La saison du phishing est arrivée
Alors que les mois chauds s'éloignent et que nous nous dirigeons vers l'esprit des fêtes, n'oubliez pas que les criminels avisés seront eux-mêmes à la recherche de l'esprit des fêtes.
Quelle est la période de l’année la plus active en matière d’escroqueries en ligne telles que le phishing et la fraude ? Essentiellement, en ce moment même, pendant la période des achats des fêtes. (J'ai pensé qu'il était préférable d'attirer votre attention maintenant, près de la cloche d'ouverture.)
Le phishing est devenu le vecteur d’attaque numéro un pour une bonne raison. Un faible effort pour une grande récompense. F5 Labs définit le phishing comme :
Tout type de communication frauduleuse envoyée, souvent à plusieurs destinataires à la fois par courrier électronique, médias sociaux ou SMS, par une personne se faisant passer pour une partie ou une entité en laquelle la victime a confiance. L’objectif est d’inciter l’utilisateur à fournir des informations privées (comme un numéro de compte bancaire, un numéro de sécurité sociale ou un numéro de carte de crédit), généralement en cliquant sur un lien ou en ouvrant une pièce jointe. Il existe plusieurs variantes de phishing, comme le spear phishing, qui cible un individu spécifique, souvent de haut rang au sein d'une organisation, et le vishing, qui implique des messages vocaux frauduleux .
En gros, vous recevrez un e-mail d’un nom que vous pourriez reconnaître. Un ami, un membre de la famille, un collègue, une entreprise ou un associé vous demande de faire quelque chose ou vous invite à un événement. Ils voudront que vous cliquiez sur le lien ou que vous ouvriez une pièce jointe pour obtenir les informations importantes. Et une fois que vous faites cela, vous êtes accro, comme on dit.
Le groupe de travail anti-phishing note que pour le premier trimestre 2019, les pirates informatiques qui ciblent les services de logiciels en tant que service (SaaS) et de messagerie Web sont devenus la plus grande catégorie de phishing, avec 36 % de toutes les attaques de phishing. Il est entré pour la première fois dans la catégorie « phishing contre les services de paiement ». Ils ont également constaté une augmentation notable des sites de phishing au premier trimestre 2019 par rapport au troisième et au quatrième de l’année dernière. L'APWG et F5 Labs ont également constaté une augmentation du nombre de sites de phishing utilisant des certificats SSL pour présenter le verrou HTTPS dans le navigateur. Cela doit être légitime si c'est sécurisé, n'est-ce pas ?
BleepingComputer a récemment signalé de nouvelles campagnes ciblant les employés de banque en utilisant des sites SharePoint et des documents OneNote compromis pour rediriger les victimes potentielles vers un site de phishing. Étant donné que les domaines utilisés par SharePoint sont presque toujours autorisés via les passerelles de messagerie, les attaquants utilisent cette astuce pour contourner la détection et leur message arrive sans entrave. Les e-mails, qui proviennent d’autres comptes compromis, demandent au destinataire de consulter un document sensible. Le lien intégré envoie la victime vers un site SharePoint malveillant avec un document OneNote partiel et illisible. Il demande ensuite à la personne de saisir ses informations d’identification pour voir le document complet. Les utilisateurs peuvent saisir leurs informations d’identification Office 365 ou tout autre compte de messagerie pour accéder. Et à ce stade, les informations d’identification sont extraites et récoltées.
Maintenant que les criminels ont compromis un compte de messagerie d'entreprise, ils peuvent alors procéder à ce qu'on appelle du phishing latéral . Cette fois, l’e-mail semble provenir de l’intérieur de l’organisation plutôt que d’un domaine extérieur. Les gens sont probablement plus susceptibles de cliquer sur un lien ou d’effectuer une action s’il semble s’agir d’un collègue de travail ou d’une personne à laquelle ils envoient habituellement des e-mails quotidiennement. L'UC Berkeley, l'UC San Diego et Barracuda ont étudié les attaques latérales et ont découvert que les attaquants réussissaient 11 % du temps à compromettre d'autres personnes au sein de la même organisation. Ce qui est effrayant, c’est que 42 % des attaques n’ont pas été signalées au service informatique ou au service de sécurité. Ainsi, ces comptes compromis auraient pu être utilisés pour de multiples attaques.
Les escrocs pourraient alors décider de la manière dont ils voulaient l’utiliser. Ils peuvent cibler des individus, l’ensemble de l’organisation ou même un partenaire. Dans la plupart des cas, les escroqueries faisaient semblant d’avoir un problème avec le compte de messagerie ou d’utiliser un lien vers un document partagé. Et vous avez probablement compris maintenant que le lien mène à une fausse page de connexion pour capturer encore plus d’informations d’identification. Les attaquants sont allés jusqu’à supprimer les messages envoyés et reçus pour éviter d’être détectés.
Ces comptes peuvent également être utilisés pour envoyer à la famille et aux amis ces redoutables appels du type « Je suis bloqué, envoyez de l'argent ! », auxquels beaucoup ont succombé.
Des mesures telles que l’authentification à deux facteurs ainsi qu’une formation à la sensibilisation à la sécurité sont souvent utiles. F5 Labs note qu’une formation plus poussée en matière de sensibilisation réduit toujours le risque. Et si vous recevez un message « J'ai besoin d'aide » de la part d'un proche, ne vous adressez pas immédiatement à une agence de presse. Essayez de contacter la personne par d’autres moyens pour voir si elle est vraiment en difficulté.
Enfin, lorsque vous êtes dans le monde physique, vérifiez toujours les inserts de cartes de crédit des stations-service, de même que les distributeurs automatiques de billets et autres appareils dans lesquels nos cartes entrent. Les voleurs aiment ajouter leurs dispositifs de capture malveillants directement sur le lecteur lui-même. Utilisez les bonnes pratiques en matière de protection des données et si elles ne semblent pas sûres ou si elles sont altérées, passez à la machine suivante.
Amusez-vous et soyez conscient. Vous serez heureux de l’avoir fait.