser des comptes de messagerie légitimes (ou récemment piratés) appartenant à une entreprise de confiance afin d'obtenir frauduleusement de l'argent, des informations personnelles, des données financières, des paiements, des numéros de carte de crédit et d'autres données auprès d'une entreprise. Ces arnaques visent également les entreprises qui recourent aux virements bancaires, aux fournisseurs étrangers et à d'autres transactions liées à la facturation.  

Fraude commise par un PDG 

La fraude au président est un type d'attaque dans lequel le pirate se fait passer pour le PDG d'une entreprise ou un autre cadre supérieur afin de tromper un employé et de l'inciter à effectuer une action en dehors des procédures habituelles. Dans le cadre d'une opération de fraude au président, le pirate peut tenter d'amener la victime à transférer de l'argent sur un compte bancaire qui lui appartient, à envoyer des informations confidentielles relatives aux ressources humaines, à acheter des cartes prépayées, à autoriser des transactions frauduleuses, à régler une facture ou à divulguer des informations sensibles. 

Hameçonnage par clonage 

Une attaque de phishing par clonage utilise un e-mail légitime ou déjà envoyé par une source légitime, contenant des pièces jointes ou des liens, afin d'inciter la victime à télécharger un logiciel malveillant, à se rendre sur un site web malveillant ou à fournir ses identifiants et des informations personnelles. L'e-mail est généralement falsifié pour donner l'impression qu'il provient de l'expéditeur d'origine et peut prétendre être un renvoi ou une offre spéciale provenant d'une source en laquelle la victime a confiance. Cette technique peut également être utilisée pour envoyer de faux messages système ou des communications courantes provenant de réseaux sociaux et de boutiques en ligne. 

Ransomware à double extorsion 

Lors d'une attaque par ransomware à double extorsion, les cybercriminels qui ont réussi à contourner les mesures de sécurité et à s'emparer des données ou des systèmes d'une organisation exigent plusieurs paiements pour mettre fin à l'attaque, déchiffrer les données et les systèmes, ou restituer les données volées en toute sécurité. Par exemple, un cybercriminel peut exiger une rançon pour fournir à la victime une clé de chiffrement permettant de déverrouiller sa base de données chiffrée, tout en s'engageant à ne pas faire de copie des données volées. Les cybercriminels tiennent rarement ces promesses.  Cette technique a été utilisée dans plusieurs grandes escroqueries par hameçonnage liées à la COVID-19.

Faux positif 

Un faux positif est une erreur de jugement commise par un logiciel de sécurité des e-mails qui considère un message entrant comme une tentative d'hameçonnage ou un spam, le place alors en quarantaine et alerte le personnel informatique de ce problème potentiel. Un logiciel de sécurité des e-mails présentant un taux élevé de faux positifs peut entraîner une lassitude face aux alertes chez le personnel informatique ou lui faire perdre un temps précieux (et coûteux) à examiner, évaluer et traiter chaque alerte. 

URL malveillante 

Une URL malveillante est un lien créé dans le but de promouvoir des escroqueries, des attaques et des fraudes. Ces URL peuvent sembler légitimes, mais présentent souvent de légères différences par rapport au site web officiel d'une organisation. La victime est alors amenée à divulguer ses mots de passe, numéros de compte, identifiants et autres informations sensibles. Les cybercriminels utilisent également des URL malveillantes pour inciter leurs victimes à télécharger des logiciels malveillants, notamment des ransomwares, des logiciels de skimming, des enregistreurs de frappe, des chevaux de Troie, des virus et d'autres codes malveillants. 

logiciel malveillant 

Ce terme générique peut être utilisé pour désigner de manière globale tout fragment de code ou programme créé dans le but spécifique de nuire aux systèmes et aux données d'une cible.  Parmi les types courants de logiciels malveillants, on trouve les virus, les vers, les chevaux de Troie, les portes dérobées, les chevaux de Troie d'accès à distance (RAT), les rootkits, les enregistreurs de frappe, les skimmers de paiement, les ransomwares et les logiciels espions/publicitaires. Des logiciels malveillants sont achetés et vendus chaque jour sur le dark web. 

