Étiquette : Phishing

[REPLAY WEBINAR] Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ?

[WEBINAR NAMESHIELD] Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ?

Retrouvez sur le site de Nameshield et sur Webikeo le replay du webinar « Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ?», animé par Stéphanie BLANCHET, Data Scientist de Nameshield et Frédérique BAJAT, Product Owner Surveillances & Remédiations de Nameshield.

Face à la montée en puissance des cybermenaces telles que le phishing et l’apparition de nombreux faux sites de e-commerce, vos marques sont quotidiennement exposées sur Internet.

Comment protéger sa marque, portée par l’actif central qu’est le nom de domaine, dans un espace numérique sans frontière et fourmillant de menaces ?

Au cours de ce webinar, qui s’adresse à tout public en charge de la protection des actifs d’une entreprise, tant d’un point de vue technique que légal, nos expertes vous présenteront :

  • Les principaux ressorts des attaques reposant sur l’usurpation d’identité pour tromper leurs victimes ;
  • Les techniques permettant de les anticiper et de maîtriser leur impact.

VISIONNER LE REPLAY

[WEBINAR] Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ? – Le 1er octobre à 14h15

[WEBINAR] Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ? Le 1er octobre à 14h15

Rendez-vous le 1er octobre à 14h15 pour assister à notre webinar « Phishing, faux sites de e-commerce : comment protéger sa marque en ligne ? » animé par Stéphanie BLANCHET, Data Scientist de Nameshield et Frédérique BAJAT, Product Owner Surveillances & Remédiations de Nameshield.

Face à la montée en puissance des cybermenaces telles que le phishing et l’apparition de nombreux faux sites de e-commerce, vos marques sont quotidiennement exposées sur Internet.

Comment protéger sa marque, portée par l’actif central qu’est le nom de domaine, dans un espace numérique sans frontière et fourmillant de menaces ?

Nos expertes vous présenteront lors de ce webinar :

  • Les principaux ressorts des attaques reposant sur l’usurpation d’identité pour tromper leurs victimes ;
  • Les techniques permettant de les anticiper et de maîtriser leur impact.

Ce webinar s’adresse à tout public en charge de la protection des actifs d’une entreprise, tant d’un point de vue technique que légal.

JE M’INSCRIS AU WEBINAR

Pour y assister, il faudra au préalable vous inscrire sur la plateforme Webikeo (inscription gratuite) puis réserver votre place pour ce webinar. Vous pourrez ainsi participer à cette web-conférence et poser vos questions en direct.

Vous ne serez pas disponible ? Pas d’inquiétude, ce webinar sera également disponible en replay.

Été et Cybermenaces : la sécurité numérique ne prend pas de vacances

Été et Cybermenaces : la sécurité numérique ne prend pas de vacances - Phishing slamming

L’été est enfin là, et annonce l’arrivée très prochaine des Jeux Olympiques et Paralympiques à Paris (JOP). Si la saison estivale marque généralement une recrudescence d’attaques cybers, la perspective des JOP augmente d’autant plus l’état de la menace cyber.

Les JO de Tokyo de 2021 avaient déjà recensé plus de 450 millions de tentatives de cyberattaques, avant et pendant la compétition – comme l’indique Le Monde Informatique – démontrant qu’un événement d’une telle ampleur désigne une cible de prédilection pour les hackers et cybercriminels, qui convoitent une telle surface d’exposition. Les motifs des attaques, quant à eux, peuvent être multiples, motivés dans un cas par des objectifs financiers et dans l’autre par des raisons plus politiques, dans le but de perturber le bon déroulement de l’événement, la crédibilité ou la réputation du pays et de ses infrastructures numériques.

Le Gouvernement alerte d’ailleurs, au sujet d’une vague de fraudes en cours. Il souligne notamment, une campagne d’emails usurpant l’identité de la plateforme d’assistance de sécurité informatique cybermalveillance.gouv.fr elle même. Ces emails prétendent prévenir les destinataires de fraude ou de pertes de données mais cherchent en réalité à subtiliser et à faire usage de ces informations personnelles.

