Vous ouvrez votre boîte de réception. La ligne d’objet est urgente. Il prétend provenir de votre banque. Ils disent que votre compte est verrouillé. Si vous ne cliquez pas sur le lien et ne vous connectez pas maintenant, vous perdez tout.
Votre cœur manque un battement. Cette panique ? C’est le crochet.
Il s’agit de phishing, une escroquerie numérique conçue pour vous voler la vie. Il ne s’agit pas seulement de perdre quelques centaines de dollars. Il s’agit d’usurpation d’identité. Il s’agit de laisser des inconnus vider vos comptes, effectuer des achats en votre nom ou même utiliser votre ordinateur pour blanchir de l’argent à votre insu.
La plupart des gens considèrent le phishing comme un e-mail malveillant se faisant passer pour Amazon ou une société émettrice de cartes de crédit. Et bien sûr, c’est le visage le plus courant de la bête. Mais l’e-mail n’est qu’un leurre. Le piège est bien plus profond.
L’anatomie d’une escroquerie numérique
Le phishing n’est pas magique. C’est un processus. Un cycle froid et calculé qui a évolué depuis l’apparition du mot en 1996. Le terme lui-même est un jeu de mots sur « pêche », ce qui implique que les criminels jettent des filets pour voir quelles informations ils peuvent capturer.
Voici comment fonctionne réellement la machine.
Planification. Les attaquants décident qui cibler. Ils ne se contentent pas de deviner. Ils utilisent les mêmes techniques de collecte de données que les spammeurs. Ils grattent les adresses. Ils achètent des listes. Ils identifient la clientèle d’une banque ou d’un détaillant spécifique.
Configuration. Une fois les cibles sélectionnées, l’infrastructure monte. Ils créent une adresse e-mail usurpée qui semble légitime. Ils créent un faux site Web. Ce site reflète si parfaitement le site réel que même un œil exercé pourrait hésiter.
L’attaque. Le message arrive dans votre boîte de réception. Il utilise la pression psychologique. Cela crée une urgence. Cela menace une perte immédiate. Cela exige une action immédiate.
Collection. Vous cliquez. Vous tapez votre mot de passe. Vous saisissez votre numéro de sécurité sociale. Les données circulent dans la base de données de l’attaquant.
Les conséquences. C’est là que les vrais dégâts se produisent. Les voleurs utilisent vos identifiants pour effectuer des achats illégaux. Ils commettent des fraudes. Et voici ce qui est effrayant : des études suggèrent que jusqu’à 25 % des victimes ne se remettent jamais complètement des conséquences financières et émotionnelles.
Pourquoi votre logiciel de sécurité ne peut pas vous sauver
Nous comptons sur des pare-feu et des logiciels antivirus pour assurer notre sécurité. Mais le phishing ne se contente pas de pirater votre ordinateur. Il vous pirate.
Il exploite les faiblesses des logiciels côté client et de la sécurité côté serveur. Mais au fond, il s’agit d’une activité démodée. Cela repose sur la confiance. Cela repose sur l’hypothèse qu’un e-mail provenant de « [email protected] » provient en réalité de votre banque.
Les criminels savent que la plupart des gens sont pressés. Ils savent que vous êtes fatigué. Ils savent que vous cliquerez sur le lien car la menace semble réelle.
Repérer les drapeaux rouges
Alors, comment se protéger ? Il faut être sceptique.
Méfiez-vous des salutations génériques. “Cher client” est un cadeau mort. Les vraies banques connaissent généralement votre nom.
Attention aux menaces. Les institutions légitimes vous diront qu’il y a un problème. Ils vous demanderont de vous connecter à un portail sécurisé pour le résoudre. Ils n’exigeront pas d’action immédiate par courrier électronique.
Si un e-mail vous demande de vérifier votre mot de passe, supprimez-le. Ne fournissez jamais d’informations personnelles via un lien dans un e-mail.
Signalez-le. Si vous soupçonnez une tentative, signalez-la aux autorités compétentes. Le service fraude de votre banque est généralement un bon début.
Le cycle continue
Les phishers ne sont pas statiques. Après une attaque, ils évaluent ce qui a fonctionné. Ils peaufinent leurs messages. Ils peaufinent leurs faux sites Web. Ils recommencent le cycle.
La première utilisation documentée du « phishing » remonte à près de trente ans. Les tactiques ont changé, mais l’objectif reste le même : pêcher vos informations.
Vérifiez-vous toujours vos e-mails avec le même sentiment d’urgence ?