Hameçonnage (attaque par hameçonnage, escroquerie par hameçonnage)

Dans le cadre d'une tentative d'hameçonnage, l'auteur de l'attaque se fait passer pour une entreprise légitime ou une personne de confiance afin d'inciter la victime à effectuer une action qui sert les objectifs de l'opération, comme communiquer son mot de passe au cybercriminel, télécharger une pièce jointe contenant un logiciel malveillant ou cliquer sur un lien malveillant. La plupart des campagnes de phishing commencent par la collecte, par les cybercriminels, d'informations sur leurs cibles, telles que des adresses e-mail, des informations d'identification personnelle (PII) et d'autres détails pertinents, provenant de marchés du dark web et de bases de données de credentials. Parfois, les auteurs de phishing utilisent également des messages préexistants provenant de marques réputées et les clonent afin de paraître dignes de confiance, un processus appelé « spoofing ». En fin de compte, le phishing est une forme de fraude. Le phishing est également illégal dans de nombreux pays, y compris aux États-Unis. 

Quarantaine 

Lorsqu'un message entrant est considéré comme une menace par les logiciels de sécurité des e-mails et de lutte contre le phishing, il est alors transféré vers un espace spécialement isolé jusqu'à ce qu'il puisse être vérifié par le personnel informatique. Le message peut ensuite être supprimé en toute sécurité par les responsables de la sécurité ou transmis au destinataire prévu. Un message envoyé en quarantaine mais qui n'est pas malveillant est appelé « faux positif » (voir Faux positif). 

Ransomware 

Ce type de logiciel malveillant extrêmement dévastateur est l'arme de prédilection des cybercriminels d'aujourd'hui, y compris des acteurs étatiques. Les ransomwares ont pour but de chiffrer des données et/ou des systèmes afin d'empêcher la victime d'accéder à ces ressources. Dans le type d'attaque par ransomware le plus courant, les cybercriminels chiffrent les fichiers de la victime et exigent le paiement d'une rançon pour les déchiffrer ou les récupérer. Les groupes de ransomware exigent généralement un paiement sous forme de bitcoins (une monnaie numérique intraçable). Les ransomwares peuvent également être utilisés pour paralyser des usines, perturber ou interrompre les services publics, entraver les expéditions et les transports, voler des recherches et des formules, et causer d'autres préjudices.  

Attaque par smishing 

Le « smishing », qui tire son nom de la technologie SMS (Short Message Service) utilisée pour envoyer des messages texte, est une tentative de fraude qui exploite les téléphones portables. Dans ce type de scénario, un pirate envoie un message texte convaincant pour inciter les destinataires ciblés à cliquer sur un lien, à lui transmettre des informations personnelles, à lui communiquer des mots de passe et des identifiants, ou à effectuer toute autre action permettant au pirate de tirer profit de la situation. 

Ingénierie sociale 

Tout hameçonnage relève, dans une certaine mesure, de l'ingénierie sociale. Les escroqueries fondées sur l'ingénierie sociale visent à manipuler la façon dont les gens pensent et agissent. Dans le cadre de l'hameçonnage, les cybercriminels recourent à des moyens trompeurs pour inciter ou effrayer leurs cibles afin qu'elles agissent. Cette action peut consister à fournir des informations sensibles, à communiquer des mots de passe, à effectuer un paiement, à télécharger des logiciels malveillants, à visiter un site web, à ouvrir une pièce jointe ou, plus généralement, à accomplir un acte qui permet ensuite à ces cybercriminels de commettre des délits informatiques.   

Hameçonnage ciblé   

Le spear phishing représente la plus grande part du gâteau du phishing. Toute attaque de phishing qui utilise un contenu et des détails personnalisés pour donner à la cible un faux sentiment de sécurité est du spear phishing. Les cybercriminels peuvent utiliser des informations recueillies auprès de sources accessibles au public, des réseaux sociaux et/ou des marchés de données et des bases de données du dark web pour créer un e-mail particulièrement séduisant et qui paraîtra légitime aux yeux de la cible. Le spear phishing repose largement sur l'ingénierie sociale et est généralement considéré comme le type d'attaque de phishing le plus sophistiqué. Le BEC, la fraude au président, le whaling et d'autres cyberattaques ciblant des personnes utilisent tous des techniques de spear phishing. Il s'agit de la technique la plus couramment utilisée pour diffuser des ransomwares.

