Posts

Les spécialistes du marketing sont les concepteurs de l'image de marque, ils doivent donc connaître les 5 termes célèbres du phishing, qui peuvent causer des ravages sur la réputation d'une entreprise. Le phishing est un type de vecteur d'attaque qui implique un site Web ou un e-mail qui semble provenir d'une organisation réputée, mais qui est en fait créé dans le but de recueillir des informations sensibles telles que des noms d'utilisateur, des mots de passe et des données de carte de crédit (également appelées données de carte). Les attaques de phishing sont courantes dans le monde en ligne.

Lorsque votre entreprise est victime d'une attaque de phishing, elle peut porter atteinte à son image de marque et nuire à son classement dans les moteurs de recherche ou à son taux de conversion. La protection contre les attaques de phishing devrait être une priorité pour les spécialistes du marketing, car elles sont le reflet direct de la cohérence de votre entreprise. Par conséquent, en tant que spécialistes du marketing, nous devons faire preuve d'une extrême prudence lorsqu'il s'agit d'escroqueries par hameçonnage.

Les escroqueries par hameçonnage existent depuis de nombreuses années. Ne vous inquiétez pas si vous n'en avez pas entendu parler avant, ce n'est pas votre faute. Certains disent que la cyber-escroquerie est née il y a 10 ans, mais le phishing est officiellement devenu un crime en 2004. Comme les techniques de phishing continuent d'évoluer, la rencontre d'un nouvel e-mail de phishing peut rapidement devenir déroutante, et il est parfois difficile de savoir si le message est légitime ou non. Vous pouvez mieux vous protéger, vous et votre organisation, en étant attentif à ces cinq techniques de phishing courantes.

5 termes courants du phishing que vous devez connaître

1) Hameçonnage par courriel 

Les e-mails de phishing sont généralement envoyés en masse à partir d'un domaine qui imite un domaine légitime. Une entreprise peut avoir l'adresse électronique [email protected], mais une entreprise de phishing peut utiliser [email protected] L'objectif est de vous inciter à cliquer sur un lien malveillant ou à partager des informations sensibles en vous faisant passer pour une véritable entreprise avec laquelle vous faites affaire. Un faux domaine implique souvent une substitution de caractères, comme l'utilisation de "r" et "n" l'un à côté de l'autre pour créer "rn" au lieu de "m".

Les attaques de phishing évoluent constamment et deviennent de plus en plus indétectables avec le temps. Les acteurs de la menace utilisent des tactiques d'ingénierie sociale pour usurper des domaines et envoyer des e-mails frauduleux à partir d'un domaine légitime, à des fins malveillantes.

2) Spear Phishing 

Une attaque de spear phishing est une nouvelle forme de cyberattaque qui utilise de fausses informations pour accéder à des comptes présentant un niveau de sécurité plus élevé. Les attaquants professionnels ont pour objectif de compromettre une seule victime, et pour mener à bien cette idée, ils recherchent le profil social de l'entreprise et les noms et rôles des employés au sein de cette entreprise. Contrairement au phishing, le spear phishing est une campagne ciblée contre une organisation ou un individu. Ces campagnes sont soigneusement élaborées par les acteurs de la menace dans le seul but de cibler une ou plusieurs personnes spécifiques pour accéder à une organisation.

3) La chasse à la baleine

Le whaling est une technique très ciblée qui permet de compromettre les courriels des collaborateurs de haut niveau. L'objectif, qui est similaire à d'autres méthodes de phishing, consiste à inciter les employés à cliquer sur un lien malveillant. L'une des attaques par courrier électronique les plus dévastatrices à passer par les réseaux d'entreprise est le "whaling". Ces tentatives d'enrichissement personnel utilisent le pouvoir de persuasion pour faire baisser la résistance des victimes, les amenant par la ruse à remettre les fonds de l'entreprise. Le whaling est également connu sous le nom de fraude au PDG, car les attaquants se font souvent passer pour des personnes occupant une position autoritaire, comme le PDG d'une entreprise.

