{"id":266447,"date":"2024-06-04T12:21:19","date_gmt":"2024-06-04T12:21:19","guid":{"rendered":"https:\/\/www.ninjaone.com\/?post_type=content_hub&p=266447"},"modified":"2024-06-04T12:33:54","modified_gmt":"2024-06-04T12:33:54","slug":"qu-est-ce-que-le-spear-phishing","status":"publish","type":"content_hub","link":"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/qu-est-ce-que-le-spear-phishing\/","title":{"rendered":"Qu’est-ce que le Spear Phishing\u00a0? D\u00e9finition, exemples et pr\u00e9vention"},"content":{"rendered":"

Le phishing (hamme\u00e7onnage) est une forme d’ing\u00e9nierie sociale qui incite les utilisateurs \u00e0 cliquer sur des liens malveillants ou \u00e0 naviguer sur de faux sites web pour obtenir des informations personnelles (Cybersecurity & Infrastructure Security Agency<\/a>). S’il existe de nombreuses formes de phishing, le spear phishing (hamme\u00e7onnage cibl\u00e9) est l’une de ses formes les plus dangereuses.<\/p>\n

Contrairement aux autres formes de phishing, le spear phishing<\/strong> est une attaque qui cible une personne, g\u00e9n\u00e9ralement sous la forme d’un e-mail cens\u00e9 provenir d’un exp\u00e9diteur de confiance. Une attaque de spear phishing vise \u00e0 infecter un appareil avec un logiciel malveillant<\/a> ou \u00e0 inciter le destinataire \u00e0 effectuer une autre action qui profitera \u00e0 l’attaquant, comme la divulgation d’informations personnelles ou le transfert d’argent sur un faux compte bancaire.<\/p>\n

Le spear fishing est peut-\u00eatre plus laborieux \u00e0 mettre en place pour les cybercriminels, mais il est le plus lucratif. Par exemple, la Federal Trade Commission<\/a> a r\u00e9cemment annonc\u00e9 que, en 2023, les escroqueries \u00e0 l’investissement \u00e0 l’\u00e9chelle nationale ont atteint la somme impressionnante de 10 milliards de dollars (environ 9 milliards d’euros), soit une augmentation de 14\u00a0%<\/strong> par rapport \u00e0 2022. Les experts ont constat\u00e9 que les escroqueries par imposture, telles que les e-mails d’hame\u00e7onnage cibl\u00e9, ont contribu\u00e9 \u00e0 cette augmentation. Et il est malheureusement pr\u00e9vu que ce nombre augmente au cours des prochaines ann\u00e9es.<\/p>\n

Soyez au courant des principales vuln\u00e9rabilit\u00e9s qui affectent les entreprises informatiques \u00e0 l’heure actuelle.<\/p>\n

T\u00e9l\u00e9chargez le guide d\u00e8s aujourd’hui<\/a>.<\/p>\n<\/div>\n

Qu’est-ce que le spear phishing\u00a0?<\/h2>\n

Le spear phishing est une cyberattaque hautement personnalis\u00e9e et calcul\u00e9e qui vise des particuliers ou des entreprises. G\u00e9n\u00e9ralement, ces attaques sont men\u00e9es par le biais d’e-mails d’hame\u00e7onnage qui semblent l\u00e9gitimes et encouragent le destinataire \u00e0 partager des informations sensibles avec l’exp\u00e9diteur. La plupart des courriels de spear phishing sont con\u00e7us pour voler des informations financi\u00e8res, telles que les donn\u00e9es des cartes de cr\u00e9dit.<\/p>\n

Cependant, avec l’\u00e9volution constante du paysage g\u00e9opolitique, les attaques de spear phishing incluent d\u00e9sormais l’infection des appareils par des logiciels malveillants, le vol d’identit\u00e9 ou m\u00eame la fraude financi\u00e8re. Les informations vol\u00e9es sont ensuite revendues sur le march\u00e9 noir ou utilis\u00e9es comme app\u00e2t pour que vous payiez le criminel.<\/p>\n

