Le phishing est une cybercriminalité efficace et dangereuse, car elle repose sur la confiance inhérente des gens dans l'internet. La plupart des gens ont du mal à croire que des criminels puissent vous tromper et vous amener à donner des informations privées, ce qui fait que même des personnes bien intentionnées peuvent facilement être victimes d'une attaque de phishing.

Facteurs clés qui font du phishing un cybercrime efficace et dangereux

Le phishing est un cybercrime courant qui peut être facilement commis et difficile à détecter. Bien que le phishing existe depuis des décennies, il constitue toujours une menace majeure pour les entreprises et les particuliers.

• Le phishing est une cybercriminalité efficace car elle est très simple. Vous envoyez un courriel ou publiez quelque chose sur les médias sociaux qui semble provenir d'une entreprise ou d'une personne légitime. Il vous demande de vous connecter à votre compte et de changer votre mot de passe ou de saisir d'autres informations, comme des numéros de carte de crédit ou des mots de passe pour d'autres comptes que vous possédez.

• La raison pour laquelle le phishing est si efficace est que les auteurs peuvent cibler des individus ou des groupes de personnes spécifiques. Ils disposent également d'une grande variété de méthodes qu'ils peuvent utiliser pour inciter leurs victimes à donner leurs informations. 

Par exemple, ils peuvent envoyer un courriel qui semble provenir d'une entreprise légitime (comme Google) et vous demander de vous connecter à votre compte sur leur site Web. Si vous tombez dans le panneau, votre nom d'utilisateur et votre mot de passe sont volés !

• Une autre raison pour laquelle le phishing est un crime si efficace est qu'il n'y a pas encore de lois contre lui - il est simplement considéré comme du harcèlement ou de la fraude en ligne à l'heure actuelle. Cela signifie que les victimes n'ont aucun recours juridique lorsque quelqu'un vole leurs informations personnelles par le biais d'escroqueries par hameçonnage comme celles mentionnées ci-dessus !

• Même ces dernières années, il n'y a pas beaucoup de sensibilisation au phishing. La plupart des employés d'entreprises, des propriétaires de domaines et des particuliers n'ont entendu que fugitivement le terme "phishing" sans bien comprendre comment il est exécuté et ce qu'ils peuvent faire pour s'en protéger.

• Cela s'explique en partie par la facilité d'exécution du phishing. Tout ce dont vous avez besoin, c'est d'un ordinateur et de quelques connaissances de base sur la façon de l'utiliser. Les hameçonnages sont donc peu coûteux et faciles à réaliser, et c'est pourquoi ils sont si dangereux.

• L'autre aspect est que les êtres humains sont très doués pour se laisser tromper. Notre cerveau est construit pour croire ce que nos yeux nous disent, et les hameçonneurs ont appris à exploiter cette tendance pour amener les gens à agir contre leurs propres intérêts. 

C'est pourquoi, même si nous savons qu'il vaut mieux ne pas ouvrir un courriel provenant d'une personne que nous ne connaissons pas ou cliquer sur des liens dans des courriels envoyés par des personnes que nous ne connaissons pas, nous le faisons quand même parfois - parce que notre cerveau veut nous faire croire que ces choses sont sûres !

Comment détecter les tentatives de phishing ?

Assurez-vous que le courriel qui vous est envoyé est authentique

Si vous n'êtes pas sûr qu'il s'agisse d'un vrai message, vous pouvez vérifier certaines choses. Tout d'abord, si la personne qui l'a envoyé est quelqu'un que vous connaissez (comme votre patron), appelez-la et demandez-lui si elle l'a vraiment envoyé. Si elle répond oui, faites ce qu'elle vous a demandé. Mais s'il vous dit non... alors, il y a peut-être quelque chose de louche !

Deuxièmement, regardez l'adresse électronique : ressemble-t-elle à une adresse officielle de l'entreprise ? Souvent, ce type d'e-mail est envoyé à partir d'une adresse qui se termine par "mailinator" ou quelque chose de similaire, ce qui signifie qu'il ne provient pas vraiment de l'entreprise !

Authentifiez vos messages

Pour éviter toute ambiguïté, vous pouvez envisager d'authentifier vos messages électroniques à l'aide de protocoles fiables tels que SPF, DKIM et, surtout, DMARC, DMARC. L'authentification peut aider les propriétaires de domaines à prévenir un large éventail de cyberattaques, notamment l'usurpation d'identité, le phishing, les ransomwares et les BEC.

Cherchez des signes révélateurs

1. Recherchez les fautes d'orthographe, de grammaire et autres erreurs dans le courriel. La plupart des courriels de phishing contiennent au moins une erreur, car ils sont créés par des escrocs dont l'anglais n'est pas la langue maternelle.
2. Vérifiez les liens dans l'e-mail. Si le lien vous dirige vers un site Web qui n'est pas associé à votre banque ou à votre boutique en ligne, il est probablement dangereux de cliquer dessus.
3. Vérifiez les numéros de téléphone figurant dans l'e-mail en utilisant une source fiable comme Google Voice ou Skype avant de les rappeler, même s'ils semblent légitimes ! Vous pouvez également appeler directement votre banque sans partager d'informations sensibles au téléphone si vous avez des doutes sur une demande par courriel."

Lisez notre guide détaillé sur Indicateurs courants d'une tentative d'hameçonnage.

Comment éviter de se faire hameçonner ?

Pour éviter de vous faire escroquer, suivez ces conseils :

1. Ne cliquez jamais sur liens d'hameçonnage dans les courriers électroniques ou les SMS, sauf si vous savez d'où ils proviennent (et s'ils demandent des informations personnelles).
2. Regardez l'adresse électronique de l'expéditeur et comparez-la à sa véritable adresse électronique (si elle a été communiquée). Si elle ne semble pas correcte ou s'il y a des fautes d'orthographe ou d'autres erreurs, ne l'ouvrez pas !
3. Appliquez votre politique DMARC à p=reject (notez que le passage à une politique de l'application de DMARC doit être un processus progressif, et il est toujours recommandé de commencer par p=none)
4. Informez vos employés sur les vecteurs d'attaques par courrier électronique et les meilleures pratiques en suivant une formation DMARC.

Le mot de la fin

Non seulement les attaques de phishing font courir à votre réseau un risque de violation des données et d'infection par des logiciels malveillants, mais elles coûtent également aux entreprises des millions de dollars en perte de revenus et en atteinte à leur réputation chaque année (selon IBM). La meilleure façon d'éviter ces attaques est de les sensibiliser, de les détecter rapidement et de les prévenir efficacement.