David Warburton, auteur du rapport 2020 de F5 Labs sur le phishing et la fraude, explique dans cette vidéo comment les fraudeurs s’adaptent à la pandémie et présente les tendances à venir. Vous trouverez ci-dessous un résumé de ses observations.
Selon une nouvelle étude de F5 Labs, la COVID-19 continue d’encourager considérablement les campagnes d’hameçonnage et de fraude menées par les cybercriminels.
Dans la quatrième édition du Rapport sur le phishing et la fraude, il a été constaté que les incidents de phishing avaient augmenté de 220 % au plus fort de la pandémie mondiale par rapport à la moyenne annuelle.
Selon les données du centre des opérations de sécurité (SOC) de F5, le nombre d’incidents de phishing en 2020 devrait désormais augmenter de 15 % sur un an, même si cette tendance pourrait bientôt évoluer avec la propagation de nouvelles vagues de la pandémie.
Les trois principaux objectifs des e-mails de phishing liés à la COVID-19 étaient les dons frauduleux à de fausses associations caritatives, le vol d’identifiants et la diffusion de logiciels malveillants.
Le domaine d’un hameçonneur
Comme l’ont montré les études des années précédentes, F5 Labs a constaté que les fraudeurs font preuve d’une créativité toujours plus grande dans le choix des noms et des adresses de leurs sites d’hameçonnage.
Depuis le début de l’année 2020, 52 % des sites de phishing ont utilisé le nom et l’identité des marques ciblées dans leur adresse web. En analysant les données de Webroot sur les sites de phishing, F5 Labs a découvert qu’Amazon était la marque la plus ciblée au second semestre 2020. PayPal, Apple, WhatsApp, Microsoft Office, Netflix et Instagram figuraient également parmi les dix marques les plus usurpées.
En suivant le parcours des identifiants volés jusqu’à leur utilisation dans des attaques actives, F5 Labs a constaté que les cybercriminels tentaient d’utiliser les mots de passe dérobés dans les quatre heures suivant le hameçonnage d’une victime. Certaines attaques se sont même produites en temps réel afin de permettre l’interception des codes de sécurité d’authentification multifacteur (MFA).
Caché au vu et au su de tous
En 2020, les auteurs d’attaques par hameçonnage ont également redoublé d’efforts pour donner aux sites frauduleux une apparence aussi authentique que possible. Selon les statistiques du SOC de F5, la plupart des sites d’hameçonnage utilisaient le chiffrement, et pas moins de 72 % d’entre eux disposaient de certificats HTTPS valides pour tromper leurs victimes. Cette année-là, 100 % des zones de dépôt — les destinations auxquelles les logiciels malveillants envoient les données volées — utilisaient le chiffrement TLS (contre 89 % en 2019).
En regroupant les incidents de 2019 et 2020, F5 Labs a également indiqué que 55,3 % des zones de dépôt utilisaient un port SSL/TLS non standard. Le port 446 était utilisé dans tous les cas sauf un. Une analyse des sites d’hameçonnage a révélé que 98,2 % d’entre eux utilisaient des ports standard : le port 80 pour le trafic HTTP en clair et le port 443 pour le trafic SSL/TLS chiffré.
Menaces futures
Selon une étude récente de Shape Security, intégrée pour la première fois au rapport sur l’hameçonnage et la fraude, deux grandes tendances en matière d’hameçonnage se profilent à l’horizon.
Grâce à l’amélioration des contrôles et des solutions de sécurité contre le trafic automatisé (botnets), les attaquants commencent à se tourner vers les fermes à clics. Des dizaines de « travailleurs » à distance tentent alors systématiquement de se connecter à un site web cible à l’aide d’identifiants récemment dérobés. La connexion étant établie par une personne utilisant un navigateur web standard, l’activité frauduleuse est plus difficile à détecter.
Même un volume d’attaques relativement faible a des répercussions. À titre d’exemple, Shape Security a analysé 14 millions de connexions mensuelles au sein d’un organisme de services financiers et a relevé un taux de fraude manuelle de 0,4 %. Cela équivaut à 56 000 tentatives de connexion frauduleuses, et les chiffres associés à ce type d’activité ne devraient faire qu’augmenter.
Les chercheurs de Shape Security ont également constaté une augmentation du nombre de proxys d’hameçonnage en temps réel (RTPP) capables d’intercepter et d’utiliser des codes d’authentification multifacteur (MFA). Le RTPP agit comme un intermédiaire et intercepte les échanges entre une victime et un site web légitime. Comme l’attaque se déroule en temps réel, le site web malveillant peut automatiser la capture et la réutilisation de codes d’authentification temporaires, tels que les codes MFA. Il peut même dérober et réutiliser des cookies de session.
Parmi les proxys d’hameçonnage en temps réel récemment utilisés figurent Modlishka et Evilginx2. F5 Labs et Shape Security surveilleront l’utilisation croissante des RTPP au cours des prochains mois.
Téléchargez le rapport 2020 de F5 Labs sur le phishing et la fraude pour en savoir plus.
À propos du rapport
Cette année, le rapport de F5 Labs sur le phishing et la fraude examine cinq années d’incidents de phishing recensés par le centre des opérations de sécurité (SOC) de F5 et analyse en profondeur les sites de phishing actifs et confirmés répertoriés par les services de renseignement Webroot® BrightCloud® d’OpenText. Il comprend également une analyse des données issues des marchés du dark web fournies par Vigilante, ainsi que des recherches menées par Shape Security. L’ensemble permet de dresser un tableau complet et cohérent de l’univers du phishing.
À propos de l’auteur
David Warburton est directeur de F5 Labs. Il travaille dans le secteur informatique depuis plus de 20 ans. Il a commencé sa carrière comme développeur full stack, avant de se confronter aux écueils de l’architecture cloud, puis de rejoindre l’univers serein et paisible de la cybersécurité. Ses recherches couvrent un large éventail de sujets, des domaines très techniques, comme la cryptographie, aux aspects sociotechniques plus concrets de la sécurité. Warburton a donné des conférences dans le monde entier à l’occasion d’Infosec (Royaume-Uni), de GovWare (Singapour), de Crikeycon (Australie), d’ITBN (Hongrie) et de Digital Transformation EXPO (Royaume-Uni), ainsi que devant les forces armées britanniques. Warburton est intervenu des dizaines de fois dans des médias internationaux, à la télévision, dans la presse écrite et dans des podcasts spécialisés, notamment sur BBC World News, Sky News et SABC, ainsi que dans The Guardian et Risky Business. Il est l’auteur de publications de F5 Labs, notamment les rapports annuels « Phishing and Fraud » et « TLS Telemetry ». Il a également récemment coécrit « Cryptonice », un outil DevOps d’analyse SSL/TLS/HTTPS qui aide les organisations à renforcer la sécurité de leurs applications. Warburton est titulaire d’un master en sécurité de l’information de la Royal Holloway, Université de Londres, où il a consacré son mémoire à l’utilisation de la sécurité et de la cryptographie dans l’Internet des objets (IoT).
Autres articles de David WarburtonArticles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.