Vous ne donneriez pas vos coordonnées bancaires à un inconnu. La plupart des gens savent mieux. Pourtant, les phishers ne le demandent pas. Ils volent. Pour obtenir ces diplômes, ils doivent travailler sur la psychologie humaine. Il s’agit d’ingénierie sociale. Il ne s’agit pas de pirater du code. Il s’agit de pirater la confiance.
Les fraudeurs reproduisent une image de marque familière. Ils copient exactement les e-mails légitimes. Ensuite, ils échangent les liens. La victime clique sur un bouton qui semble officiel. Cela mène à une page frauduleuse. L’adresse e-mail dans le champ « De : » est usurpée. Cela a l’air réel. L’adresse « Répondre à » est fausse. Les liens sont obscurcis. Ils cachent la véritable destination. Mais copier le look ne représente que la moitié de la bataille.
Le vrai truc, c’est l’urgence. Les messages de phishing exigent une action immédiate. Ils veulent que vous réagissiez avant de réfléchir.
“Agissez maintenant ou perdez tout.”
C’est le message. Certaines menaces promettent la suppression du compte. D’autres prétendent que vous avez effectué un achat que vous n’avez pas fait. Vous paniquez. Vous ne voulez pas perdre d’argent pour une transaction que vous n’avez jamais réalisée. Alors vous cliquez. Vous suivez le lien. Vous abandonnez les informations que vous craigniez qu’ils détiennent.
La confiance dans l’automatisation joue ici un rôle énorme. Les gens croient que les ordinateurs sont objectifs. Ils pensent que les algorithmes ne font pas d’erreurs. Les phishers exploitent cet angle mort.
Les messages prétendent souvent qu’un « audit informatisé » a révélé des anomalies. Ils disent qu’un processus automatisé a détecté une activité suspecte. La victime pense que quelqu’un pirate son compte. Ils ne croient pas que le système ait commis une erreur. Il est plus facile d’imaginer un voleur qu’un pépin.
Le phishing ne se limite plus au courrier électronique. Les escrocs ratissent un filet plus large.
- Messages instantanés
- SMS sur téléphone portable (SMS)
- Salons de discussion
- Fausses bannières publicitaires
- Babillards électroniques et listes de diffusion
- Faux sites de recherche d’emploi
- Fausses barres d’outils du navigateur
Le médium change. L’objectif reste le même.
Pourquoi des logiciels complexes facilitent le phishing
Il existe une corrélation directe entre la complexité des logiciels et les vulnérabilités de sécurité. Plus un navigateur Web ou un client de messagerie possède de fonctionnalités, plus les attaquants ont la possibilité de passer entre les mailles du filet. À mesure que les filtres de sécurité s’améliorent, les tactiques de phishing évoluent pour les contourner. Il s’agit d’une course aux armements, et les outils sur lesquels les utilisateurs s’appuient quotidiennement constituent souvent des failles.
La méthode la plus répandue reste l’usurpation d’adresse. La plupart des clients de messagerie permettent aux utilisateurs de saisir ce qu’ils veulent dans les champs « De » et « Répondre à ». Cette commodité est utile pour les personnes gérant plusieurs identités, mais c’est une mine d’or pour les fraudeurs. Ils peuvent créer des messages qui semblent provenir de sources fiables. Certains serveurs de messagerie aggravent ce risque en autorisant les connexions au port SMTP (Simple Mail Transfer Protocol) sans authentification. Cela permet aux attaquants de contourner entièrement les mots de passe personnels, en demandant au serveur d’envoyer directement des messages malveillants.
Au-delà des faux expéditeurs, les attaquants utilisent plusieurs astuces techniques pour tromper les utilisateurs et échapper à la détection.
Liens trompeurs et code caché
Les URL obscurcies sont un vecteur principal. Ces liens semblent légitimes mais redirigent les utilisateurs vers des sites malveillants. Les attaquants utilisent plusieurs techniques pour y parvenir :
- Typosquatting et IDN : Ils peuvent mal orthographier l’URL d’une entreprise ou utiliser des enregistrements de noms de domaine internationaux (IDN). Cela leur permet d’utiliser des caractères d’autres alphabets qui semblent identiques aux caractères latins, trompant ainsi l’œil.
- Formats hexadécimaux : les URL peuvent être codées en hexadécimal pour confondre les scanners de base.
- Instructions de redirection : Les URL d’apparence légitime peuvent contenir des instructions cachées qui redirigent le trafic vers un autre endroit.
