Pourquoi les hameçonneurs ciblent-ils les nouveaux employés ?
par
Temps de lecture : 5 min
Au fil des ans, la technologie s'est imposée dans tous les domaines. Les avancées technologiques ont également permis aux cybercriminels de découvrir des moyens innovants de voler des informations.
En général, ce sont les grandes entreprises employant des milliers de personnes qui sont visées. Toutefois, les petites entreprises ne sont pas épargnées pour autant. L'absence de mesures de cybersécurité appropriées permet aux hameçonneurs de trouver plus facilement le point faible, généralement un nouvel employé.
Il a été constaté que un employé sur quatre admet avoir cliqué sur les liens attachés aux courriels de phishing.
Les organisations doivent donc concevoir et mettre en œuvre des stratégies pour prévenir les attaques par hameçonnage. Une formation approfondie des employés et une sensibilisation à la cybercriminalité sont également nécessaires. Cet article vise à vous familiariser avec les escroqueries par hameçonnage des employés, leurs types et les moyens de les combattre.
Comprendre l'hameçonnage
Le phishing est un type de cyberattaque dans lequel les escrocs incitent les gens à donner des informations vitales par le biais de faux courriels et de faux liens. Les informations varient considérablement en fonction de la cible de l'hameçonneur et sont généralement de nature sensible.
Les informations contiennent généralement des données de connexion, des informations sur les comptes, des mots de passe et des références bancaires, etc. Une attaque de phishing réussie peut entraîner des pertes importantes pour une entreprise. Une attaque de phishing réussie peut entraîner des pertes considérables pour une entreprise. Elle ne se contente pas de violer des informations sensibles, mais peut également diffamer l'entreprise en utilisant ses informations confidentielles.
4 attaques de phishing courantes visant les nouveaux employés
La plupart des attaques de phishing ciblant les employés sont basées sur des messages personnalisés. Le contenu du message est formaté de manière à ce que l'utilisateur ait l'air de s'y retrouver, afin d'éviter tout soupçon.
Au fil du temps, les attaquants ont modifié les habitudes d'hameçonnage traditionnelles. Il est donc obligatoire de mettre à jour les connaissances des employés sur les types d'attaques par hameçonnage. Cela les aidera à reconnaître rapidement une attaque. Les attaques de phishing les plus courantes ciblant les employés sont présentées ci-dessous.
1. Courriels d'hameçonnage des employés
C'est l'attaque de phishing la plus courante et le moyen le plus pratique d'escroquer les nouveaux employés. Ces types d'attaques se propagent par le biais de courriels. L'attaquant crée un courriel en se faisant passer pour la société mère de l'employé, dans le but de voler des informations sensibles.
L'IA a considérablement influencé ces attaques de phishing en aidant les attaquants à générer des courriels de phishing de haute qualité sans erreurs identifiables.
2. Spear Phishing
Le Spear Phishing est une forme très ciblée d'attaque par hameçonnage. L'objectif est de cibler un employé en particulier. Après avoir recueilli des informations sur l'utilisateur, un courriel personnalisé est rédigé et envoyé. Cet e-mail se fait passer pour une source légitime que la victime reconnaît instantanément.
Dans le cas du spear phishing, l'e-mail malveillant commence généralement par le nom du destinataire au lieu d'une salutation générale. L'attaquant ajoute généralement les coordonnées du travail ou du compte de l'employé et lui demande de se connecter au compte pour agir.
3. La chasse à la baleine
Le whaling se produit de la même manière que l'hameçonnage. Dans ce cas, les attaquants ciblent des travailleurs de haut niveau, comme les cadres supérieurs. Comme les autres attaques par hameçonnage, elles utilisent également un courriel malveillant ou un message contenant un certain sentiment d'urgence.
Il s'agit d'usurper l'identité de ces cadres de haut niveau, en incitant généralement les victimes à ouvrir une pièce jointe liée à un courrier électronique malveillant ou à partager des données sensibles. Une fois les informations recueillies, elles peuvent être utilisées pour exploiter les données de l'entreprise.
4. Attaques d'hameçonnage de type "Angler" (Angler Phishing)
Il s'agit d'un type d'attaque par hameçonnage relativement nouveau. L'hameçonnage de type "angler phishing utilise les médias sociaux ou un site web pour diffuser des logiciels malveillants. Les employés sont persuadés d'ouvrir une URL spécifique ou un tweet. Le site web peut demander aux nouveaux employés d'entrer les détails de connexion pour effectuer la fonction souhaitée, ce qui entraîne une violation de données.
En outre, dans ce type d'attaques, les hameçonneurs utilisent également les données publiées par les employés sur leurs comptes de médias sociaux pour créer des attaques très ciblées.
Pourquoi les nouveaux embauchés sont-ils des cibles faciles ?
Voici plusieurs raisons qui expliquent pourquoi les hameçonneurs ciblent facilement les nouveaux employés.
Manque de familiarité avec les protocoles de l'entreprise
En général, l'intégration des nouveaux employés consiste à s'assurer qu'ils se familiarisent avec les politiques de l'entreprise et les meilleures pratiques en matière de sécurité.
Ils doivent également prendre conscience du type d'informations de l'entreprise qui sont confidentielles à 100 % et ne doivent en aucun cas être divulguées. Les nouveaux employés ont aussi parfois besoin d'aide pour reconnaître les adresses électroniques authentiques et les fausses adresses électroniques de l'entreprise.
