spearphishing

Le spear phishing désigne en sécurité informatique une variante de l'hameçonnage épaulée par des techniques d'ingénierie sociale. Contrairement à l'hameçonnage traditionnel basé sur l'envoi d'un message générique à un grand nombre de destinataires, le spear phishing se focalise sur un nombre limité d'utilisateurs (souvent un seul) auxquels est envoyé un message fortement personnalisé, on peut considérer cela à la communication strictement directive.

L'attaquant commencera par rassembler un maximum d'informations sur sa cible via des sources publiques (registres publics, réseaux sociaux...) ou des sources privées compromises par de précédentes attaques. À partir de ces informations celui-ci créera un message d'hameçonnage personnalisé à destination d'une personne donnée (par exemple en se présentant sous l'identité d'une relation de la cible identifiée lors de la phase d'enquête et en incluant dans le corps du message des informations spécifiques). La forte personnalisation du message qui en résulte est susceptible de rendre celui-ci très convaincant et d'augmenter la probabilité de succès.

Les ressources et le savoir-faire consacrés à une attaque de spear phishing réservent en général ce type d'attaque à un attaquant sophistiqué et déterminé. Cette technique est ainsi souvent utilisée dans les attaques nommées APT.

Le 'spear phishing' est la dernière innovation en matière de phishing. Non, ce n'est pas d'un sport mais un type d'escroquerie, et vous en êtes la cible. Le spear phishing prend la forme d'un message électronique qui semble émaner d'une personne ou d'une entreprise que vous connaissez. Mais en réalité, il s'agit d'un message de ces mêmes cybercriminels qui convoitent vos numéros de carte de crédit et de compte bancaire, vos mots de passe et les informations financières présentes sur votre PC. Apprenez à vous protéger

Message électronique d'un 'ami'

Le spear phisher tire parti de tout ce qui peut avoir pour vous un caractère familier. Il connaît votre nom, votre adresse électronique et sait un minimum de choses sur vous. L'introduction du message sera le plus souvent personnalisée : ce sera 'Salut Bob' plutôt que 'Cher monsieur'. Le contenu fera éventuellement référence à un 'ami commun'. Ou à un achat que vous avez récemment effectué. Comme le message semble émaner de quelqu'un que vous connaissez, vous vous montrez moins vigilant et, le cas échéant, vous fournissez les informations qui vous sont demandées. S'il s'agit d'une entreprise connue de vous qui fait pression pour que vous réagissiez de toute urgence, vous pouvez être tenté d'agir sans réfléchir.

Utilisation à votre encontre de votre présence sur Internet

Comment devenez-vous la cible d'un spear phisher ? A partir des informations que vous communiquez sur Internet depuis votre PC ou votre smartphone. Par exemple, un cybercriminel peut explorer des sites sociaux, trouver votre page, votre adresse électronique, la liste de vos amis et un message récent dans lequel vous vantez à vos amis les qualités de l'appareil photo que vous venez d'acheter sur un site de vente en ligne. Grâce à ces informations, un spear phisher peut se faire passer pour l'un de vos amis et vous adresser un message vous demandant de lui transmettre le mot de passe de votre page de photos. Si vous le faites, il essaiera d'accéder à votre compte sur le site de vente en ligne que vous avez mentionné, au moyen de ce mot de passe ou de variantes de ce mot de passe. S'il devine le bon mot de passe, l'addition risque d'être très douloureuse pour vous. A l'aide des mêmes informations, le spear phisher peut aussi se faire passer pour un employé de votre site de vente en ligne et vous demander de saisir une nouvelle fois votre mot de passe ou de vérifier votre numéro de carte de crédit. Satisfaire cette demande pourrait alors vous coûter très cher.

Gardez vos secrets à l'abri

Votre sécurité et celle de vos informations dépend en partie de votre prudence. Evaluez votre présence en ligne. Y-a-t-il sur Internet beaucoup d'informations vous concernant qui pourraient être regroupées dans le but de vous nuire ? Votre nom ? Votre adresse électronique ? Les noms de vos amis ? Leurs adresses électroniques ? Par exemple, êtes-vous présent sur l'un de ces sites sociaux si populaires ? Examinez ce que vous avez publié en ligne. Y a-t-il là des informations que vous ne souhaiteriez pas voir entre les mains d'un cybercriminel ? Avez-vous publié sur la page d'un ami des informations trop personnelles sur vous-même ?

Des mots de passe efficaces

Pensez à vos mots de passe. Utilisez-vous un mot de passe unique ou des variantes faciles à deviner de ce dernier ? L'une et l'autre approches sont tout à fait déconseillées car elles facilitent la tâche des cybercriminels désireux d'accéder à vos informations financières. Vous devez employer un mot de passe entièrement différent pour chaque site que vous visitez. Les lettres et les chiffres en ordre aléatoire s'avèrent les plus efficaces. Changez-les fréquemment. Votre logiciel de sécurité Internet et votre système d'exploitation peuvent vous aider à assurer le suivi de vos mots de passe.

Correctifs, mises à jour et logiciel de sécurité

Lorsqu'un éditeur de logiciel vous invite à mettre à jour votre produit, suivez son conseil. La plupart des mises à jour de système d'exploitation et de navigateur incluent des correctifs de sécurité. Votre nom et votre adresse électronique peuvent suffire à un cybercriminel pour accéder à votre système en profitant d'une faille de sécurité. Il va sans dire que vous ne pouvez pas vous passer de la protection offerte par un logiciel de sécurité Internet et que ce logiciel doit être mis à jour en permanence.

Soyez malin

Si un 'ami' vous envoie un message électronique pour vous demander votre mot de passe ou d'autres informations, appelez-le ou adressez-lui un message séparé pour vous assurer que c'est vraiment lui qui vous a contacté. Et il en va de même pour les messages émanant de banques ou d'entreprises. Pour commencer, une entreprise légitime ne vous demandera jamais votre mot de passe ou votre numéro de compte par message électronique. Si vous pensez que le courrier a des chances d'être réel, appelez la banque ou l'entreprise en question pour vérifier. Ou rendez-vous sur le site Web officiel de la société. La plupart des banques disposent d'une adresse électronique ; vous pouvez envoyer les courriers suspects à cette adresse pour vérifier.

Et n'oubliez jamais : limitez au strict minimum les informations que vous transmettez en ligne car il y a toujours le risque que quelqu'un les utilise contre vous, d'une manière ou d'une autre.