Usurpation d'identité   

L'usurpation d'identité consiste à faire passer une communication provenant d'une source inconnue pour une communication provenant d'une source familière et de confiance. Les cybercriminels peuvent usurper toutes sortes d'éléments, tels que des e-mails, des appels téléphoniques, des sites web, des adresses IP et d'autres communications numériques. Ces outils sont ensuite utilisés pour faciliter les opérations d'hameçonnage et d'autres formes de cybercriminalité.

Modélisation des menaces 

La modélisation des menaces est un processus structuré qui permet aux professionnels de l'informatique d'identifier les menaces de sécurité et les vulnérabilités potentielles, d'évaluer la gravité de chacune d'entre elles et de hiérarchiser les mises à niveau ou les changements nécessaires pour permettre aux organisations de contrer les attaques et de protéger leurs ressources informatiques. Cette technique aide les entreprises à mettre en évidence les failles de leurs défenses, à repérer les angles d'attaque qu'elles auraient pu négliger ou à identifier les faiblesses susceptibles d'apparaître ultérieurement, ainsi qu'à déterminer les solutions les mieux adaptées à leurs besoins. Il s'agit d'un outil particulièrement important lorsque les entreprises opèrent des transitions, comme le passage du télétravail au travail hybride.

Attaque par hameçonnage vocal 

Une attaque de vishing (hameçonnage vocal ou par VoIP) est une forme de fraude électronique dans laquelle les cybercriminels recourent à des techniques d'ingénierie sociale et de spear phishing pour commettre des fraudes par téléphone. Dans le cadre de ces escroqueries, les victimes sont amenées à divulguer des informations financières sensibles, des mots de passe, des données professionnelles ou des informations personnelles à des entités non autorisées, que ce soit par message vocal, smartphone, VoIP ou simple ligne fixe. 

Attaque de type « whaling » / Hameçonnage visant les cadres  

Le « whaling » est une attaque de phishing très ciblée qui vise les titulaires de comptes hautement privilégiés et les cadres dirigeants. Parfois appelé « Executive Phishing », le whaling est un type d'attaque de phishing qui combine des éléments du spear phishing et de l'ingénierie sociale afin d'inciter une personne privilégiée à fournir aux cybercriminels de l'argent, des informations, des identifiants, des mots de passe, des autorisations, des formules, des codes, des numéros de compte ou l'accès à d'autres actifs commerciaux sensibles. Cette technique est parfois également utilisée pour déployer des ransomwares ou d'autres logiciels malveillants.  

Menace « zero-day » 

Une menace « zero-day » est une menace toute nouvelle, récemment découverte ou encore inconnue. Ces menaces sont généralement inconnues et non répertoriées auparavant. Ce type de faille est inhérent aux logiciels fonctionnant selon un ensemble de paramètres stricts et statiques, qui nécessitent le chargement manuel de correctifs, de mises à jour et d'informations sur les menaces. Les menaces « zero-day » sont généralement neutralisées par des correctifs logiciels ou des modifications de configuration, et peuvent s'avérer très complexes à gérer (et très susceptibles d'être repérées et exploitées par les cybercriminels).  

Ne vous inquiétez plus du phishing ! Optez pour la solution de sécurité Graphus des e-mails Graphus et bénéficiez d'une protection intelligente, alimentée par l'IA et active en permanence, contre la plus grande menace actuelle, à un prix qui vous ravira.

Si vous disposez Graphus, vous êtes protégé contre la plupart des attaques de phishing courantes. Graphus et bloque 40 % d'e-mails de phishing de plus que ses concurrents et neutralise les SEG traditionnels. Pourquoi consacrer votre temps précieux (ou celui de votre équipe informatique) à lutter contre le phishing alors que vous pourriez l'utiliser pour développer votre entreprise ? Laissez Graphus breveté Graphus , basé sur l'IA, faire tout le travail. Et si vous n'avez pas encore Graphus, qu'attendez-vous ?

Voyons ensemble comment vous pouvez tirer parti de la protection automatisée contre le phishing avec Graphus! PRENEZ RENDEZ-VOUS POUR UNE DÉMONSTRATION >>