L’un des vecteurs d’attaque les plus fréquents, pour les cyberattaquants, est également l’une des applications les plus utilisées sur le lieu de travail.
Vous l’aurez deviné… cette application, c’est la messagerie électronique.
Heureusement, de nombreuses technologies sophistiquées permettent aujourd’hui de protéger les entreprises des cybermenaces. Malgré cela, ce vecteur d’attaque place vos utilisateurs finaux en première ligne des menaces pour la cybersécurité.
Cela signifie que pour sécuriser votre périmètre, vos employés doivent connaître les signes d’un e-mail de hameçonnage et savoir comment réagir lorsqu’ils en reçoivent un. Lisez la suite pour savoir comment vos employés peuvent faire ou défaire votre cybersécurité globale.
Qu’est-ce qu’un e-mail d’hameçonnage ?
Un e-mail de hameçonnage est un faux message demandant au destinataire d’entreprendre une action. L’objectif de cet e-mail est généralement d’obtenir des informations sensibles afin de les utiliser à des fins frauduleuses. Un cyberattaquant peut également utiliser le hameçonnage pour accéder à des systèmes, dérober des données ou causer d’autres dommages.
La plupart des e-mails de hameçonnage semblent plausibles. Ils prétendent provenir de collègues de confiance, de partenaires commerciaux, voire même de dirigeants de l’entreprise. C’est ainsi que les cyberattaquants trompent les destinataires en les amenant à divulguer des informations privées : dates de naissance, numéros de sécurité sociale, informations de carte de crédit, voire même mots de passe d’accès aux logiciels d’entreprise.
Ces courriers indésirables peuvent également contenir des pièces jointes qui lancent des logiciels malveillants et infectent les ordinateurs en un seul clic.
Pourquoi faut-il sensibiliser au hameçonnage ?
Les cyberattaques par courriers électroniques de hameçonnage ne sont pas seulement répandues : elles évoluent aussi en permanence. Pour que les entreprises puissent se protéger, leurs employés doivent connaître les derniers types de menaces afin de les anticiper, de les identifier et de les signaler.
Malheureusement, la plupart des employés ne sont pas au courant de ce qui se passe en matière de cybersécurité. Une enquête menée par Terranova Security (Fortra) en 2022 indiquait que seuls 30 % des employés estiment avoir une bonne connaissance des risques liés à la cybersécurité et que seuls 22 % d’entre eux pensent que leurs collègues sont suffisamment sensibilisés à la question.
Ces auto-évaluations ne sont pas loin de la réalité. Le Gone Phishing Tournament 2022, organisé par Terranova Security (Fortra) et sponsorisé par Microsoft, a mis à l’épreuve 250 entreprises et 1,2 million d’employés lors d’une simulation de hameçonnage.
Malheureusement, 7 % des participants ont cliqué sur l’e-mail de hameçonnage simulé lors du tournoi. Parmi eux, 3 % sont allés jusqu’à fournir les données sensibles demandées dans le faux message. Ces chiffres peuvent sembler trop faibles pour s’inquiéter, mais n’oubliez pas qu’il suffit d’un clic pour entraîner une violation de données.
Les entreprises doivent donc éliminer ces clics. Toutefois, il ne suffit pas de dire au personnel que les e-mails peuvent présenter des risques. Les employés ont besoin d’une formation de sensibilisation au hameçonnage incluant des exercices pratiques et des tests fréquents afin de garder ces leçons à l’esprit et de les actualiser.
Sept indicateurs courants d’une tentative de hameçonnage
Malgré les différents « parfums » des e-mails de hameçonnage, il existe des points communs. Les professionnels de la cybersécurité disposent de précieuses informations sur ce à quoi ils ressemblent.
Envie de jouer au détective ? Voici sept « indices » qui montrent que vous êtes en présence d’un e-mail de hameçonnage et non d’une demande par courrier électronique ordinaire.
- Demandes d’informations
Les e-mails de hameçonnage tentent généralement de voler des données à caractère personnel. Par conséquent, toute demande non sollicitée de ces informations constitue un signe révélateur de hameçonnage. Méfiez-vous des e-mails qui associent cette demande de données à un prix fabuleux ou à une livraison manquée.
Les détaillants, les entreprises de réseaux sociaux et les organismes financiers ne demandant jamais d’informations à caractère personnel par courrier électronique, il convient d’être sceptique.
- Incohérences entre les e-mails et les URL
Les e-mails de hameçonnage sont souvent des sosies, conçus pour ressembler à des communications officielles. Leurs adresses électroniques et URL frauduleuses ne diffèrent souvent que légèrement des adresses valides.
Comparez les détails aux e-mails précédents pour vérifier qu’ils proviennent de personnes de confiance. Avant de cliquer sur un lien dans le corps du message, passez la souris dessus pour voir l’adresse du lien et vous assurer qu’il renvoie vers un site légitime.