Les emails frauduleux peuvent, en outre, se distinguer par leur capacité à contenir des pièces jointes infectées. Un seul clic peut donc suffire à infiltrer tout un réseau. Les fichiers prennent généralement l’apparence de documents légitimes (PDF, Word, JPG ou autre), et cachent en fait des codes malveillants, des « malwares », ou des « ransomwares ». On les appelle communément Chevaux de Troie ou bien Trojans. L’objectif est de passer inaperçu pour mieux compromettre la sécurité des systèmes informatiques de leur victime.

La  saison estivale doit donc, plus que jamais, inviter entreprises et collectivités, mais aussi, le public et les particuliers à être particulièrement vigilants vis-à-vis de leurs actifs numériques. Il est essentiel de comprendre, que lorsque l’on parle de cyberattaques, le facteur humain est en cause : en effet, les erreurs humaines, le manque d’informations et de sensibilisations face aux diverses cybermenaces, sont exploitées par les cybercriminels. Il est donc crucial de comprendre les différents types de menaces qui existent, notamment le phishing (hameçonnage) ou le slamming.

Le phishing, aussi appelé hameçonnage ou filoutage est une technique couramment employée par les cybercriminels pour obtenir des renseignements personnels et perpétrer des usurpations d’identité.

Parmi les nombreuses variantes de cette méthode frauduleuse, le slamming se différencie quant à lui par sa « ruse » visant les titulaires de noms de domaine. Les victimes reçoivent ainsi des e-mails, souvent pressants ou alarmistes, bien construits et crédibles, incitant à renouveler leur annuité chez un autre registrar, et menaçant de la perte imminente du nom de domaine. Ces messages peuvent prendre la forme de factures de renouvellements frauduleux, accompagnées de termes anxiogènes tels que « expiration notice », poussant les destinataires à commettre des erreurs dans la précipitation, et à effectuer des paiements non sollicités. Le slamming peut également se manifester par des alertes indiquant qu’un « client » de l’expéditeur – en réalité, un faux registrar – prévoit de déposer des noms de domaine similaires à celui de la victime. Le fraudeur incite donc cette dernière à un paiement urgent pour déposer ces noms afin de la protéger de ces dépôts ennuyeux.

Face à la montée en puissance des cybermenaces cet été, la vigilance citoyenne est plus que jamais essentielle. Afin de se prémunir au mieux contre les attaques cybers, plusieurs règles simples peuvent faire toute la différence :

  • Ne divulguez pas de données personnelles sans vérification ;
  • Evitez d’ouvrir les pièces jointes provenant d’expéditeurs inconnus ou peu fiables ;
  • Vérifiez les liens avant de cliquer en passant le curseur de la souris dessus afin de vérifier qu’ils renvoient vers le bon site ;
  • Ne cédez jamais à la pression de sollicitations suspectes,
  • En cas de doute, contactez l’expéditeur par un autre canal pour confirmer la légitimé du message.

Face à ces cybermenaces insidieuses, prudence et vigilance collectives représentent nos meilleures alliées. Et vous n’abuserez jamais en en faisant le meilleur usage.

Crédit image : Nameshield with storyset.com

Phishing, slamming et autres e-mails frauduleux : la vigilance est de mise pendant les fêtes de fin d’année !

Phishing, slamming et autres e-mails frauduleux : la vigilance est de mise pendant les fêtes de fin d’année !

Les périodes de vacances de fin d’année annoncent souvent la recrudescence des campagnes d’e-mails frauduleux en masse. En effet, les cybercriminels profitent de cette période où la vigilance peut être particulièrement relâchée pour lancer des e-mails de phishing.

Qu’est-ce que le phishing et le slamming ?

L’hameçonnage, phishing ou filoutage est une technique utilisée par des cybercriminels pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d’identité.

Dans le monde du phishing, le slamming est une variante bien connue consistant à inciter les titulaires de noms de domaine à renouveler leur annuité chez un autre registrar, en arguant l’urgence et la criticité de la perte du nom concerné. Concrètement, il s’agit d’un e-mail poussant son destinataire à contracter un service non sollicité et à procéder au règlement de ce dernier dans les plus brefs délais.

Ainsi, le slamming peut prendre la forme d’une facture de renouvellement frauduleuse, généralement accompagnée de termes anxiogènes tels que « Expiration notice ». Sous la pression d’un tel e-mail, généralement bien construit, il arrive que le destinataire procède alors au paiement et se retrouve débité d’une somme importante pour le soi-disant renouvellement.

