Phishing

Le phishing est une attaque contre les personnes, pas contre les logiciels. L’attaquant fabrique un message qui semble venir d’une banque, d’un collègue, d’un fournisseur ou du service informatique, et demande au lecteur un geste banal : se connecter, ouvrir un fichier, payer une facture ou confirmer des données.

Le nom joue sur fishing, la pêche en anglais : le message est l’appât, et le geste de la victime, la prise.

Pour une organisation, le phishing compte parce qu’il fait partie des moyens les plus courants d’obtenir un premier accès. Une menace externe sans accès propre emprunte celui d’un employé, et un seul mot de passe volé peut déclencher une violation de données.

Les campagnes varient en ampleur et en soin, mais la plupart suivent les mêmes quatre étapes, et c’est la dernière qui fait les dégâts : l’accès volé conduit à l’exfiltration de données ou à un paiement frauduleux.

1. 1

   Choisir l’appât

   L’attaquant retient un prétexte crédible, comme un avis d’expiration de mot de passe, une facture ou un document partagé.

2. 2

   Livrer le message

   Le message arrive par e-mail, SMS, téléphone ou réseau social, souvent depuis un expéditeur usurpé ou très proche du vrai.

3. 3

   Obtenir le geste

   La victime saisit son mot de passe sur une fausse page, ouvre une pièce jointe ou approuve une demande.

4. 4

   Exploiter l’accès

   L’attaquant se connecte, parcourt les boîtes aux lettres et les partages de fichiers, puis emporte données ou argent.

Les types se distinguent par le canal et par ce que l’attaquant sait de sa cible. Le phishing par clonage mérite d’être connu tôt, car il réutilise un message auquel la victime fait déjà confiance. Les QR codes insérés dans des e-mails ou sur des affiches (quishing) sont un autre vecteur du même procédé.

Le phishing fonctionne parce qu’il exploite des habitudes, non des failles logicielles. Les messages empruntent une autorité (un supérieur, une banque), créent une pression de temps ou ressemblent à du travail courant, et des personnes occupées traitent les demandes de routine sans les vérifier. Lorsqu’un employé est trompé et livre un mot de passe ou un fichier, le résultat est une divulgation involontaire : personne n’a voulu rien divulguer.

Autrefois, un texte bien écrit était un indice fiable. Ce conseil a perdu de sa valeur, car des outils qui produisent un texte fluide dans toutes les langues permettent d’effacer les tournures maladroites qui trahissaient jadis la supercherie.

Aucun signe n’est une preuve, et les messages bien faits n’en montrent aucun. Le critère, c’est l’ensemble et la demande elle-même : un message inattendu réclame-t-il des mots de passe, de l’argent ou des données ?

• Une adresse d’expéditeur proche de la vraie mais différente, par exemple avec une lettre échangée dans le domaine
• Urgence ou menace : un compte sur le point d’être fermé, un paiement dû aujourd’hui
• Un lien dont la destination réelle, visible au survol, diffère du texte affiché
• Une pièce jointe inattendue, surtout une archive, un document demandant d’activer les macros ou un exécutable
• Une demande de connexion, de paiement ou d’envoi de données par une voie inhabituelle
• Une demande de discrétion ou de contourner la validation habituelle

Aucun contrôle isolé n’arrête le phishing, car chacun couvre une étape différente : l’arrivée du message, le clic, la connexion et la sortie des données. Les couches sont plus efficaces lorsqu’elles partent du principe que certains messages passeront et veillent à ce que les données sensibles ne partent pas avec eux.

Anexet n’est pas une passerelle anti-phishing et ne décide pas si un message est du phishing.

Il propose l’interception des e-mails sur les postes surveillés, qui permet d’analyser le contenu des messages et des pièces jointes, et des règles de blocage HTTP dans le cadre de la surveillance du trafic web, qui peuvent arrêter une requête dont le contenu enfreint une politique, comme l’envoi de données sensibles vers un site. L’employé voit alors un message comme celui présenté ci-dessous.

Commencez par les comptes et les données dont la perte ferait le plus mal : messagerie, finances et accès administrateur. Activez-y d’abord l’authentification multifacteur, puis convenez d’une seule voie pour signaler les messages suspects et d’une vérification par un autre canal pour les changements de paiement et de coordonnées bancaires.

Traitez la formation comme un entraînement, non comme un exposé annuel : courte, concrète et sans chasse aux coupables, pour que les gens signalent leurs erreurs vite au lieu de les cacher.