4) Compromission des courriels d'affaires 

La compromission d'e-mails professionnels (BEC) est une forme de cybercriminalité qui peut être extrêmement coûteuse pour les entreprises. Ce type de cyberattaque utilise la fraude par courrier électronique pour inciter des domaines organisationnels à prendre part à des activités frauduleuses, ce qui entraîne la compromission et le vol de données sensibles. Parmi les exemples de BEC, on peut citer les escroqueries à la facture, l'usurpation de domaine et d'autres formes d'attaques par usurpation d'identité. Chaque année, une organisation moyenne peut perdre jusqu'à 70 millions de dollars à cause des BEC, en savoir plus sur les statistiques des attaques BEC en 2020. Dans une attaque typique, les fraudeurs ciblent des employés spécifiques au sein d'une organisation en envoyant une série d'e-mails frauduleux qui prétendent provenir d'un collègue, d'un client ou d'un partenaire commercial de haut niveau. Ils peuvent demander aux destinataires d'effectuer des paiements ou de divulguer des données confidentielles.

5) Hameçonnage des pêcheurs 

De nombreuses sociétés ont des milliers de clients et reçoivent des centaines de plaintes chaque jour. Grâce aux médias sociaux, les entreprises peuvent échapper à leurs limites et entrer en contact avec leurs clients. Cela permet à une entreprise d'être flexible et de s'adapter aux demandes de ses clients. L'angler phishing consiste à atteindre des clients mécontents sur les médias sociaux en prétendant faire partie d'une entreprise. L'escroquerie par hameçonnage est un simple stratagème utilisé pour faire croire aux utilisateurs occasionnels des médias sociaux qu'une entreprise tente de remédier à leurs problèmes, alors qu'en réalité, la personne à l'autre bout du fil profite d'eux.

Comment protéger votre organisation contre le phishing et la fraude par courriel ?

Votre fournisseur de services de messagerie électronique peut proposer des paquets de sécurité intégrés dans le cadre de son service. Ceux-ci agissent cependant comme des filtres anti-spam qui offrent une protection contre les tentatives de phishing entrantes. Cependant, lorsqu'un courriel est envoyé par des escrocs utilisant votre nom de domaine vers les boîtes de réception des destinataires, comme dans le cas des BEC, du whaling et d'autres formes d'attaques par usurpation d'identité énumérées ci-dessus, ils ne serviront à rien. C'est pourquoi vous devez recourir immédiatement à des solutions d'authentification des e-mails telles que DMARC et adopter une politique d'application.

  • DMARC authentifie vos e-mails en les alignant sur les normes d'authentification SPF et DKIM.
  • Il indique aux serveurs destinataires comment ils doivent répondre aux courriels qui échouent aux contrôles d'authentification.
  • Les rapports d'agrégats DMARC (RUA) vous offrent une meilleure visibilité de votre écosystème de messagerie et des résultats d'authentification et vous aident à surveiller facilement vos domaines.
  • Les rapports DMARC forensic (RUF) vous donnent une analyse approfondie des résultats de vos échecs DMARC, ce qui vous aide à répondre plus rapidement aux attaques par usurpation d'identité.

Comment PowerDMARC peut-il aider votre marque ?

PowerDMARC est plus que votre fournisseur de services DMARC, c'est une plateforme SaaS multi-tenant qui fournit une large gamme de solutions d'authentification et de programmes DMARC MSSP. Nous rendons l'authentification des e-mails facile et accessible à toutes les organisations, des petites entreprises aux multinationales.

  • Nous vous aidons à passer de p=none à p=reject en un rien de temps, afin de protéger votre marque contre les attaques par usurpation d'identité, l'usurpation de domaine et le phishing.
  • Nous vous aidons à configurer facilement les rapports DMARC pour votre entreprise à l'aide de graphiques et de tableaux complets et de vues de rapports RUA dans 6 formats différents pour une facilité d'utilisation et une visibilité accrue.
  • Nous nous sommes souciés de votre vie privée, c'est pourquoi vous pouvez crypter vos rapports DMARC RUF avec votre clé privée.
  • Nous vous aidons à générer des rapports PDF programmés sur vos résultats d'authentification.
  • Nous fournissons une solution dynamique d 'aplatissement du SPF, comme PowerSPF, afin que vous ne dépassiez jamais la limite de 10 consultations de DNS.
  • Nous vous aidons à rendre le cryptage TLS obligatoire en SMTP, avec MTA-STS pour protéger votre domaine contre les attaques de surveillance omniprésentes.
  • Nous vous aidons à rendre votre marque visuellement identifiable dans les boîtes de réception de vos destinataires avec BIMI

Inscrivez-vous à PowerDMARC dès aujourd'hui pour bénéficier d'un essai gratuit de l'outil d'analyse DMARC et passez d'une politique de surveillance à une politique d'application pour offrir à votre domaine une protection maximale contre les attaques de type BEC, phishing et spoofing.