Dans la même logique, l’e-mail de slamming peut également indiquer qu’un « client » de l’expéditeur, se faisant passer pour un faux registrar, compte déposer des noms de domaine identiques ou similaires à votre marque. Magnanime, le fraudeur se propose alors de les déposer pour vous afin de vous protéger de ces dépôts ennuyeux, évidemment contre règlement urgent.

Autre type d’attaque, la pièce jointe douteuse !

Attention également aux e-mails frauduleux avec des pièces jointes infectieuses : un seul point d’entrée suffit pour détruire un réseau !

L’objectif d’une pièce jointe piégée, et donc malveillante, est de se faire passer pour un fichier légitime (document PDF, Word, image JPG ou autre), tout en hébergeant et cachant un code malveillant : c’est ce qu’on appelle généralement des Chevaux de Troie ou encore Trojans.

Des règles simples pour s’en protéger

  • Soyez toujours vigilant lorsque l’on vous demande vos données personnelles ;
  • N’ouvrez jamais une pièce-jointe dont l’expéditeur est soit inconnu soit d’une confiance relative ;
  • Vérifiez les liens en passant le curseur de votre souris au-dessus (sans cliquer) pour s’assurer qu’ils renvoient vers des sites de confiance ;
  • Ne répondez jamais sous la pression de ce type de sollicitation et bien sûr n’engagez pas de paiement ;
  • Au moindre doute, ne répondez pas à l’e-mail et contactez l’expéditeur par un autre biais qui confirmera s’il s’agit d’une tentative de fraude ou non.

Pour vous aider à y penser plus souvent, retrouvez un fond d’écran à télécharger sur le site de Nameshield :

Télécharger le fond d’écran

Crédit image : Nameshield with storyset.com

ChatGPT, dis-moi si tu peux écrire un e-mail de phishing

ChatGPT - Phishing
Source de l’image : Unsplash

« Les machines peuvent-elles penser ? », la question pourtant simple posée par le mathématicien Alan Turing en 1950, déclenche un début de recherche et de longues expérimentations autour de  l’intelligence artificielle. Aujourd’hui, les nombreuses recherches et avancées technologiques ont porté leurs fruits et de nombreuses inventions utilisant l’intelligence artificielle ont vu le jour. C’est donc 72 ans plus tard, le 30 novembre 2022 que chatGPT est lancé. Développé par OpenAI, une entreprise de recherche en intelligence artificielle, chatGPT a rapidement su se faire connaitre au grand public. Aujourd’hui, on compte 186 millions de comptes et 1,6 milliard de visites seulement durant le mois de mars 2023.

Qu’est-ce que chatGPT et comment fonctionne-t-il ?

ChatGPT est un chatbot d’intelligence artificielle à système auto-génératif. Cela signifie que la machine « interagit de manière conversationnelle » en utilisant un langage naturel (appelé NLP « Natural Language Processing »). L’intelligence artificielle utilise des algorithmes d’apprentissage en profondeur ; elle est capable d’analyser les questions des utilisateurs et générer des réponses adaptées. Avec le temps, chatGPT apprend des questions mais aussi des réponses de ses utilisateurs. Cela lui permet de répondre à une palette de questions très large, comme la rédaction de lettres de motivation, de dissertations ou encore l’écriture de lignes de code. Et si la réponse ne convient pas, il suffit de dialoguer avec lui et une réponse plus convaincante sera proposée. C’est pourquoi, cette invention a su plaire rapidement et à autant de monde.

Mais chatGPT a également des inconvénients, notamment en rapport à la cybersécurité et plus exactement le phishing.

À grand pouvoir, grandes responsabilités : gérer les risques cyber liés à la création de chatGPT devient tâche difficile. Communément, les cybercriminels n’y vont pas de main morte. Ces dernières années, les délits et cyberattaques mondiales ont fortement augmenté, notamment de 38% en 2022.
Mais ce qui inquiète face à chatGPT, ce sont les attaques par phishing. En effet, chatGPT est devenu une mine d’or pour les hackers. Sa capacité à écrire des textes de tous types, sans faute, tout en générant des réponses semblables aux humains, est un atout de taille pour les cybercriminels. Cela accentue une menace déjà bien présente et trop répandue. Le rapport IC3 de 2022, réalisé par le FBI, indique que le phishing est le délit rapportant le plus de plaintes. En 2022, avec 300 497 plaintes, aux USA seulement, le phishing devient le type de cyberattaque le plus répandu aux Etats-Unis mais aussi dans le monde. En plus d’être un problème très répandu, il affecte tous les secteurs ; il est donc essentiel de se tenir informé et d’être préparé.  