- HTML trompeur : Le texte affiché peut différer entièrement de la destination réelle. Par exemple, un lien peut sembler pointer vers un guide sur les « machines zombies » sur un site réputé, mais le code HTML sous-jacent dirige le navigateur vers un article malveillant sans aucun rapport.
Tromperie visuelle et structurelle
Les attaquants manipulent également ce que vous voyez sur votre écran. En détectant le navigateur et le client de messagerie que vous utilisez, un phisher peut superposer de faux graphiques. Ils peuvent placer des images de barres d’adresse et de cadenas de sécurité sur la barre d’état réelle. Cela crée un faux sentiment de sécurité.
Les fenêtres contextuelles et les cadres sont une autre tactique courante. Un code malveillant peut s’exécuter dans des cadres invisibles entourant un site, ou des fenêtres contextuelles peuvent couvrir entièrement le contenu légitime. Même les e-mails en texte brut peuvent être trompeurs. Beaucoup contiennent du balisage HTML caché avec des mots invisibles conçus pour contourner les filtres anti-spam.
Le risque du pharming
L’empoisonnement du cache DNS, souvent appelé pharming, est particulièrement dangereux. Dans cette attaque, un attaquant modifie les informations du serveur DNS. Cela peut se produire grâce à l’ingénierie sociale, par exemple en incitant les représentants du service client à apporter des modifications.
Une fois les enregistrements DNS modifiés, toute personne tentant de visiter le site Web de l’entreprise usurpée est redirigée vers un autre site. Cela affecte tout le monde sur le réseau, pas seulement les utilisateurs individuels. Il est difficile à détecter car le navigateur de l’utilisateur affiche une adresse d’apparence légitime, mais le contenu est entièrement compromis.
Le paysage de l’ingénierie sociale a changé. Vous n’avez plus besoin d’une fausse URL flashy pour voler des données. Les attaques les plus dangereuses se produisent désormais dans les navigateurs légitimes.
Considérez l’ordinateur proxy. Cet appareil se situe entre vous et le site Web cible. Il enregistre chaque transaction que vous effectuez. Le site a l’air réel. La barre d’adresse affiche le domaine correct. Mais le trafic est en miroir.
Les phishers qui utilisent ces méthodes n’ont pas besoin de dissimuler leurs liens car la victime se trouve sur un site Web légitime au moment du vol de ses informations.
C’est le piège. Vous faites confiance à l’URL. Vous tapez votre mot de passe. Le proxy le vole.
Malware : le complice caché
Le phishing ne concerne pas seulement les e-mails. Il s’agit de ce qui s’exécute sur votre machine. Les attaquants déploient des programmes malveillants pour faire le gros du travail.
- Les Enregistreurs de frappe capturent chaque frappe. Votre mot de passe ? Disparu.
- Les chevaux de Troie de capture d’écran prennent des instantanés de votre activité. Ils le signalent à l’agresseur.
- Les chevaux de Troie d’accès à distance (RAT) transforment votre PC en zombie. Votre ordinateur devient un nœud dans un botnet. Il envoie des e-mails de phishing ou héberge de fausses pages.
- Les Bots discutent avec vous. Ils imitent le comportement humain dans les forums. Ils coordonnent les réseaux zombies.
- Spyware suit vos habitudes de navigation. Il apprend vos modèles. Cela aide les attaquants à planifier la prochaine frappe.
Votre machine est compromise. Le phisher n’a pas besoin de vous inciter à cliquer sur un lien. Ils ont juste besoin que vous visitiez une page.
Pouvez-vous faire la différence ?
Dans quelle mesure savez-vous réellement ce que vous regardez ?
MailFrontier propose un test de QI de phishing. Il vérifie si vous pouvez repérer les contrefaçons. Next Generation Security Software publie un guide sur d’autres techniques. Antiphishing.org décompose une attaque étape par étape.
Il y a beaucoup à suivre.
Anti-hameçonnage
Pourquoi la sécurité de base stoppe la plupart des escroqueries
Vous connaissez déjà le principe. Pare-feu activé. Antivirus actif. Ce ne sont pas seulement des mots à la mode ; ils constituent votre première ligne de défense contre le phishing. Mais si vous voulez une réelle sécurité, vous devez regarder de plus près. Vérifiez le certificat SSL sur n’importe quel site avant de vous connecter. Examinez vos relevés bancaires ligne par ligne.
Les phishers sont négligents. Ils laissent leurs empreintes digitales dans leurs e-mails et sur leurs sites Internet. Lorsque vous ouvrez votre boîte de réception, recherchez les signaux d’alarme.