- Une manière inhabituelle de s’adresser à vous
Nous utilisons la langue de manière très idiosyncratique. Cette caractéristique s’avère très utile pour détecter les e-mails de hameçonnage. Si un collègue ou un ami vous écrit en utilisant un langage peu familier ou un ton qui ne lui ressemble pas, arrêtez-vous et examinez minutieusement le message.
- Fautes de frappe et erreurs
Les cybercriminels ont des compétences en informatique, mais pas en relecture. Les courriers électroniques émanant de marques respectées et d’entreprises professionnelles ne sont pas truffés d’erreurs. Réfléchissez à deux fois avant d’accéder à des demandes mal rédigées.
- Demandes urgentes
Le succès du hameçonnage dépend de la nature de l’e-mail et de la nature du travail. Les cyberattaquants savent que les employés sont très occupés et qu’ils reçoivent des dizaines d’e-mails chaque jour.
Pour exploiter cette situation, ils ajoutent un caractère d’urgence à leurs messages ou incluent des pressions telles que « Agissez vite ou vous perdrez l’accès à votre compte ». Si vous vous sentez obligé(e) d’agir trop vite, il peut s’agir d’une tentative d’hameçonnage.
- Pièces jointes inhabituelles
Méfiez-vous des e-mails qui vous invitent à télécharger des logiciels ou à ouvrir des fichiers, surtout si la demande vient de nulle part. Les cyberattaquants utilisent souvent des pièces jointes pour vous inciter à installer des logiciels malveillants sur les ordinateurs d’entreprise. Les noms de fichier inhabituels et les types de fichier inconnus sont autant de signaux d’alarme.
- Graphisme de mauvaise qualité
Si les aspects d’ingénierie sociale du hameçonnage peuvent être sophistiqués, l’« apparence physique » des e-mails de hameçonnage peut les trahir. Faites attention aux images mal conçues et floues, aux photos issues de banques d’images, aux choix de polices de caractères étranges et aux mises en forme inhabituelles.
Méfiez-vous des e-mails contenant uniquement des images et enfermant le texte dans des fichiers .jpeg ou .png : il s’agit de l’approche favorite des spammeurs et des auteurs de hameçonnage.
Comment prévenir les attaques par hameçonnage
Si les types de hameçonnage évoluent et se multiplient, il en va de même pour les moyens dont vous disposez pour les prévenir. Voici les meilleures techniques pour arrêter une tentative de hameçonnage avant qu’elle ne se transforme en infraction.
- Formation de sensibilisation à la cybersécurité : Lancez un programme de formation qui enseigne à vos employés comment détecter les e-mails de hameçonnage et reconnaître d’autres cyberattaques courantes.
- Simulations de hameçonnage : Organisez des simulations de hameçonnage pour former vos employés et tester leur capacité à détecter les e-mails de hameçonnage. Dispensez une formation supplémentaire aux services ou aux personnes dont les résultats sont incertains.
- Politique de hameçonnage : Si vous recevez un e-mail de hameçonnage, il se peut que vos collègues reçoivent le même. Mettez en œuvre une politique du type « si vous voyez quelque chose, signalez-le » pour sensibiliser aux attaques de hameçonnage et aux tendances qui affectent votre entreprise.
- Authentification multi-facteurs : Utiliser l’authentification multi-facteurs pour l’accès au système. Si un pirate réussit à obtenir le mot de passe d’un employé, il ne pourra pas accéder au système sans un deuxième facteur d’authentification (sous forme de données ou de technologie).
- Identifiants biométriques : Utilisez l’identification biométrique pour l’accès aux systèmes afin d’empêcher les cyberattaquants de dérober des mots de passe.
Renforcez votre périmètre grâce à la sensibilisation au hameçonnage
Les cybercriminels utilisent des e-mails de hameçonnage pour ouvrir des failles dans votre périmètre de sécurité. Ils savent que tous les employés n’ont pas les connaissances ou le temps nécessaires pour détecter les faux messages lorsqu’ils apparaissent dans leur boîte de réception.
L’accès par un seul membre du personnel (un seul ensemble d’identifiants volés) pourrait ouvrir la voie à d’autres violations au sein de votre entreprise ou causer des dommages à des partenaires en amont et en aval.
Une formation adéquate en matière de sensibilisation à la cybersécurité est le meilleur moyen de combler ces lacunes. Cela donne aux employés la confiance nécessaire pour reconnaître les tentatives de hameçonnage et le savoir-faire pour réagir de manière à protéger votre entreprise.
Vous vous souvenez de ces 7 % qui ont cliqué ? Vous vous demandez si votre personnel en ferait partie ?
Essayez notre simulation de hameçonnage gratuite pour évaluer la maturité de vos employés en matière de sécurité et renforcer leurs capacités de détection des e-mails de hameçonnage grâce à un programme de sensibilisation à la cybersécurité adapté à votre entreprise.