Le phishing est utilisé par les cybercriminels afin d’obtenir des informations personnelles et sensibles sur leurs victimes. Pour cela, les criminels se font passer pour des organisations de confiance à travers des messages envoyés par sms, appels téléphoniques, ou par courrier électronique. C’est par l’intermédiaire de ces messages qu’ils invitent leurs victimes à cliquer sur un lien pour renseigner leurs informations personnelles. 

OpenAI interdit formellement toute utilisation malveillante de chatGPT. Lorsqu’on lui demande directement d‘écrire un code malveillant ou de rédiger un e-mail de phishing, celui-ci refuse. Cependant, avec une insistance soutenue et une tournure de phrase astucieuse, l’intelligence artificielle peut fournir suffisamment d’informations qui permettent de simplifier la tâche d’un cybercriminel. Cette manipulation peut être réalisée en utilisant la version standard de chatGPT, sans nécessiter de « JailBreaking ». Or, cette réalité est préoccupante, car chatGPT a déjà été utilisé pour créer des e-mails de phishing et des pages web frauduleuses.

Interview avec chatGPT

Qu’en pense le principal intéressé ? Pour en avoir le cœur net, nous avons entrepris de poser quelques questions à chatGPT afin d’obtenir son « avis » sur la situation, mais également pour tester la création d’e-mails frauduleux.

Tout d’abord, du point de vue juridique, chatGPT suit-il un code de conduite et existe-t-il des régulations régissant les intelligences artificielles ?

Pour le moment, en Europe, aucune réelle loi n’est en place afin d’encadrer et réguler l’utilisation des intelligences artificielles telles que chatGPT. Cependant, la Commission Européenne a déjà lancé un projet visant à fournir un cadre réglementaire, et des propositions d’orientation ont déjà été établies. Il n’y a donc pas encore de règles ou d’interdictions officielles en vigueur en Europe. Néanmoins, il est prévu que la situation change dans les prochains mois ou prochaines années.
ChatGPT n’est donc pas soumis à un code de conduite légal, toutefois, l’outil semble suivre un code moral de conduite.

ChatGPT - Phishing

D’après chatGPT, voici ce qu’il n’a pas le droit de faire : se livrer à des activités illégales, transgresser des droits de propriété intellectuelle, fournir des informations personnelles ou confidentielles et enfin, usurper l’identité d’une personne ou d’une organisation.

Nous avons également sollicité son avis sur sa capacité à aider une personne à lancer une attaque par phishing. Il nous confirme qu’il n’a moralement pas le droit de le faire. 

ChatGPT - Phishing scam

Enfin, nous l’avons également questionné afin de savoir s’il était possible d’obtenir librement des informations sur la présence d’une entrée DMARC dans le fichier zone de Nike. Le Domain-Based Message Authentification Reporting and Conformance (DMARC) est une méthode d’authentification d’e-mail qui permet au détenteur du domaine de définir des instructions concernant le traitement des messages sur son système de messagerie. Il s’agit d’un outil efficace contre le phishing. Pour le cybercriminel, être informé de la présence d’un DMARC au sein d’une entreprise, lui permet de choisir avec plus de facilité les entreprises à cibler, celles n’ayant pas déployé une politique DMARC. ChatGPT n’a pas été en mesure de fournir directement des éléments concernant l’enregistrement DMARC de l’entreprise, mais il a expliqué comment l’obtenir à l’aide de la ligne de commande Windows.

ChatGPT - Phishing - DMARC

Nous avons également tenté de tester chatGPT afin d’obtenir un e-mail de phishing. Après quelques interrogations, nous avons rapidement su lui poser les bonnes questions. Finalement, il a été en  mesure de nous écrire un e-mail convainquant, pouvant se faire passer pour une banque. 