L'e-mail est un canal essentiel pour la génération de prospects B2B et la communication avec les clients, mais c'est aussi l'un des canaux les plus largement ciblés par les cyberattaques et les escroqueries par e-mail. Les cybercriminels ne cessent d'innover dans leurs attaques afin de dérober davantage d'informations et d'actifs financiers. Alors que les entreprises continuent de riposter en renforçant leurs mesures de sécurité, les cybercriminels doivent constamment faire évoluer leurs tactiques et améliorer leurs techniques de phishing et d'usurpation.

En 2021, une augmentation drastique de l'utilisation d'attaques de phishing basées sur l'apprentissage automatique (ML) et l'intelligence artificielle (AI), qui ne sont pas détectées par les solutions traditionnelles de sécurité des emails, a été détectée par des chercheurs en sécurité du monde entier. L'objectif principal de ces attaques est de manipuler le comportement humain et de pousser les gens à effectuer des actions non autorisées - comme transférer de l'argent sur les comptes des fraudeurs.

Bien que la menace des attaques et des fraudes par courrier électronique soit en constante évolution, ne restez pas à la traîne. Connaissez les tendances en matière de fraude par courrier électronique qui se manifesteront dans les années à venir en termes de tactiques, d'outils et de logiciels malveillants des fraudeurs. Grâce à ce billet de blog, je vous montrerai comment les cybercriminels développent leurs tactiques, et j'expliquerai comment votre entreprise peut empêcher ce type d'attaque par courrier électronique de se produire.

Types d'escroqueries par courrier électronique à prendre en compte en 2021

1. Compromis sur les courriels d'affaires (BEC)

Le COVID-19 a obligé les organisations à mettre en place des environnements de travail à distance et à passer à la communication virtuelle entre employés, partenaires et clients. Si cette évolution présente quelques avantages à énumérer, l'inconvénient le plus évident est l'augmentation alarmante des BEC au cours de l'année écoulée. BEC est un terme plus large utilisé pour désigner les attaques de fraude par courrier électronique, comme l'usurpation d'identité et le phishing.

L'idée commune est qu'un cyber-attaquant utilise votre nom de domaine pour envoyer des courriels à vos partenaires, clients ou employés en essayant de voler les informations d'identification de l'entreprise pour accéder à des actifs confidentiels ou effectuer des virements bancaires. Les BEC ont touché plus de 70 % des organisations au cours de l'année écoulée et ont entraîné la perte de milliards de dollars d'actifs de l'entreprise.

2. Évolution des attaques de hameçonnage par courrier électronique

Les attaques par hameçonnage d'e-mails ont radicalement évolué au cours des dernières années, bien que le motif soit resté le même : il s'agit de manipuler vos partenaires, employés et clients de confiance pour qu'ils cliquent sur des liens malveillants encapsulés dans un e-mail qui semble provenir de vous, afin d'initier l'installation de logiciels malveillants ou le vol de crédences. Les escrocs évolués envoient des e-mails de phishing difficiles à détecter. Qu'il s'agisse de rédiger des lignes d'objet impeccables et des contenus exempts d'erreurs ou de créer de fausses pages de destination avec un haut niveau de précision, il est devenu de plus en plus difficile de retracer manuellement leurs activités en 2021.

3. L'homme au milieu

L'époque où les agresseurs envoyaient des courriels mal rédigés que même un profane pouvait identifier comme frauduleux est révolue. De nos jours, les acteurs de la menace tirent profit des problèmes de sécurité du SMTP, comme l'utilisation d'un cryptage opportuniste dans les transactions de courrier électronique entre deux serveurs de messagerie électronique en communication, en écoutant la conversation après avoir réussi à rétablir la connexion sécurisée sur une connexion non cryptée. Les attaques MITM comme le déclassement du SMTP et l'usurpation de DNS ont gagné en popularité en 2021.

