Les escrocs exploitent les événements en cours, les notifications de compte, la communication d'entreprise et le sentiment d'urgence.
En 2014, une violation de données a révélé les informations de trois milliards d'utilisateurs de Yahoo. En 2016, les employés de Sony Pictures ont vu des fuites d'informations privées sensibles ainsi que des milliers de documents d'entreprise. Quel est le point commun entre ces deux attaques ? Elles ont commencé par un e-mail de phishing.
Les menaces par mail sont un des moyens les plus courants pour accéder aux informations sensibles ou installer des maliciels. Alors que la plupart des cas de phishing ciblent des utilisateurs anonymes, les escrocs peuvent également utiliser des mails contenant de faux liens ou fichiers pour cibler des individus spécifiques qui détiennent des informations sensibles. Comme les chercheurs d'ESET le soulignent, en 2022, ce genre de menace était en augmentation de près de 30 % par rapport à l‘année précédente. Les modèles de langage de l'IA facilitant la rédaction des mails, il y a de fortes chances que ces chiffres augmentent encore plus !
Les attaques de phishing sont une forme d'ingénierie sociale qui fait réagir avec un sentiment d'urgence et de curiosité. Si on peut tous être victimes de ce type d'attaque, on peut aussi apprendre à l'éviter. Voici quelques exemples concrets de phishing le plus couramment utilisé pour nous escroquer.

1 – « Votre session a expiré. Cliquez ici pour vous reconnecter ».
Certaines lignes et tactiques de phishing les plus courantes vous informent que vous avez été déconnecté d'un compte, ce qui vous pousse à réintroduire vos identifiants. En cliquant sur le lien, vous accéderez à un site Web ressemblant beaucoup au vrai. La différence est que la saisie de vos informations d'identification les enverra immédiatement aux escrocs, qui les utiliseront pour accéder à vos comptes. Dans certains cas, ils peuvent même se connecter pour vous et modifier le mot de passe pour éviter de vous en donner l'accès.
Cette technique se base sur l'habitude des utilisateurs de répondre automatiquement à des messages sans penser au contenu ou sans vérifier les signes typiques d'un e-mail/message de phishing. (En savoir plus sur ces signes ici).
Un exemple : l'an dernier, GitHub Security a mis en garde contre les e-mails usurpant l'identité de la plate-forme populaire de développement de logiciels CI/CD CircleCI. Les escrocs envoyaient une alerte avec "session expirée" et demandaient une nouvelle connexion utilisant les informations d'identification GitHub. "Nous avons remarqué une activité inhabituelle sur votre compte. Veuillez vérifier."
Avec cette astuce, les escrocs tentent de créer un sentiment d'urgence. Qui ne voudrait pas éviter la perte soudaine d'un compte ? En général, ces e-mails se font passer pour des messages provenant de services légitimes tels qu'Amazon, PayPal, etc.
Par exemple, fin 2018, la US Federal Trade Commission (FTC) a émis un avertissement concernant les e-mails de phishing se faisant passer pour Netflix. Ces e-mails affirmaient qu'un compte avait été suspendu suite à un problème avec des détails de paiement, demandant aux utilisateurs de mettre à jour leurs informations de facturation via un lien intégré malveillant et utilisé pour obtenir des identifiants de connexion.
En 2016, des clients Apple ont été ciblés, de façon similaire, lorsque des escrocs ont tenté de voler leurs informations personnelles avec des e-mails de phishing affirmant que les utilisateurs devaient confirmer les détails de leur compte car « un virus » avait été trouvé dans la base de données iTunes d'Apple.

2. "J'ai besoin que vous fassiez un paiement urgent"
L'usurpation d'identité des comptes d'entreprise est depuis longtemps un champion parmi les campagnes de harponnage ne ciblant pas les personnes anonymes, mais s'attaquant plutôt à une personne spécifique ou à un groupe d'employés dans une entreprise sélectionnée.
Avant d'envoyer ces e-mails frauduleux, les escrocs étudient le plus possible les structures, les visuels, le langage, etc. d'une entreprise, afin de rendre l'e-mail de phishing presque impossible à distinguer d'un e-mail authentique.
Certains de ces e-mails ciblent spécifiquement les employés responsables de la gestion des fonds et des questions financières. Ils prétendent être le PDG ou un autre supérieur autorisé à donner l’ordre d’un transfert d'argent et demandent à la victime d'envoyer des fonds sur un compte, soi-disant celui du PDG, ou même celui de l'entreprise.
En 2018, l'usurpation d'identité du PDG a été utilisée pour voler plus de 100 000 $ CA à la ville d'Ottawa. Se faisant passer pour une demande du directeur municipal, le trésorier de la ville a reçu un faux courriel pour transférer la somme qui s'est retrouvée dans la poche des fraudeurs. Les escrocs ont tenté de tromper le trésorier une seconde fois, mais à la réception du deuxième e-mail, le directeur municipal était là et en était témoin. Après avoir demandé si la demande était légitime, l'arnaque a été découverte et les escrocs pris en flagrant délit.
3. “Cher candidat…”
Ces e-mails de phishing se basent sur de fausses offres d'emploi. Ils peuvent inciter les victimes à cliquer sur un lien de phishing ou à ouvrir des fichiers malveillants envoyés avec l’e-mail, en demandant à la victime de créer un compte et de fournir des données personnelles pour postuler.
Le groupe de menaces Lazarus a mené de nombreuses campagnes de ce genre. L'opération DreamJob, découverte récemment par les chercheurs d'ESET, a attiré des victimes avec de fausses offres d'emploi.
Ces escroqueries existent aussi sur les panneaux d'affichage d'offres d'emploi populaires. Vérifiez toujours si le chasseur de têtes qui vous a contacté ou si l'offre d'emploi que vous voyez est légitime.

Lisez les autres points sur https://esetcom.sharepoint.com/:w:/r/sites/global-hub-team-global-pr/_layouts/15/Doc.aspx?sourcedoc=%7B1DB7689B-19F7-4FBD-AC1E-A0B1E87D2BB1%7D&file=230725_WLS_phishing20blog.docx&action=default&mobileredirect=true
Depuis plus de 30 ans, ESET® développe des logiciels et des services de sécurité informatique de pointe pour protéger les entreprises, les infrastructures critiques et les consommateurs du monde entier contre les menaces numériques toujours plus sophistiquées. De la sécurité des terminaux et des mobiles à l'EDR en passant par le chiffrement, l'authentification à double facteur, les solutions légères et performantes d'ESET protègent et surveillent 24/7, mettant à jour, en temps réel, les défenses afin d’assurer sans interruption la sécurité des utilisateurs et des entreprises. L'évolution constante des menaces nécessite un fournisseur de sécurité informatique évolutif qui permet d’utiliser la technologie de façon sûre. Ceci est supporté par les centres de R&D d'ESET dans le monde entier, travaillant à soutenir notre avenir commun. Pour plus d’information visitez www.eset.com , ou suivez-nous sur LinkedIn, Facebook, Instagram et https://www.eset.com/be-fr/