La Journée des célibataires en Chine, la plus grande journée de shopping au monde, a lieu le 11 novembre.
Le Black Friday, la plus grande journée de shopping aux États-Unis, a lieu le 24 novembre.
Le Cyber Monday, probablement la plus grande journée d’achats en ligne, aura lieu le 27 novembre.
Alors, qu’ont en commun ces journées, outre un nombre incroyable de promotions, une mise à rude épreuve pour de nombreuses personnes et leurs cartes de crédit, et des ventes record pour les commerçants et les sites de commerce en ligne ?
Ils constituent une véritable aubaine pour les cyberattaquants du monde entier.
Au lieu de profiter d’économies incroyables et d’acheter des articles en promotion, les cybercriminels cherchent à repartir avec un butin composé de mots de passe volés, de numéros de carte bancaire et de bien d’autres données encore. Sans oublier les rançongiciels !
Les pirates et autres acteurs malveillants sont prêts à tout pour voler vos données et l’argent que vous avez durement gagné. Par exemple, ils peuvent :
- Inonder votre boîte de réception d’e-mails d’hameçonnage ou vos appareils mobiles de SMS contenant des liens malveillants qui usurpent le nom de détaillants, d’entreprises de commerce électronique ou de fabricants.
- Afficher des économies incroyables dans de fausses publicités, accessibles d’un simple clic sur un lien — et, bien sûr, en fournissant votre numéro de carte bancaire.
- Vous demander vos identifiants sur des sites web qui semblent légitimes parce qu’un cadenas apparaît dans l’URL, ce qui signifie généralement que le site est chiffré et prétendument « sûr ».
- Se faire passer pour votre service de livraison habituel ou préféré en vous envoyant un e-mail ou un SMS contenant un lien qui semble authentique et permet prétendument de suivre votre commande, ou en affirmant que celle-ci ne peut pas être livrée tant que vous n’avez pas confirmé votre nom d’utilisateur et votre mot de passe ou vos informations personnelles.
- Faire la promotion de produits « incontournables » qui semblent épuisés partout où vous les cherchez, mais qui seraient disponibles pour une durée limitée sur un seul site web et à un prix défiant toute concurrence. (Alors, ne vous y fiez pas.)
À présent, si vous travaillez dans les opérations de sécurité, l’informatique ou occupez un autre poste lié à la sécurité de l’entreprise ou de l’organisation, vous êtes probablement en train de lire ceci en vous disant : « Cela ressemble à un problème qui concerne les particuliers. Cela ne devrait avoir aucune incidence sur mon entreprise ni sur moi. De plus, nos employés et autres utilisateurs doivent suivre une formation et même signer un document attestant qu’ils comprennent qu’il leur est interdit d’utiliser les équipements de l’organisation à des fins personnelles. Ils ne feraient donc pas cela. »
Ne pariez pas là-dessus. Selon une enquête récente, plus de 50 % des personnes interrogées ont déclaré avoir utilisé des appareils professionnels pour consulter leurs e-mails ou faire des achats, ou avoir autorisé des amis ou des membres de leur famille à faire de même et plus de 20 % ont consulté les réseaux sociaux sur un appareil professionnel.
Il suffit qu’un seul employé ou utilisateur ouvre, sur un appareil professionnel, un e-mail ou un SMS de phishing à l’apparence authentique, prétendument envoyé par un véritable détaillant, site d’e-commerce ou fabricant, puis clique sur un lien censé mener à un site web légitime, et voilà : vous pourriez subir une attaque par rançongiciel, logiciel malveillant ou autre menace redoutable mettant en danger votre organisation, votre réseau, vos applications et vos données.
Voici donc quelques pistes pour sensibiliser et protéger vos employés, vos utilisateurs et votre organisation contre les attaques qui détournent la fête des célibataires, le Black Friday, le Cyber Monday ou toute autre période de promotions commerciales :
- Rappelez aux employés et aux utilisateurs que leurs appareils professionnels ne doivent pas être utilisés à des fins personnelles, notamment pour faire des achats.
