Qu’est-ce que le phishing ?

Le phishing est un type d’attaque d’ingénierie sociale où les attaquants se font passer pour des entités de confiance telles que des banques, des services cloud, des collègues de travail, etc., pour tromper la victime afin qu’elle révèle ses informations sensibles comme un mot de passe, un numéro de carte de crédit ou d’autres identifiants. Le phishing peut se produire sur divers supports comme l’email, le SMS, l’appel téléphonique ou un faux site web.

Pourquoi le phishing est important en cybersécurité

Le phishing devient l’une des méthodes d’attaque les plus dangereuses. Il est souvent le point de départ de dommages plus importants, d’infections par des logiciels malveillants, de ransomwares, etc. Même une organisation avec un système de sécurité solide peut être vaincue par le phishing puisqu’il exploite la confiance humaine plutôt que des vulnérabilités techniques.

Types courants de phishing

• Phishing par email : faux emails qui ressemblent à des messages légitimes
• Spear Phishing : Phishing très ciblé visant des individus spécifiques avec un profil élevé dans une organisation
• Smishing : Attaques de phishing livrées par SMS ou applications de messagerie
• Vishing : Attaque de phishing par appels téléphoniques
• Clone Phishing : Les attaquants copient un email original et modifient les liens ou pièces jointes avec des versions malveillantes

Signes d’une attaque de phishing

• Adresse de l’expéditeur suspecte
• Demande d’action rapide (“réinitialisez votre mot de passe maintenant”)
• Domaine très légèrement mal orthographié
• Demande d’informations sensibles (mots de passe, détails bancaires, carte de crédit, etc.)
• Pièces jointes ou liens suspects

Exemple

Une victime reçoit un e-mail prétendant provenir de sa banque, demandant à la victime de “vérifier son compte”.

L’e-mail inclut un lien vers un faux site de connexion qui prétend être identique au vrai. Une fois que la victime entre ses identifiants sur le faux site, les attaquants les volent et accèdent à son véritable compte bancaire.

Comment se défendre contre le phishing

• Activer l’AMF (Authentification Multi-Facteurs) pour protéger le compte même si les identifiants sont volés
• Former les employés à la sensibilisation au phishing
• Utiliser des passerelles de sécurité des e-mails et des filtres anti-spam pour éviter les e-mails suspects
• Vérifier les liens ou pièces jointes suspects avant de cliquer dessus
• Mettre en œuvre le principe du moindre privilège pour limiter les dommages d’un compte compromis

Termes associés

• Hameçonnage ciblé
• Logiciel malveillant
• Ingénierie sociale
• AMF
• Rançongiciel