4. Fraude du PDG

La fraude des PDG fait référence aux stratagèmes qui visent les cadres supérieurs afin d'avoir accès à des informations confidentielles. Pour ce faire, les attaquants prennent l'identité de personnes réelles telles que des PDG ou des directeurs financiers et envoient un message aux personnes à des niveaux inférieurs de l'organisation, aux partenaires et aux clients, les incitant à donner des informations sensibles. Ce type d'attaque est également appelé "Business Email Compromise" ou "chasse à la baleine". Dans un cadre professionnel, certains criminels s'aventurent à créer un courrier électronique plus crédible, en se faisant passer pour les décideurs d'une organisation. Cela leur permet de demander des transferts d'argent faciles ou des informations sensibles sur l'entreprise.

5. Leurres pour le vaccin COVID-19

Les chercheurs en sécurité ont dévoilé que les pirates informatiques tentent toujours de capitaliser sur les craintes liées à la pandémie de COVID-19. Des études récentes ont mis en lumière l'état d'esprit des cybercriminels, révélant un intérêt constant pour l'état de panique entourant la pandémie de COVID-19 et une hausse mesurable des attaques de phishing et de compromission des courriels d'affaires (BEC) visant les dirigeants d'entreprises. Le moyen utilisé pour perpétrer ces attaques est un faux vaccin COVID-19 qui suscite instantanément l'intérêt des destinataires du courrier électronique.

Comment améliorer la sécurité du courrier électronique ?

  • Configurez votre domaine avec les normes d'authentification du courrier électronique comme SPF, DKIM et DMARC
  • Passer de la surveillance à l'application des règles de la DMARC pour obtenir une protection maximale contre les BEC, la fraude des PDG et les attaques de phishing évoluées
  • Contrôler de manière cohérente le flux de courrier électronique et les résultats d'authentification de temps à autre
  • Rendre le cryptage obligatoire dans le SMTP avec MTA-STS pour atténuer les attaques MITM
  • Recevez des notifications régulières sur les problèmes de livraison de courrier électronique avec des détails sur leurs causes profondes grâce au reporting SMTP TLS (TLS-RPT)
  • Atténuer la perméabilité du SPF en restant en permanence sous la limite de 10 consultations du DNS
  • Aidez vos destinataires à identifier visuellement votre marque dans leur boîte de réception grâce à BIMI

PowerDMARC est votre plateforme SaaS unique d'authentification des e-mails qui rassemble tous les protocoles d'authentification des e-mails tels que SPF, DKIM, MTA-STS, TLS-RPT et BIMI sur une seule vitre. Inscrivez-vous dès aujourd'hui pour obtenir votre analyseur DMARC gratuit !

Savez-vous quel est le pire type d'escroquerie par phishing ? Le genre que vous ne pouvez pas ignorer : comme la fraude au PDG. Des courriels censés provenir du gouvernement, vous demandant d'effectuer ce paiement fiscal en suspens sous peine de poursuites judiciaires. Des courriels qui semblent avoir été envoyés par votre école ou votre université, vous demandant de payer les frais de scolarité que vous n'avez pas payés. Ou même un message de votre patron ou de votre PDG, vous demandant de lui transférer de l'argent "pour lui faire plaisir".

Le problème avec les courriels de ce type est qu'ils se font passer pour une figure d'autorité, qu'il s'agisse du gouvernement, du conseil d'administration de votre université ou de votre patron au travail. Ce sont des personnes importantes, et ignorer leurs messages aura presque certainement de graves conséquences. Vous êtes donc obligé de les regarder, et si cela vous semble suffisamment convaincant, vous pourriez en fait tomber dans le panneau.

Mais penchons-nous sur la fraude des PDG. De quoi s'agit-il exactement ? Cela peut-il vous arriver ? Et si c'est le cas, que devez-vous faire pour y mettre fin ?

Vous n'êtes pas à l'abri de la fraude des PDG

Une escroquerie de 2,3 milliards de dollars par an, voilà ce que c'est. Vous vous demandez peut-être : "Qu'est-ce qui peut bien faire perdre autant d'argent à des entreprises à cause d'une simple escroquerie par courrier électronique ? Mais vous seriez surpris de voir à quel point les courriels frauduleux des PDG peuvent être convaincants.