- Planifiez une formation de rappel sur le phishing à l’approche des prochaines périodes de fêtes propices aux achats. Vous pouvez également rappeler aux employés et aux utilisateurs de ne pas consulter leurs e-mails ou SMS personnels sur leurs appareils professionnels et, surtout, de ne pas ouvrir d’e-mails ou de SMS non sollicités ni de cliquer sur les liens qu’ils contiennent, mais d’accéder directement à l’URL et au site web de l’entreprise concernée.
- Soulignez que, même si un site web auquel on accède via un lien figurant dans un e-mail, un SMS ou une publicité non sollicitée peut sembler légitime et sécurisé — avec le petit cadenas dans la barre d’adresse —, il peut s’agir d’un faux site d’hameçonnage. Les utilisateurs ne doivent y saisir aucun identifiant, notamment leurs informations de connexion, ni aucune donnée personnelle ou financière. Là encore, ils doivent accéder directement à l’URL et au site web de l’entreprise concernée.
- Indiquez aux employés et aux utilisateurs que toute offre reçue par e-mail, SMS ou publicité qui semble trop belle pour être vraie ne l’est probablement pas. Ils ne doivent donc pas cliquer sur le lien fourni, mais se rendre directement sur le site web du détaillant, du site de commerce électronique ou du fabricant pour rechercher l’article.
- Il en va de même pour les articles en rupture de stock sur tous les sites, mais disponibles auprès d’une seule source, et ce, uniquement pour une durée limitée. Rappelez aux employés et aux utilisateurs de ne pas cliquer sur le lien !
- Indiquez aux employés et aux utilisateurs que, s’ils reçoivent un e-mail ou un SMS concernant une livraison à venir qui contient un lien permettant de suivre la commande, qui indique que la commande est perdue et fournit un lien pour la retrouver, ou qui contient tout autre lien, ils ne doivent pas cliquer sur ce lien, mais se rendre directement sur le site web du prestataire afin d’y suivre ou d’y retrouver leur commande.
- Rappelez également aux employés et aux utilisateurs que, s’ils reçoivent un e-mail ou un SMS d’un service de livraison contenant des informations sur une commande à venir, mais indiquant que le service a besoin de leur carte bancaire ou d’autres informations personnelles ou financières pour livrer la commande, ils ne doivent pas fournir ces informations. Ils doivent plutôt se rendre directement sur le site web du prestataire pour suivre ou retrouver leur commande.
- Si un employé ou un utilisateur soupçonne une activité suspecte concernant l’un de ses comptes auprès d’un détaillant, d’un prestataire de commerce électronique ou d’un fabricant, ou s’il pense être victime d’une fraude, d’un hameçonnage ou d’une usurpation d’identité, il doit le signaler directement au détaillant, au prestataire ou au fabricant.
Mais même tous les rappels et avertissements peuvent ne pas suffire, car il suffit qu’un seul employé ou utilisateur commette une erreur et clique sur un lien pour que votre entreprise en subisse les conséquences. F5 peut vous aider.
F5 protège les applications et les API partout. De la protection contre les bots qui sécurise les applications web et mobiles ainsi que les API contre les attaques automatisées susceptibles d’évoluer rapidement vers une émulation avancée du comportement humain, à la protection de ce qui compte le plus — vos applications, vos API et l’infrastructure sous-jacente — grâce à une sécurité simple, cohérente et reconnue, en passant par la protection de votre organisation contre les menaces chiffrées telles que les rançongiciels et bien d’autres, F5 assure votre sécurité et protège votre réseau, vos applications et vos données, non seulement à l’occasion du Singles’ Day, du Black Friday, du Cyber Monday ou de toute autre journée de promotions, mais aussi au quotidien.
Pour en savoir plus sur la manière dont F5 peut protéger votre organisation, vos applications et vos données, cliquez ici.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.