Les salutations génériques sont un cadeau mort. “Cher client” crie à l’arnaque. Les banques légitimes prennent généralement le temps de saisir votre véritable nom. (Remarque : le spear phishing est l’exception. Ces attaquants font leurs devoirs et utilisent votre nom, alors ne baissez pas votre garde simplement parce que cela vous semble personnel.)
Attention aux menaces. Si un e-mail indique « Répondez dans cinq jours ou nous annulons votre compte », supprimez-le. Les vraies entreprises veulent votre entreprise. Ils ne paniquent pas après quelques jours de silence.
Aucune entreprise légitime ne demande des mots de passe ou des SSN par e-mail. C’était vrai avant que le phishing n’existe. C’est toujours vrai maintenant.
Les liens sont l’endroit où le piège est tendu. Des URL longues ? Des caractères étranges comme le symbole @ au milieu ? Des fautes de frappe ? Ne cliquez pas. Tapez l’adresse manuellement. Cela prend deux secondes de plus. Cela vous évite de tout perdre.
Les fautes d’orthographe sont la plus ancienne astuce du livre. Une mauvaise grammaire n’a pas l’air professionnelle et il ne faut pas lui faire confiance dans un message financier.
Comment les gouvernements et les FAI ripostent
La guerre n’est pas seulement contre vous. Les entreprises et les gouvernements réagissent. Le gouvernement américain a exigé que les banques utilisent une authentification à deux facteurs d’ici fin 2006. Cela signifie plus qu’un simple mot de passe. Vous avez besoin d’un jeton physique ou d’un scan biométrique. Il s’agit d’un petit obstacle qui brise la chaîne d’attaque de la plupart des criminels.
Les fournisseurs de services Internet et les développeurs de logiciels proposent des protections de barre d’outils. Ces outils vérifient instantanément les certificats de sécurité. Ils vous indiquent où un site est enregistré. Ils analysent les liens avant de cliquer. Certains fournissent même des repères visuels (une barre verte ou un logo spécifique) qui confirment que vous êtes sur le vrai site.
Utilisez-les.
Que faire en cas de brûlure
Si vous pensez qu’un e-mail est faux, ne répondez pas. Ne cliquez pas. Ne donnez rien.
Signalez-le à l’entreprise usurpée. Utilisez leur site officiel ou appelez-les directement. N’utilisez pas les coordonnées contenues dans l’e-mail suspect. Vous pouvez également signaler la tentative au National Fraud Information Center et au groupe de travail anti-phishing.
Si vous leur avez déjà fourni vos données, le mal est fait. Mais vous pouvez le limiter.
- Contactez immédiatement l’entreprise usurpée.
- Appelez votre banque, prêteur ou émetteur de carte de crédit.
- Signalez la fraude à au moins une agence d’évaluation du crédit majeure : Equifax, Experian ou TransUnion.
- Déposez un rapport auprès de votre police locale.
- Avertir la Commission fédérale du commerce.
- Signalez la cybercriminalité au FBI via l’Internet Crime Complaint Center.
Changez vos mots de passe. Commencez par le site compromis. Puis changez-les partout ailleurs. Si vous réutilisez vos mots de passe, vous attendez simplement que l’autre chaussure tombe.
L’ampleur de la menace
Les chiffres ne mentent pas. Rien qu’au mois d’août 2005, il y a eu 13 776 attaques de phishing liées à 5 259 sites Web différents.
Ils ont ciblé 84 entreprises. Mais trois sociétés ont encaissé 80 pour cent des succès.
85 pour cent de ces attaques visaient des banques et des institutions financières. L’argent est dans les transactions.
Les phishers réussissent environ cinq pour cent du temps. Ce n’est pas un taux de conversion élevé, mais en volume, c’est énorme.
57 millions d’internautes américains ont reçu au moins un e-mail de phishing. Jusqu’à 1,7 million de personnes ont divulgué leurs informations personnelles.
Source : logiciel NGS et AntiPhishing.org
Protéger vos données contre les attaques de phishing
Les entreprises ont également un rôle à jouer. Ils ont besoin d’une authentification multifactorielle. Ils ont besoin de protocoles d’authentification de courrier électronique. Et ils doivent éduquer leurs utilisateurs. Vous êtes le maillon le plus faible. Rendez-vous plus fort.
Si vous soupçonnez un e-mail de phishing, arrêtez. Ne cliquez pas. Ne fournissez pas d’informations. Signalez-le à l’organisation. Supprimez le message.
C’est simple. C’est ennuyeux. Mais ça marche.