Discerner le phishing du spear phishing et du whaling<\/h2>\n

Le phishing, le spear phishing et le whaling sont des types courants de cyberattaques<\/a>, mais ayant chacun leurs sp\u00e9cificit\u00e9s.<\/p>\n

Le phishing (hamme\u00e7onnage)<\/h3>\n

Le phishing utilise des courriels, des SMS ou des sites web frauduleux pour inciter les gens \u00e0 divulguer des informations sensibles. Compar\u00e9 au spear phishing et au whaling, le phishing est le moins sophistiqu\u00e9, privil\u00e9giant la quantit\u00e9 \u00e0 la qualit\u00e9. Les attaques de phishing sont g\u00e9n\u00e9ralement tr\u00e8s g\u00e9n\u00e9riques et envoy\u00e9es \u00e0 de nombreuses personnes simultan\u00e9ment. Un bon moyen de d\u00e9tecter un courriel de phishing est de v\u00e9rifier les formules d’introduction. Si l’on s’adresse \u00e0 vous avec un simple \u00ab\u00a0Bonjour, utilisateur<\/em>\u00a0\u00bb ou \u00ab\u00a0Bonjour, client<\/em>\u00a0\u00bb, il serait judicieux de rester sur vos gardes.<\/p>\n

Le spear phishing (hamme\u00e7onnage cibl\u00e9)<\/h3>\n

Le spear phishing met l’accent sur la qualit\u00e9, en envoyant des e-mails hautement personnalis\u00e9s \u00e0 des personnes cibl\u00e9es. En raison de la quantit\u00e9 de recherches n\u00e9cessaires pour r\u00e9ussir une attaque, le spear phishing est moins courant, mais plus efficace.<\/p>\n

Le whaling (\u00ab\u00a0chasse \u00e0 la baleine\u00a0\u00bb)<\/h3>\n

Le whaling utilise la m\u00eame strat\u00e9gie personnalis\u00e9e que les attaques de spear phishing, mais il ne vise que les cadres sup\u00e9rieurs et les cadres de haut niveau. Certains consid\u00e8rent whaling et spear phishiing comme un m\u00eame type d’attaque, quand d’autres les diff\u00e9rencient. Pour les besoins de cet article, nous consid\u00e9rerons ces deux attaques comme les deux faces d’une m\u00eame entit\u00e9.<\/p>\n

Pourquoi le spear phishing est-il si dangereux\u00a0?<\/h2>\n

Au d\u00e9part, le spear phishing semble facile \u00e0 rep\u00e9rer. Un e-mail suspect\u00a0? Pas de probl\u00e8me\u00a0! Quelqu’un demande des informations personnelles\u00a0? Pff, \u00e0 bloquer imm\u00e9diatement.<\/p>\n

Sauf qu’en r\u00e9alit\u00e9, les attaques de spear phishing sont bien plus sophistiqu\u00e9es. Les cybercriminels effectuent des recherches approfondies sur votre entreprise et vous. En utilisant toutes les informations qu’ils peuvent trouver (y compris sur vos comptes publics sur les r\u00e9seaux sociaux), ils peuvent cr\u00e9er une attaque exceptionnellement bien con\u00e7ue et adapt\u00e9e pour vous faire croire que ce que vous lisez provient d’une source l\u00e9gitime.<\/p>\n

Par cons\u00e9quent, m\u00eame les cadres sup\u00e9rieurs et les dirigeants peuvent se retrouver \u00e0 ouvrir des e-mails qu’ils pensent s\u00fbrs.<\/p>\n

Comment fonctionnent les attaques par spear phishing\u00a0?<\/h2>\n

La cr\u00e9ation d’une escroquerie par spear phishing se fait en quatre \u00e9tapes.<\/p>\n

\"D\u00e9roulement<\/p>\n

 <\/p>\n

Les cybercriminels commencent par d\u00e9finir leur attaque. Il s’agit de savoir quelles sont les informations dont ils ont besoin et comment cr\u00e9er leur e-mail de fa\u00e7on \u00e0 obtenir ces donn\u00e9es. Par exemple, si le hacker veut obtenir les informations relatives \u00e0 votre carte de cr\u00e9dit, il doit d\u00e9terminer le meilleur moyen de les obtenir de vous, peut-\u00eatre en se faisant passer pour votre banque.<\/p>\n

