Qu’est-ce que le phishing ?

Le phishing est un type d’attaque d’ingénierie sociale où les attaquants se font passer pour des entités de confiance telles que des banques, des services cloud, des collègues de travail, etc., pour tromper la victime afin qu’elle révèle ses informations sensibles comme un mot de passe, un numéro de carte de crédit ou d’autres identifiants. Le phishing peut se produire sur divers supports comme l’email, le SMS, l’appel téléphonique ou un faux site web.

Pourquoi le phishing est important en cybersécurité

Le phishing devient l’une des méthodes d’attaque les plus dangereuses. Il devient souvent un tremplin pour des dommages plus importants, des infections par des logiciels malveillants, des ransomwares, etc. Même une organisation avec un système de sécurité solide peut être vaincue par le phishing puisqu’il exploite la confiance humaine plutôt que des vulnérabilités techniques.

Types courants de phishing

• Email Phishing : faux email se faisant passer pour des messages légitimes
• Spear Phishing : Hameçonnage très ciblé visant des individus spécifiques ayant un profil élevé dans l’organisation
• Smishing : Attaques de phishing livrées par SMS ou applications de messagerie
• Vishing : Attaque de phishing par appels téléphoniques
• Clone Phishing : Les attaquants copient un email original et modifient les liens ou pièces jointes avec des versions malveillantes

Signes d’une attaque de phishing

• Adresse de l’expéditeur suspecte
• Demande d’action rapide (“réinitialisez votre mot de passe maintenant”)
• Domaine très légèrement mal orthographié
• Demande d’informations sensibles (mots de passe, détails bancaires, carte de crédit, etc.)
• Pièces jointes ou liens suspects

Exemple

Une victime reçoit un email prétendant provenir de sa banque, demandant à la victime de “vérifier le compte”.

L’email inclut un lien vers un faux site web de connexion qui prétend être identique au vrai. Une fois que la victime entre ses identifiants sur le faux site, les attaquants les volent et accèdent à leur véritable compte bancaire.

Comment se défendre contre le phishing

• Activez l’authentification multi-facteurs (MFA) pour protéger le compte même si les identifiants sont volés
• Formez les employés à la sensibilisation au phishing
• Utilisez des passerelles de sécurité des e-mails et des filtres anti-spam pour éviter les e-mails suspects
• Vérifiez les liens ou pièces jointes suspects avant de cliquer dessus
• Mettez en œuvre le principe du moindre privilège pour limiter les dommages d’un compte compromis

Termes connexes

• Hameçonnage ciblé
• Logiciel malveillant
• Ingénierie sociale
• MFA
• Rançongiciel