En 2016, Mattel a failli perdre 3 millions de dollars à cause d'une attaque de phishing lorsqu'un cadre financier a reçu un e-mail du PDG lui demandant d'envoyer un paiement à l'un de leurs fournisseurs en Chine. Mais ce n'est qu'après avoir vérifié plus tard auprès du PDG qu'elle a réalisé qu'il n'avait jamais envoyé le courriel du tout. Heureusement, la société a travaillé avec les forces de l'ordre en Chine et aux États-Unis pour récupérer leur argent quelques jours plus tard, mais cela n'arrive presque jamais avec ces attaques.

Les gens ont tendance à croire que ces escroqueries ne leur arriveront pas... jusqu'à ce que cela leur arrive. Et c'est là leur plus grande erreur : ne pas se préparer à la fraude des PDG.

Les escroqueries par hameçonnage peuvent non seulement coûter des millions de dollars à votre organisation, mais elles peuvent aussi avoir un impact durable sur la réputation et la crédibilité de votre marque. Vous courez le risque d'être considéré comme l'entreprise qui a perdu de l'argent à cause d'une escroquerie par courrier électronique et de perdre la confiance de vos clients dont vous stockez les informations personnelles sensibles.

Au lieu de se démener pour limiter les dégâts après coup, il est beaucoup plus logique de sécuriser vos canaux de courrier électronique contre les escroqueries par harponnage comme celle-ci. Voici quelques unes des meilleures façons de vous assurer que votre organisation ne devienne pas une statistique dans le rapport du FBI sur le BEC.

Comment prévenir la fraude des PDG : 6 étapes simples

  1. Sensibilisez votre personnel à la sécurité
    Celui-ci est absolument crucial. Les membres de votre personnel, et en particulier ceux de la finance, doivent comprendre comment fonctionne le Business Email Compromise. Et nous ne parlons pas seulement d'une présentation ennuyeuse de deux heures sur le fait de ne pas écrire votre mot de passe sur un post-it. Vous devez les former à la recherche de signes suspects de falsification d'un e-mail, à la recherche d'adresses e-mail usurpées et aux demandes anormales que d'autres membres du personnel semblent faire par e-mail.
  2. Attention aux signes révélateurs de l'usurpationd'identité
    Les escrocs du courrier électronique utilisent toutes sortes de tactiques pour vous faire accéder à leurs demandes. Il peut s'agir de demandes/instructions urgentes de transfert d'argent pour vous faire agir rapidement et sans réfléchir, ou même de demandes d'accès à des informations confidentielles pour un "projet secret" que les supérieurs ne sont pas encore prêts à partager avec vous. Il s'agit là de sérieux signaux d'alarme, et vous devez vérifier deux ou trois fois avant d'agir.
  3. Protégez-vous avec le DMARC
    Le moyen le plus simple de prévenir une escroquerie par hameçonnage est de ne jamais recevoir le courriel en premier lieu. DMARC est un protocole d'authentification de courrier électronique qui vérifie les courriers électroniques provenant de votre domaine avant de les livrer. Lorsque vous appliquez le DMARC à votre domaine, tout attaquant se faisant passer pour un membre de votre propre organisation sera détecté comme un expéditeur non autorisé, et son courrier électronique sera bloqué dans votre boîte de réception. Vous n'avez pas du tout à vous occuper des courriels usurpés.
  4. Obtenir une autorisation explicite pour les virements électroniques
    C'est l'un des moyens les plus simples et les plus directs d'empêcher les transferts d'argent aux mauvaises personnes. Avant de s'engager dans une transaction, il faut obligatoirement demander l'accord explicite de la personne qui demande de l'argent en utilisant un autre canal que le courrier électronique. Pour les virements plus importants, il faut obligatoirement recevoir une confirmation verbale.
  5. Courriers électroniques de drapeau avec des extensions similaires
    Le FBI recommande à votre organisation de créer des règles de système qui signalent automatiquement les courriels qui utilisent des extensions trop semblables aux vôtres. Par exemple, si votre entreprise utilise "123-business.com", le système pourrait détecter et signaler les courriels utilisant des extensions comme "123_business.com".
  6. Acheter des noms de domaine similaires
    Les attaquants utilisent souvent des noms de domaine d'apparence similaire pour envoyer des courriels de phishing. Par exemple, si votre organisation a un "i" minuscule dans son nom, ils peuvent utiliser un "I" majuscule, ou remplacer la lettre "E" par le chiffre "3". Cela vous aidera à réduire les risques que quelqu'un utilise un nom de domaine extrêmement similaire pour vous envoyer des courriels.