ChatGPT - Phishing email

Il nous fournit alors ce message; un piège à phishing parfait, car celui-ci contient tous les codes d’un e-mail classique d’une banque demandant au destinataire de communiquer ses informations personnelles. En effet, ce message est écrit dans un anglais soutenu, sans faute d’orthographe ; il invite le destinataire à agir vite, sous la panique et sans réfléchir. Après avoir obtenu cette information, si un détail ne convient pas au cybercriminel, il peut demander à chatGPT de modifier ce qui ne lui convient pas.

Qu’attendre du futur?

Pourra-t-on bloquer ou ralentir l’évolution de l’IA ? Suite à la sortie de chatGPT, certaines personnalités influentes dans le domaine de la technologie, telles qu‘Elon Musk ou encore Steve Wozniak, co-fondateur d‘Apple, ont exprimé leurs préoccupations en signant des pétitions et en participant à des lettres ouvertes, visant à suspendre la recherche et la sortie d’une IA plus poussée que chatGPT. Cela reflète l’inquiétude de la Commission Européenne et des citoyens face aux avancées technologiques.

Cependant, il est difficile d’imaginer que les intelligences artificielles telles que chatGPT soient totalement interdites dans le futur. Et ce, malgré les risques qu’elles posent en matière de cybersécurité, par exemple. Comme le propose le projet de la Commission Européenne, l’utilisation des intelligences artificielles telles que chatGPT va être réglementée. Cependant, il est peu probable que cela suffise à freiner les cybercriminels désirant utiliser chatGPT comme outil de phishing.

Mieux vaut donc se préparer et se protéger face aux risques liés aux intelligences artificielles qui, avec le temps, vont devenir de plus en plus efficaces.

Se protéger avec la politique DMARC de Nameshield

Qui ne craint pas une attaque par phishing ? Il est donc primordial de vérifier les protections mises en place en matière de messagerie. C’est souvent par ce moyen que passent les cybercriminels qui tentent d’hameçonner vos informations et celles de votre entreprise.

Un moyen efficace de contre-attaquer consiste à déployer une politique DMARC.

Mettre en place une politique DMARC au sein de votre entreprise présente de nombreux avantages. En effet, elle vous permettra de bloquer les tentatives d’usurpation ainsi que les e-mails frauduleux. De plus, cette politique renforcera l’authentification de votre trafic et contribuera à l’amélioration de la délivrabilité de vos e-mails.

Nameshield vous accompagne dans le déploiement d’une politique DMARC. Grâce à notre expertise, nous pourrons veiller à sa bonne implémentation, dans les meilleures conditions possibles. 
N’hésitez pas à prendre contact avec votre consultant Nameshield et tenez-vous informés sur les avancées technologiques telles que chatGPT et son lien avec le phishing et d’autres crimes cyber.

[REPLAY WEBINAR] Protocoles anti-usurpation e-mail (DMARC) : pièges à éviter et bonnes pratiques à adopter

[WEBINAR NAMESHIELD] Protocoles anti-usurpation e-mail (DMARC) : pièges à éviter et bonnes pratiques à adopter

Retrouvez sur le site de Nameshield et la plateforme Webikeo, le replay du webinar « Protocoles anti-usurpation e-mail (DMARC) : pièges à éviter et bonnes pratiques à adopter », animé par Christophe DARY, Expert lutte anti-usurpation par email de 3DX Internet et Élodie FURCY, Chef de projet DMARC de Nameshield.

Protéger ses collaborateurs, ses utilisateurs ou ses fournisseurs d’un phishing qui usurpe son identité est devenu vital pour l’entreprise, dans un monde où la fraude par e-mail prend un essor sans précédent.

Au cours de ce webinar, découvrez comment déployer une politique DMARC efficacement et éviter les pièges, afin d’assurer la délivrabilité de vos e-mails, éviter les usurpations d’identité, le phishing et réduire vos primes d’assurance cyber.

Visionner le replay

[WEBINAR] Protocoles anti-usurpation e-mail (DMARC) : pièges à éviter et bonnes pratiques à adopter – Le 30 juin à 14h

[WEBINAR] Protocoles anti-usurpation e-mail (DMARC)

Rendez-vous le 30 juin 2022 à 14h pour assister au webinar « Protocoles anti-usurpation e-mail (DMARC) : pièges à éviter et bonnes pratiques à adopter ».