\u00c0 partir de l\u00e0, il dresse une liste de cibles possibles et commence \u00e0 la r\u00e9duire pour trouver celle qui a le plus de valeur. \u00c0 noter que le terme \u00ab\u00a0valeur\u00a0\u00bb peut avoir diff\u00e9rentes significations. Il ne s’agit pas seulement d’une personne qui a le plus \u00e0 perdre (m\u00eame si c’est un facteur consid\u00e9rable). Au contraire, il s’agit \u00e9galement d’une cible qui peut \u00eatre facilement manipul\u00e9e et amen\u00e9e par la ruse \u00e0 accomplir l’action souhait\u00e9e. Gardez \u00e0 l’esprit que les cybercriminels recherchent le moyen le plus facile de gagner, \u00e0 moins que la r\u00e9compense financi\u00e8re ne soit trop belle pour \u00eatre refus\u00e9e.<\/p>\n

La troisi\u00e8me \u00e9tape est la recherche, qui est la partie la plus longue du processus. Les cybercriminels passent \u00e9norm\u00e9ment de temps \u00e0 se renseigner sur tout ce qui vous concerne, de votre travail \u00e0 votre animal de compagnie, en passant par la camarade de jeu du cousin de votre amie \u00e0 l’\u00e9cole maternelle. Tout ce qui peut \u00eatre utilis\u00e9 pour vous faire croire \u00e0 la l\u00e9gitimit\u00e9 de l’escroquerie sera recueilli. Ces informations seront utilis\u00e9es lors de la quatri\u00e8me \u00e9tape\u00a0: la cr\u00e9ation de l’e-mail de spear phishing.<\/p>\n

Ce dernier sera soigneusement formul\u00e9 pour para\u00eetre aussi authentique que possible. De la m\u00eame mani\u00e8re, il y aura un sentiment d’urgence pour vous pousser \u00e0 r\u00e9pondre imm\u00e9diatement en donnant certains d\u00e9tails ou en t\u00e9l\u00e9chargeant un fichier sp\u00e9cifique. Certains e-mails de spear phishing peuvent vous diriger vers un faux site web de votre banque, o\u00f9 il vous sera demand\u00e9 de vous connecter avec votre nom d’utilisateur et votre mot de passe.<\/p>\n

Exemples d’e-mails de spear phishing<\/h2>\n

Voici quelques exemples d’e-mails de phishing<\/a> dont se m\u00e9fier.<\/p>\n

1. E-mails de compromission des entreprises<\/h3>\n

Selon le rapport du FBI sur la criminalit\u00e9 en ligne<\/a>, les pertes potentielles attribu\u00e9es \u00e0 ce type de phishing ont d\u00e9pass\u00e9 12,5 milliards de dollars (environ 11,5 milliards d’euros) en 2023 et devraient \u00eatre encore plus importantes en 2024. Au niveau national, le d\u00e9lit le plus fr\u00e9quemment signal\u00e9 est le phishing, le type le plus courant \u00e9tant une forme d’e-mail professionnel compromis.<\/p>\n

Dans ce type d’attaque, un hacker se fait passer pour un employ\u00e9 (une coll\u00e8gue, un patron ou un fournisseur) et vous demande d’effectuer une action, comme virer de l’argent ou modifier les coordonn\u00e9es d’un compte bancaire. C’est ce qu’on appelle l’usurpation d’adresse \u00e9lectronique<\/a>.<\/p>\n

Exemple concret\u00a0: L’un des exemples les plus c\u00e9l\u00e8bres est <\/em>Evaldas Rimasauskas<\/em><\/a> qui a manipul\u00e9 de grandes entreprises (dont Facebook et Google) pour leur faire payer environ 121 millions de dollars (environ 111 millions d’euros) de fausses factures.\u00a0<\/em><\/p>\n

