QU’EST-CE QUE LE PHISHING?

Il s’agit de la tactique de phishing la plus commune. Un mail est envoyé à plusieurs destinataires les exhortant à mettre à jour leurs informations personnelles, vérifier les détails de leur compte ou changer leurs mots de passe.

De façon générale, le mail est formulé pour provoquer chez le destinataire un sentiment d’urgence soulignant parfois la nécessité de se protéger ou de protéger son organisation. En apparence, il semble provenir d’une source légitime, par exemple le service à la clientèle d’Apple, de Microsoft, de Paypal, d’une banque ou d’une autre entreprise connue.

Du contenu malveillant est injecté dans un site Web en apparence familier, par exemple, une page de connexion à un compte de messagerie électronique ou d’une institution bancaire en ligne. Ce contenu prend la forme d’un lien ou d’une fenêtre pop-up dirigeant les utilisateurs vers un site Web secondaire leur demandant de confirmer leurs informations personnelles, mettre à jour les détails de leur carte de crédit ou encore changer leurs mots de passe.

Un mail formulé avec soin comprend un lien malveillant vers un site Web connu comme Amazon. En cliquant sur le lien, les utilisateurs sont dirigés vers un faux site Web identique au site original où ils sont encouragés à vérifier et à mettre à jour les informations de leur compte.

Cette forme d’usurpation d’identité consiste à envoyer un mail semblant venir du président de l’entreprise, des ressources humaines ou d’un collègue. Dans le mail, il est généralement demandé au destinataire d’effectuer un transfert de fonds, de confirmer un virement bancaire, ou d’envoyer des informations fiscales.

Les pirates créent de faux sites Web qui ont exactement la même apparence que les vrais. Le faux site Web se distingue par un domaine légèrement différent, par exemple outlook.you.live.com au lieu de outlook.live.com. Les utilisateurs persuadés d’être sur le bon site Web s’exposent malencontreusement au vol d’identité.

Dans ce type de phishing, un message texte, vocal ou envoyé via une messagerie intégrée aux réseaux sociaux informent le destinataire que son compte est fermé, corrompu ou a expiré. Le message comprend un lien, une vidéo ou un message visant à voler des informations personnelles ou à installer un logiciel malveillant sur l’appareil mobile.

L’harponnage est une technique avancée de phishing ciblé par mail. Le criminel vise un individu ou une organisation spécifique et utilise des messages personnalisés pour voler des données beaucoup plus poussées que des informations de cartes de crédit. L’objectif est d’infiltrer des banques, des hôpitaux ou des universités, entre autres, pour dérober des données qui peuvent compromettre sérieusement l’organisation.

Dans le cas du phishing vocal, un interlocuteur insistant laisse un message ou lit un script incitant le destinataire à communiquer avec un autre numéro de téléphone. Ces appels sont souvent conçus pour faire naître un sentiment d’urgence et encourager le destinataire à agir avant que son compte de banque soit suspendu ou qu’il soit accusé d’un acte criminel.

Ce type de phishing fait appel à des techniques sophistiquées qui permettent au criminel de violer un serveur Web et de voler l’information enregistrée sur le serveur.

Dans ce type de malware, la publicité en ligne ou les fenêtres pop-up encouragent les utilisateurs à cliquer sur un lien qui permet l’installation d’un malware sur l’ordinateur.

Les malwares sont déclenchés lorsqu’un utilisateur clique sur la pièce jointe d’un mail et installe par inadvertance sur son ordinateur et sur son réseau un logiciel à la recherche d’informations sensibles. L’enregistreur de frappe est un exemple de malware enregistrant la pression des touches sur le clavier et permettant de révéler des mots de passe. Le cheval de Troie, un autre type de malware, invite les utilisateurs à saisir leurs informations personnelles.

Dans cet exemple, le criminel amène deux personnes à partager des informations entre elles. L’attaquant peut alors envoyer de fausses demandes à chacune des parties, mais aussi modifier l’information qu’ils se transmettent. Les personnes impliquées ont l’impression qu’elles communiquent entre elles et n’ont aucune idée qu’elles sont manipulées par une tierce partie.

Ici une fausse zone d’accès sans fil est créée dans un endroit public comme un aéroport, un café, un hôpital ou tout autre endroit où l’on peut avoir accès à Internet sans fil. En se connectant à cette zone d’accès, les utilisateurs permettent aux criminels d’intercepter toutes les données communiquées via ce faux compte sans fil.