Protéger ses collaborateurs, ses utilisateurs ou ses fournisseurs d’un phishing qui usurpe son identité est devenu vital pour l’entreprise, dans un monde où la fraude par e-mail prend un essor sans précédent.

Au cours de ce webinar, découvrez comment déployer une politique DMARC efficacement et éviter les pièges, afin d’assurer la délivrabilité de vos e-mails, éviter les usurpations d’identité, le phishing et réduire vos primes d’assurance cyber.

Je m’inscris

Pour y assister, il faudra au préalable vous inscrire sur la plateforme Webikeo (inscription gratuite) puis réserver votre place pour ce webinar. Vous pourrez ainsi participer en live à cette web-conférence et poser vos questions en direct.

Vous ne serez pas disponible ? Pas d’inquiétude, ce webinar sera également disponible en replay.

ALERTE : Certificats TLS/SSL – Vigilance phishing

ALERTE : Certificats TLS/SSL - Vigilance phishing

Important : information relative à la situation en Russie, Biélorussie et Ukraine.

Au regard de la situation géopolitique en Ukraine, nous tenons à vous informer que de nombreuses autorités de certifications suspendent l’émission et la réémission de tous les types de certificats affiliés à la Russie et à la Biélorussie.

Cela inclut la suspension de la délivrance et de la réémission de certificats liés aux TLDs de la Russie et de la Biélorussie, à savoir .ru, .su, .by, .рф, ainsi qu’aux organisations ayant des adresses en Russie ou en Biélorussie. Nous vous tiendrons informés dès le retour à la normale.

Par ailleurs, nous constatons une augmentation importante des attaques par phishing. Nous vous invitons à une vigilance accrue, en surveillant notamment les nouveaux dépôts de noms de domaine reprenant vos marques.

Nameshield se tient bien sûr à votre disposition pour vous accompagner et vous conseiller dans ce contexte complexe.

Source de l’image : Freepik Storyset

[REPLAY WEBINAR] Cybersécurité : comment stopper les fraudes par email ?

[REPLAY WEBINAR] Cybersécurité : comment stopper les fraudes par email ? - NAMESHIELD

Retrouvez sur le site de Nameshield et la plateforme Webikeo, le replay du webinar « Cybersécurité : comment stopper les fraudes par email ?« .

Protéger ses collaborateurs, ses utilisateurs ou ses fournisseurs d’un phishing qui usurpe son identité est devenu vital pour l’entreprise, dans un monde où la fraude par email prend un essor sans précédent. Des solutions existent !

Ce webinar aborde l’utilisation des protocoles d’authentification (SPF, DKIM, DMARC, BIMI) pour bloquer à la fois les emails trompeurs ciblant vos utilisateurs (anti-phishing, anti-spoofing) et les usurpations de vos identités visant vos correspondants (politiques d’authentification de vos domaines).

Webinar animé par :

  • Christophe DARY, Expert lutte anti-usurpation par email de 3DXInternet
  • Florent BLONDEAU, Directeur Général et Directeur Études & Développement de Nameshield Group
Visionner le replay

Le phishing, kezako ?

Phishing - Hameçonnage

Le « phishing » est un anglicisme utilisé pour parler de « hameçonnage » (terme québécois) ou de « filoutage » (terme français). Cependant, le terme français est finalement très peu utilisé, restons donc sur  « phishing » dans cet article si vous en êtes d’accord.

Petit rappel et tour d’horizon de la planète phishing : il s’agit d’un procédé employé par une entité malveillante ayant pour but de dérober des informations personnelles, en se faisant passer pour un tiers de confiance. Les informations ciblées peuvent être un mot de passe, un numéro de carte bancaire, un papier officiel (carte d’identité)…

L’attaque peut être effectuée par email, téléphone, SMS, ou tout autre moyen de communication électronique (messenger, whatsapp, …). Le plus souvent, le message provient prétendument d’un organisme de confiance comme une banque, un site de commerce en ligne (amazon), un opérateur téléphonique…

Et le spear phishing alors ?

Le « spear phishing », qui peut se traduire par « hameçonnage à la lance », est une variante du phishing traditionnel ciblant une personne précise.

