Les attaques par hameçonnage sont à la hausse et coûtent de plus en plus cher aux entreprises. Le dernier rapport sur l'état du phishing indique que 76% des professionnels de la sécurité de l'information ont subi une attaque de phishing en 2017, et Verizon indique que 90% de toutes les cyber-attaques (qui incluent de plus en plus de ransomwares) commencent par des courriels de phishing..

Cela signifie que les e-mails malveillants doivent être la priorité des entreprises. Cependant, de nombreuses entreprises ne comprennent toujours pas toute l'étendue et la portée du problème de phishing, les risques potentiels ou même ce qu'est le phishing..

Qu'est-ce qui compte comme phishing??

Toute tentative d'obtenir des informations ou de l'argent à l'aide d'un courrier électronique frauduleux est considérée comme du phishing. Les courriels de phishing altèrent l’aspect d’un message provenant d’une source fiable - une personne ou, le plus souvent, une entreprise telle que Amazon, Google ou PayPal. Ces e-mails créent un sentiment d'urgence pour les utilisateurs. Ils doivent suivre un lien vers une page où ils entreront leurs mots de passe personnels afin d'éviter tout type d'événement indésirable - comme la fermeture de leur compte de messagerie ou le traitement d'une charge frauduleuse - ou pour vérifier un solde de compte.

Une fois connectés, leurs informations peuvent être volées ou leur ordinateur pourrait être infecté par des logiciels malveillants ou des ransomwares. Dans certains cas, les cybercriminels utilisent les données pour pirater des comptes et voler de l'argent ou effectuer des achats frauduleux..

Les arnaques par hameçonnage incluent généralement la manipulation de liens - en utilisant des URL mal orthographiées similaires aux adresses légitimes. Les phishers utilisent souvent des images intégrées à des courriels plutôt que du texte pour éviter les filtres. Des approches plus sophistiquées peuvent impliquer une redirection secrète qui utilise une popup de connexion sur un site web légitime.

Il y a quelques approches communes:

  • Hameçonnage est une attaque de plus en plus courante qui vise une personne ou une entreprise spécifique. Ces attaques impliquent généralement de collecter des informations sur la ou les cibles à l'avance afin de mieux créer des emails de phishing pour manipuler les victimes potentielles..
  • Clone phishing utilise un email légitime et déjà livré avec en pièce jointe ou un lien dont le contenu et l'adresse sont clonés. Le lien / pièce jointe est ensuite remplacé par un site malveillant ou une pièce jointe.
  • Attaques à la baleine s'adressent aux cadres supérieurs ou à d'autres cibles de premier plan. Ces escroqueries prennent généralement la forme de courriels professionnels ou juridiques importants et ont même inclus des assignations à comparaître contrefaites..
  • Phishing par SMS, ou smishing, utilise des messages texte sur le téléphone portable pour parcourir les informations personnelles des destinataires.

(Image: © Pixelcreatures / Pixabay)

Stratégies de sécurité low-tech

Bien que les filtres de courrier électronique et d’autres technologies de sécurité puissent empêcher les courriels de phishing d’accéder aux boîtes de réception de vos clients, les criminels à l’origine de ces escroqueries mettent constamment à jour leurs techniques afin d’éviter leur détection. Le phishing s'appuie fortement sur la manipulation psychologique, et les utilisateurs finaux sont le maillon le plus faible de la chaîne..

Même des stratégies basiques et peu techniques peuvent vous aider à protéger votre entreprise et vos clients des coûts et des conséquences d’une attaque de phishing. Ceux-ci incluent:

Entraînement

Fournissez une formation de sensibilisation aux utilisateurs finaux pour aider le personnel à reconnaître les signes révélateurs d'hameçonnage - noms de site Web mal orthographiés, pièces jointes étrangement nommées, etc. Les employés doivent “flotter” sur les noms d'expéditeurs dans les e-mails et les liens incorporés pour vous assurer qu'ils correspondent au compte d'origine ou à un site Web légitime.

Assurez-vous qu'ils connaissent également les meilleures pratiques, comme ne jamais vous connecter à un site Web auquel ils ont accédé via un lien de courrier électronique..

Adresses électroniques désignées

Si l'entreprise reçoit régulièrement des e-mails légitimes pour des transactions financières, par exemple, elle peut configurer des adresses e-mail spécifiques uniquement pour ces demandes. Limitez l'exposition de ces adresses sur des sites publics, ce qui peut aider à réduire leur empreinte cible en matière de phishing.

Noms de code / mots de code

Les noms de code ne sont pas réservés aux espions. Les employés ou les clients peuvent établir des formats de courrier électronique spécifiques ou des mots de code à utiliser pour la correspondance, ce qui permet au destinataire de savoir que le courrier électronique est légitime..

Appliquer les règles de messagerie

Configurez des stratégies pour minimiser le nombre de transactions sensibles effectuées par courrier électronique. Si, par exemple, les employés savent que les autorisations financières ne doivent être effectuées qu'en personne ou par téléphone, par exemple, il est peu probable qu'ils tombent sous le charme d'une tentative d'hameçonnage en leur demandant de le faire par courrier électronique..

Le phishing est une menace croissante et en constante évolution. Il est donc important de rester au courant des dernières menaces et des mesures que votre entreprise peut prendre pour limiter ces attaques..

Jason Howells, directeur des ventes EMEA chez Barracuda MSP

  • Nous avons également mis en évidence le meilleur antivirus