Phishing et Cybersécurité

1. Définition du phishing

Le phishing (ou hameçonnage) est une tentative de tromperie visant des utilisateurs dans le but de leur voler des informations sensibles. Cette attaque se réalise principalement par courrier électronique (mail), téléphone ou SMS.

2. Concepts clés liés au phishing

3. Objectifs du phishing

Le but est de convaincre la victime de :

• Cliquer sur un lien malveillant
• Télécharger un fichier infecté
• Fournir des informations confidentielles (login, mot de passe, etc.)

4. Informations ciblées par le phishing

Les données recherchées sont souvent :

• Identifiants de connexion (login / mot de passe)
• Adresses email
• Données personnelles
• Données bancaires
• Informations confidentielles d’entreprise
• Numéros de téléphone

Le phishing exploite la confiance et la crédulité des utilisateurs pour accéder à des données sensibles ou compromettre des systèmes.

5. Moyens utilisés pour le phishing

Les attaques se font via :

• Emails frauduleux imitant des entités légitimes
• Appels téléphoniques usurpant l’identité d’une organisation
• SMS (smishing) incitant à cliquer sur des liens ou à répondre

Ces messages contiennent souvent des liens vers des sites falsifiés ou des pièces jointes malveillantes destinées à infecter l’appareil ou à collecter des données.

1. Techniques du phishing

Le phishing utilise des messages frauduleux, souvent par email, pour tromper la victime et lui soutirer des informations personnelles ou financières. Ces messages imitent des communications légitimes (banques, services de livraison, entreprises connues).

a) Méthodes courantes

2. Objectifs du phishing

Le but principal est de voler des données sensibles pour :

• Accéder à des comptes bancaires ou services en ligne.
• Usurper l’identité de la victime.
• Installer des logiciels malveillants (malwares, ransomwares).
• Obtenir des informations personnelles exploitables (mots de passe, numéros de carte).

À retenir : Le phishing repose sur la manipulation psychologique, exploitant la confiance, la peur ou la curiosité pour inciter à divulguer des informations confidentielles.

1. Exemples concrets de phishing

Le phishing utilise souvent des messages frauduleux imitant des communications officielles pour inciter à cliquer sur des liens malveillants.

a) Exemple type : faux message de livraison

• Objet du message : Notification d’un colis en attente de livraison.
• Contenu :
  • Mention d’un colis à livrer avec un numéro de suivi (ex. : 1900395764).
  • Demande de confirmation ou de signature pour la livraison.
  • Invitation à cliquer sur un lien pour suivre ou confirmer la livraison.
• Apparence :
  • Utilisation de noms d’entreprises connues (ex. : Bpost Express).
  • Formulation professionnelle avec logos et mentions légales.
• But :
  • Obtenir des informations personnelles ou bancaires.
  • Installer un logiciel malveillant via le lien.

b) Caractéristiques communes des messages de phishing par colis

c) Exemple d’alerte dans la boîte mail

• Message reçu : « Vous avez (1) un message de notre part. Veuillez cliquer pour l’ouvrir. »
• Souvent accompagné d’une adresse mail suspecte et d’un lien.
• Peut être détecté comme spam par les filtres.

À retenir : Le phishing par faux colis exploite la peur de perdre un envoi important pour pousser à cliquer sur des liens malveillants. Toujours vérifier l’expéditeur et ne jamais cliquer directement sur un lien reçu par mail.

1. Protection contre le phishing

Le phishing est une technique d'escroquerie visant à soutirer des informations personnelles ou financières en se faisant passer pour une entité de confiance.

a) Signes révélateurs d'un message de phishing

• Demandes urgentes ou pressantes (ex. : "URGENT TRANSFER", "complétez vos informations").
• Liens suspects invitant à cliquer pour fournir des données sensibles.
• Fautes d’orthographe ou formulations maladroites.
• Informations incohérentes ou non sollicitées (ex. : montants importants inattendus, transactions inconnues).
• Adresses d’expéditeur douteuses ou non officielles.

b) Exemples typiques de phishing

c) Bonnes pratiques pour se protéger

1. Ne jamais cliquer directement sur un lien dans un mail suspect.
2. Vérifier l’adresse de l’expéditeur et la cohérence du message.
3. Contacter directement l’entreprise ou la banque via un canal officiel.
4. Utiliser des outils anti-phishing (antivirus, filtres de messagerie).
5. Ne jamais communiquer d’informations sensibles par mail.

À retenir : Un message demandant des informations personnelles ou bancaires de manière urgente est très probablement une tentative de phishing. Toujours vérifier avant de répondre.

1. Conséquences du phishing

Le phishing entraîne des impacts majeurs sur plusieurs plans :

• Plus de 50% des incidents aboutissent à une perte de données et à une interruption de la continuité des activités.

2. Gestion des incidents : rôle de l’administrateur IT

Pour limiter les risques et gérer efficacement les incidents, l’administrateur IT doit :

1. Mettre en place l’authentification à double facteur (2FA) pour renforcer la sécurité des accès.
2. Forcer la mise à jour régulière des équipements IT afin de corriger les vulnérabilités.
3. Surveiller en continu la santé des dispositifs connectés via un monitoring adapté.
4. Sensibiliser les utilisateurs par des campagnes internes de formation et des simulations de phishing.

3. Bonnes pratiques pour le travailleur

Chaque utilisateur doit adopter des comportements sécurisés pour se protéger :

• Ne pas cliquer directement sur les liens suspects ; préférer taper l’URL manuellement.
• Activer la double authentification (2FA) sur tous les comptes accessibles.
• Se méfier des messages jouant sur l’émotion (urgence, cadeaux, dons).
• Être vigilant face aux escroqueries sur les réseaux sociaux.
• Vérifier l’authenticité des demandes par un autre canal (appel, message direct).
• Maintenir les applications à jour, en activant les mises à jour automatiques si possible.

À retenir : La prévention repose autant sur la technologie que sur la vigilance des utilisateurs.

1. Statistiques clés du phishing en 2023

Le phishing reste une menace majeure avec des chiffres alarmants issus du rapport 2023 State of the Phish :

2. Comportement et prévention en entreprise

• 35% des organisations réalisent des simulations de phishing pour sensibiliser leurs employés.
• 64% des organisations victimes de ransomware ont payé la rançon demandée.
• 90% des organisations touchées par un ransomware disposent d'une assurance cybersécurité.
• 65% des organisations ont signalé au moins un incident de perte de données interne.
• 56% des organisations avec un programme de sensibilisation forment tous leurs employés.
• Sécurité perçue comme prioritaire :
  • Sécurité = priorité absolue pour la majorité des professionnels de la sécurité.
  • Mais 1 employé sur 2 estime que la cybersécurité n’est pas une priorité dans son travail.

3. Importance d’une politique de sécurité complète

Pour limiter les risques liés au phishing, il est crucial de mettre en place :

• Un système de sauvegarde (back-up) fiable.
• Un processus régulier de mise à jour des équipements.
• Une politique interne de sécurité claire (Security Policy).
• Un plan de gestion des incidents bien défini.
• Une équipe dédiée à la gestion des incidents.

À retenir : La vigilance des utilisateurs et la mise en place d’une politique de sécurité globale sont essentielles pour réduire les impacts du phishing.