Qu'est-ce que le phishing et le pharming ?
Notions de base
Les attaques d'ingénierie sociale reposent sur la manipulation psychologique pour tromper les personnes et recueillir des informations sensibles. Le phishing (hameçonnage) est un type d'attaque où un acteur malveillant se fait passer pour une entreprise ou une entité réputée. Il mise sur l'erreur humaine plutôt que sur l'exploitation de vulnérabilités matérielles ou logicielles.
Les courriels frauduleux sont l'outil le plus courant utilisé dans les attaques de phishing. Ces e-mails semblent légitimes et demandent des informations sensibles à l'utilisateur, comme les coordonnées de carte bancaire ou la réinitialisation d'un mot de passe. L'e-mail contient généralement un lien menant à un site falsifié qui ressemble au site original. Le clone phishing, le spear phishing et le pharming sont les principaux types d'attaques de phishing.
Dans l'écosystème des cryptomonnaies, les attaques de phishing sont également répandues. Les acteurs malveillants tentent de voler des Bitcoins ou d'autres monnaies numériques en usurpant des sites légitimes et en remplaçant les adresses de portefeuille par les leurs. En conséquence, les utilisateurs peuvent payer un service factice sans s'en rendre compte et se faire dérober leurs fonds.
Types de Phishing
Il existe plusieurs types de phishing, les attaquants les classant généralement selon la cible et le vecteur d'attaque. Voici quelques exemples courants :
- Clone Phishing : Dans ce type d'attaque, l'attaquant copie le contenu d'un e-mail légitime précédemment envoyé dans un e-mail similaire contenant un lien vers un site malveillant. L'attaquant peut prétendre qu'il s'agit d'un lien mis à jour ou nouveau, affirmant que l'ancien a expiré.
- Spear Phishing : Ciblé sur une personne ou une institution, le spear phishing est un type d'attaque plus sophistiqué dans lequel l'attaquant dresse d'abord le profil de la victime. Cela implique de collecter des informations sur la victime, comme les noms d'amis ou de membres de la famille, pour construire un message convaincant les incitant à visiter un site malveillant ou à télécharger un fichier infecté.
- Whaling : Une forme de spear phishing qui vise des personnes de haut profil, comme des PDG ou des responsables gouvernementaux.
- Typosquatting : Cette attaque redirige le trafic vers des sites contrefaits qui utilisent des orthographes issues d'autres langues, des fautes de frappe courantes ou des variations subtiles du domaine de premier niveau. Les phishers imitent l'interface de sites légitimes, profitant des utilisateurs qui se trompent en tapant ou en lisant l'URL.
- Email Spoofing : Les e-mails de phishing usurpent souvent les communications de sociétés ou d'individus légitimes. Ils présentent aux victimes des liens vers des sites malveillants contenant des pages de connexion déguisées ou des chevaux de Troie, keyloggers et autres scripts malveillants destinés à voler des informations personnelles.
- Pharming : Cette attaque consiste à empoisonner un enregistrement DNS qui redirige les visiteurs d'un site légitime vers un site frauduleux préalablement créé par l'attaquant. C'est l'attaque la plus dangereuse, car les enregistrements DNS échappent au contrôle de l'utilisateur, le laissant impuissant.
- Redirections de site : En exploitant des vulnérabilités, des acteurs peuvent insérer des redirections de sites qui installent des malwares sur les ordinateurs des utilisateurs, les redirigeant vers des URL différentes de celles prévues.
- Applications malveillantes : Les phishers peuvent aussi utiliser des applications malveillantes comme vecteur pour injecter des malwares qui surveillent votre comportement ou volent des informations sensibles. Elles peuvent se faire passer pour des traqueurs de prix, des portefeuilles ou d'autres outils liés à la crypto.
- Le « Watering Hole » : Les phishers profilent les utilisateurs pour déterminer les sites qu'ils fréquentent, puis scannent ces sites à la recherche de vulnérabilités. Si possible, ils injectent des scripts malveillants conçus pour cibler les utilisateurs lors de leur prochaine visite.
- Impersonation & Giveaways : Les phishers usurpent des figures influentes sur les réseaux sociaux, annonçant des cadeaux ou utilisant d'autres pratiques trompeuses pour cibler les utilisateurs crédules. Ils peuvent même pirater des comptes vérifiés, modifier les noms d'utilisateur pour imiter une vraie personnalité tout en conservant le statut vérifié et exploiter ces informations. Les phishers ciblent désormais massivement des plateformes comme Slack, Discord et Telegram, en usurpant des discussions, des individus et des services légitimes.
- Publicités : Les publicités payantes sont une autre tactique utilisée pour le phishing. Les attaquants utilisent de fausses annonces avec des domaines typosquattés et paient pour les remonter dans les résultats de recherche, apparaissant parfois en tête des résultats pour des entreprises ou services légitimes. Ils utilisent ces sites pour collecter des informations sensibles, y compris des identifiants de connexion pour des comptes de trading.
- Phishing par SMS et par téléphone : Les attaquants tentent d'obtenir des informations personnelles via le smishing (phishing par SMS) et le vishing (phishing par voix/téléphone).
Phishing vs Pharming
Le pharming est parfois considéré comme un type d'attaque de phishing, mais il fonctionne différemment. La différence clé est que le phishing nécessite une erreur de la victime, tandis que le pharming requiert seulement que la victime tente d'accéder à un site légitime dont l'enregistrement DNS a été compromis par l'attaquant.
Prévention des attaques de phishing
En matière de phishing, la pensée critique est votre meilleure défense. Demandez-vous si vous attendiez cet e-mail et si la personne a une raison légitime de demander les informations sollicitées. En cas de doute, contactez l'expéditeur par un autre canal.
Il est également important de vérifier le contenu et l'adresse e-mail de l'expéditeur en recherchant des signalements d'attaques similaires utilisant cette méthode.
Si vous recevez une demande de confirmation de vos identifiants, ne cliquez pas sur le lien dans l'e-mail. Essayez plutôt de confirmer votre compte par un autre moyen.
Méfiez-vous en vérifiant les URL. Survolez le lien pour voir s'il commence par HTTPS, mais gardez à l'esprit que cela ne garantit pas à lui seul la légitimité. Cherchez des fautes d'orthographe ou d'autres irrégularités.
Lorsque vous traitez des cryptomonnaies, soyez particulièrement vigilant. Ne partagez jamais votre clé privée de portefeuille Bitcoin et vérifiez la légitimité du vendeur avant d'effectuer une transaction. Contrairement aux cartes bancaires, il n'existe pas d'autorité centrale pour contester une transaction si quelque chose tourne mal.
Conclusion
Pour prévenir les cyberattaques, il est essentiel de comprendre les risques liés au phishing, l'une des techniques d'attaque les plus répandues. Même si les filtres anti-spam peuvent intercepter de nombreux e-mails frauduleux, il faut rester prudent et vigilant. Protégez vos informations sensibles et évitez de répondre à des demandes suspectes. Pour confirmer la légitimité d'une demande, utilisez un autre canal de communication. Évitez de cliquer sur des liens liés à des incidents de sécurité et, si possible, accédez directement au site via votre navigateur. Recherchez toujours HTTPS au début de l'URL. Prenez des précautions supplémentaires pour les transactions en cryptomonnaies, car il n'y a pas de recours en cas de fraude. Conservez vos clés privées et mots de passe en lieu sûr et ne faites confiance qu'après vérification.