Connaissance limitée des meilleures pratiques en matière de cybersécurité
Les nouveaux employés sur le terrain ont généralement besoin de plus de connaissances sur les cybermenaces. Ils ne sont pas conscients des vulnérabilités et des lacunes, ce qui peut les rendre facilement escroqués. Même s'ils sont au courant des attaques par hameçonnage, ils ne connaissent pas les solutions potentielles et les stratégies de prévention.
Volonté accrue de faire ses preuves
Les nouveaux employés ont une grande passion pour faire leurs preuves sur leur nouveau lieu de travail. Ils sont prompts à agir selon les instructions et suivent aveuglément les directives sans vérification. Ils essaient de rester actifs et de répondre efficacement à tous les courriels envoyés par les responsables de l'entreprise. Les hameçonneurs utilisent ce sentiment d'urgence pour les attirer dans des attaques de phishing.
Comment les organisations échouent en matière de cybersécurité des employés
L'inefficacité des organisations joue également un rôle important dans l'escroquerie de leurs employés.
Programmes de formation insuffisants
La formation et la sensibilisation à la cybersécurité doivent être dispensées aux employés dès leur entrée en fonction. L'organisation doit organiser de telles sessions de formation interne. Elles doivent permettre à l'ensemble du personnel de prendre conscience des menaces potentielles et de leurs solutions. La création d'une culture d'appréciation par le biais de récompenses et de reconnaissance des employés, telles que des prix ou des plaques de reconnaissance personnalisables, peut contribuer à motiver les employés à s'engager activement dans la formation à la cybersécurité et à rester vigilants à l'égard des menaces potentielles.
Recours à la communication par courrier électronique
Le courrier électronique est depuis longtemps la principale source de communication entre les employés. Le courrier électronique étant également la principale cible des hameçonneurs, les entreprises peuvent envisager de passer à des plateformes de communication d'équipe personnalisées telles que Discord, Slack ou Microsoft Teams pour la communication quotidienne entre les employés. Les courriels peuvent être réservés à des scénarios spécifiques et aux communications avec les clients.
Manque de sécurité du courrier électronique
Les entreprises négligent souvent les meilleures pratiques en matière de sécurité du courrier électronique, telles que l'authentification par le protocole SPF, DKIMet DMARC. Cela rend leurs domaines vulnérables aux attaques d'usurpation d'identité, de phishing et de spoofing. Cela facilite également l'envoi de faux courriels aux nouveaux employés à partir de domaines d'entreprise usurpés.
Absence de mise en œuvre de la conformité
La simple configuration des protocoles d'authentification du courrier électronique ne suffit pas ! Si les organisations n'appliquent pas leurs politiques DMARC, leurs domaines restent vulnérables aux menaces véhiculées par le courrier électronique.
Pour passer en toute sécurité d'une absence d'action à une politique DMARC, inscrivez-vous à PowerDMARC.
Importance de la sensibilisation et de la formation des employés
Les formations de sensibilisation des employés sont plus qu'une simple formalité. La formation gratuite de PowerDMARC sur la formation à la sécurité du courrier électronique de PowerDMARC ont aidé des milliers de candidats, y compris nos propres employés, à rester vigilants et conscients des menaces qui pèsent sur le courrier électronique.
En outre, les nouveaux employés peuvent utiliser certains des éléments suivants conseils et stratégies pour éviter les attaques de phishing.
- Restez informé sur les attaques de phishing, assistez à des sessions de formation à la sécurité et découvrez les dernières tendances en matière de cybersécurité, telles que l'IA et l'informatique quantique.
- Vérifiez attentivement la légitimité des comptes de messagerie et des liens joints. Évitez les courriels qui donnent un sentiment d'urgence ou qui demandent une action urgente.
- Maintenir tous les logiciels et outils de sécurité à jour et mettre à jour les systèmes avec des logiciels antivirus, anti-logiciels malveillants et des pare-feu.
- Déplacez votre curseur sur le lien joint et lisez attentivement le contexte pour éviter les courriels suspects. Si vous doutez de l'authenticité du courriel, contactez l'expéditeur et confirmez avec lui par l'intermédiaire d'une autre plateforme.
- Sécurisez vos domaines de messagerie à l'aide de protocoles d'authentification avancés tels que SPF, DMARCet DKIM.
En résumé
Pour chaque entreprise, les employés sont une source essentielle de défense contre les violations de données. Pourtant, des courriels malveillants arrivent toujours dans les boîtes de réception des employés, même après l'application de divers protocoles de sécurité.
Par conséquent, la seule chose qui peut empêcher les organisations d'être attaquées est de mettre en place des mesures préventives et de choisir les bons fournisseurs de services de sécurité. PowerDMARC a aidé des organisations de toutes tailles à aligner leurs besoins de sécurité de domaine et à atteindre la conformité sans implications négatives sur la délivrabilité des courriels. Pour améliorer la sécurité de votre domaine, vous pouvez nous contacter dès aujourd'hui !
Expert en sécurité des domaines et des courriels chez PowerDMARC
Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.
Derniers messages de Ahona Rudra (voir tous)
- La montée en puissance des escroqueries par prétexte dans les attaques de phishing renforcées - 15 janvier 2025
- DMARC devient obligatoire pour l'industrie des cartes de paiement à partir de 2025 - 12 janvier 2025
- Changements du NCSC Mail Check et leur impact sur la sécurité du courrier électronique dans le secteur public britannique - 11 janvier 2025