L’attaquant va par exemple se faire passer pour un proche de la cible avec un message construit pour inspirer confiance, en se basant sur des données personnelles accessibles sur les réseaux sociaux.

Quid du In-session phishing ?

Le « In-session phishing » est une autre variante de phishing qui se base sur une faille informatique de type XSS présente sur le site visé.

Cette fois-ci, la cible de l’attaquant n’est pas une donnée personnelle, mais directement un cookie de session (c’est ce qui vous permet de ne pas avoir à vous connecter à chaque fois que vous visitez ce site) qu’il obtiendra à l’instant où vous aurez cliqué sur le lien.

Comment l’identifier ?

Il existe différents moyens d’identifier un message comme étant une tentative de phishing :

  • Vous n’utilisez pas ce service ou vous n’êtes pas client de cette entreprise.
  • Le nom de domaine de l’expéditeur (ce qui se trouve après le « @ ») ne correspond pas à l’organisme pour lequel il essaie de se faire passer. Cela peut être du typosquatting (« arnazon » au lieu de « amazon », « g00gle » au lieu de « google »…) ou alors le nom de domaine n’a rien à voir (« fo7zl89.com »).
  • Le sujet est écrit de manière informelle (pas de numéro de dossier par exemple).
  • Le message est mal écrit. Souvent, les messages sont rédigés à l’aide de traducteurs par des personnes qui ne parlent pas français. Cela étant, les traducteurs automatiques étant de plus en plus performants, cela peut devenir plus difficile à détecter.
  • L’email ne vous est pas personnellement adressé. Des formules comme « cher client » sont utilisées plutôt que d’indiquer votre nom. Une nuance toutefois, il est possible que votre adresse mail ait été récupérée en même temps que votre nom et prénom à la suite d’une fuite de données d’un site auquel vous avez fait confiance, invalidant ce point.
  • Lorsque vous passez votre curseur au-dessus d’un lien, vous pouvez voir l’adresse vers laquelle vous allez être redirigé. Si le lien et l’adresse affichée ne correspondent pas, c’est sûrement du phishing.
  • Le message vous demande des informations personnelles.

Conseils et préventions

Afin de limiter les risques de tomber dans ce genre du piège, il y a plusieurs habitudes à prendre.

Tout d’abord, c’est un conseil qui s’applique partout sur Internet, on ne le répétera jamais assez : soyez méfiant ! Pour tous les contenus que vous trouverez, posez vous la question suivante : la source est-elle fiable et si oui, pourquoi ? En fonction de ces réponses, agissez, avec prudence.

Deuxièmement, ne cliquez pas sur les liens. Si vous recevez un message qui vous demande de vérifier vos informations bancaires (par exemple), ouvrez un nouvel onglet et rendez-vous directement sur le site de votre banque. Comme j’en ai parlé avec le « In-session phishing », dans certains cas, si vous cliquez sur le lien, c’est déjà trop tard. De plus, les attaquants redirigent souvent vers une copie conforme du site de l’entité pour laquelle ils essaient de se faire passer. Vous ne vous apercevrez donc pas forcément de l’arnaque.

Ne communiquez jamais d’information personnelle par mail à moins d’être sûr de l’identité de votre correspondant. Les organisations (type banque) vous feront transmettre vos informations personnelles directement via leur plateforme. Cependant, il est possible d’avoir besoin d’envoyer des papiers par mail (pour son travail ou son propriétaire par exemple). Dans ces cas-là, avant d’envoyer les informations demandées, validez avec la personne (par téléphone) qu’elle est bien à l’origine de la demande.

Utilisez des mots de passe uniques sur chaque site. En cas de compromission d’un mot de passe, l’attaquant n’aura pas accès aux autres plateformes. De même, essayez de changer régulièrement de mot de passe, cela permet de couper les accès à un éventuel pirate.

Pour les accès critiques (mail, banque,…) mettez en place la double authentification afin de sécurisez vos comptes.

Enfin, sachez qu’il est possible de signaler les escroqueries à l’adresse suivante : www.internet-signalement.gouv.fr (Et si vous m’avez bien suivi, vous ne cliquerez pas sur le lien, mais vous irez dessus via un nouvel onglet).

Source de l’image : mohamed_hassan via Pixabay