2. Le whaling (\u00ab\u00a0chasse \u00e0 la baleine\u00a0\u00bb)<\/h3>\n

Le whaling s’attaque aux cadres sup\u00e9rieurs pour obtenir des informations sensibles sur une entreprise ou pour les manipuler afin qu’ils effectuent des virements bancaires de grande valeur. L’origine de son nom est sans aucun doute \u00e0 chercher du c\u00f4t\u00e9 de Moby Dick, soit chasser le \u00ab\u00a0gros poisson\u00a0\u00bb pour obtenir la r\u00e9compense ultime. Il convient de noter que si toutes les attaques de spear phishing sont cibl\u00e9es, le whaling se concentre sur des personnes importantes exer\u00e7ant des fonctions essentielles, telles que le PDG ou le Directeur des Op\u00e9rations.<\/p>\n

Exemple concret\u00a0: Consid\u00e9r\u00e9e comme l’une des <\/em>plus grandes cyberfraudes \u00e0 Pune<\/em><\/a>, une soci\u00e9t\u00e9 immobili\u00e8re indienne a perdu environ 40 millions de roupies (environ 440 000 euros) \u00e0 la suite d’un hame\u00e7onnage de type whaling. <\/em><\/p>\n

3. Fraude au pr\u00e9sident<\/h3>\n

\u00c9galement connue sous le nom d’hame\u00e7onnage de cadres, la fraude au pr\u00e9sident consiste \u00e0 se faire passer pour un cadre sup\u00e9rieur afin d’inciter les employ\u00e9s \u00e0 effectuer des virements \u00e9lectroniques non autoris\u00e9s ou \u00e0 partager des donn\u00e9es sensibles avec le hacker. Contrairement \u00e0 la chasse \u00e0 la baleine, qui vise le cadre sup\u00e9rieur, l’escroquerie au pr\u00e9sident vise les employ\u00e9s de niveau inf\u00e9rieur qui agissent en vertu d’une pr\u00e9somption d’autorit\u00e9.<\/p>\n

Exemple concret\u00a0: Un employ\u00e9 du secteur financier <\/em>a vir\u00e9 25 millions de dollars (environ 23 millions d’euros)<\/em><\/a> sur un compte frauduleux apr\u00e8s que son directeur financier lui a \u00ab\u00a0demand\u00e9\u00a0\u00bb de le faire. Il s’av\u00e8re que le directeur des op\u00e9ration \u00e9tait un deep-fake g\u00e9n\u00e9r\u00e9 par IA.\u00a0<\/em><\/p>\n

Comment reconna\u00eetre une attaque de spear phishing<\/h2>\n

Le meilleur moyen de pr\u00e9venir une attaque de spear phishing est de lire l’e-mail avant de cliquer sur un lien ou d’ouvrir une pi\u00e8ce jointe. Malheureusement, de nombreux utilisateurs supposent qu’un e-mail est s\u00fbr sans v\u00e9rifier la validit\u00e9 ou le contenu de l’exp\u00e9diteur. Cela est d’autant plus vrai si l’e-mail est cens\u00e9 provenir d’un sup\u00e9rieur hi\u00e9rarchique. Les hackers en tirent profit\u00a0: ils misent sur le fait que vous ne vous poserez pas de questions sur un courrier \u00e9lectronique personnalis\u00e9 ou d’apparence officielle.<\/p>\n

Cela dit, il n’existe pas de m\u00e9thode unique pour d\u00e9tecter une attaque de spear phishing. Il est toujours pr\u00e9f\u00e9rable de se fier \u00e0 son jugement. Si vous avez l’impression que quelque chose ne va pas, il n’y a pas de mal \u00e0 demander \u00e0 votre directeur, \u00e0 votre superviseur ou \u00e0 la personne qui vous a pr\u00e9tendument envoy\u00e9 ce courriel si les informations fournies sont correctes.<\/p>\n

Parmi les signaux d’alerte les plus courants, on peut citer\u00a0:<\/p>\n