Qu’est-ce que le phishing et comment fonctionne-t-il ?
Accueil
Articles
Qu’est-ce que le phishing et comment fonctionne-t-il ?

Qu’est-ce que le phishing et comment fonctionne-t-il ?

DĂ©butant
Publié le Nov 28, 2018Mis à jour le Mar 13, 2024
7m

Résumé

  • Le phishing, ou hameçonnage en français, est une pratique malveillante dans laquelle les attaquants se font passer pour des entitĂ©s dignes de confiance, afin d’inciter les individus Ă  rĂ©vĂ©ler des informations sensibles.

  • Restez vigilants face au phishing en identifiant les signes courants tels que les URL suspectes et les demandes urgentes d’informations personnelles.

  • DĂ©couvrez les diffĂ©rentes techniques de phishing, des escroqueries par e-mail les plus courantes au spear phishing (hameçonnage ciblĂ©) sophistiquĂ©es, afin de renforcer les dĂ©fenses de cybersĂ©curitĂ©.

Introduction

Le phishing est une tactique nĂ©faste par laquelle des acteurs malveillants se font passer pour des sources fiables pour inciter les gens Ă  partager des donnĂ©es sensibles. Dans cet article, nous allons vous expliquer ce qu’est le phishing, son fonctionnement et les mesures Ă  prendre pour Ă©viter de devenir la proie de telles escroqueries.

Fonctionnement du phishing

Le phishing repose principalement sur l’ingĂ©nierie sociale, une mĂ©thode par laquelle les attaquants manipulent les individus pour qu’ils divulguent des informations confidentielles. Les attaquants recueillent des informations personnelles auprĂšs de sources publiques (comme les rĂ©seaux sociaux) pour crĂ©er des e-mails semblant authentiques. Les victimes reçoivent souvent des messages malveillants semblant provenir de contacts familiers ou d’organisations rĂ©putĂ©es.

La forme la plus courante de phishing se produit par le biais d’e-mails contenant des liens ou des piĂšces jointes malveillants. En cliquant sur ces liens, vous risquez d’installer des logiciels malveillants sur votre appareil ou d’ĂȘtre redirigĂ© vers des sites Web contrefaits conçus pour voler vos informations personnelles et financiĂšres.

Bien qu’il soit plus facile de repĂ©rer les e-mails de phishing mal Ă©crits, les cybercriminels utilisent des outils avancĂ©s tels que les chatbots et les gĂ©nĂ©rateurs de voix par IA pour amĂ©liorer l’authenticitĂ© de leurs attaques. Il est donc difficile pour les utilisateurs de faire la distinction entre les communications authentiques et frauduleuses.

ReconnaĂźtre les tentatives de phishing

L’identification des e-mails de phishing peut ĂȘtre dĂ©licate, mais il existe certains signes que vous pouvez surveiller.

Signes les plus courants

Soyez prudent si le message contient des URL suspectes, utilise des adresses e-mail publiques, provoque la peur ou l’urgence, demande des informations personnelles ou comporte des fautes d’orthographe et de grammaire. Dans la plupart des cas, vous devriez pouvoir passer votre souris sur les liens pour vĂ©rifier les URL sans rĂ©ellement cliquer dessus.

Escroqueries liées aux paiements numériques

Les arnaqueurs par phishing se font souvent passer pour des services de paiement en ligne fiables comme PayPal, Venmo ou Wise. Les utilisateurs reçoivent des e-mails frauduleux les exhortant à vérifier leurs informations de connexion. Il est essentiel de rester vigilant et de signaler toute activité suspecte.

Escroqueries de phishing liées à la finance

Les escrocs se font passer pour des banques ou des institutions financiĂšres, invoquant des failles de sĂ©curitĂ© pour obtenir des informations personnelles. Les tactiques courantes comprennent les e-mails trompeurs sur les transferts d’argent ou les escroqueries par dĂ©pĂŽt direct ciblant les nouveaux employĂ©s. Les escrocs peuvent Ă©galement prĂ©tendre qu’une mise Ă  jour de sĂ©curitĂ© est urgente.

Escroqueries de phishing liées au travail

Ces escroqueries personnalisĂ©es impliquent des attaquants se faisant passer pour des cadres, des PDG ou des directeurs financiers, demandant des virements bancaires ou de faux achats. Le phishing vocal Ă  l’aide de gĂ©nĂ©rateurs vocaux d’IA par tĂ©lĂ©phone est une autre mĂ©thode utilisĂ©e par les escrocs.

Comment prévenir les attaques par phishing

Pour prĂ©venir les attaques de phishing, il est important d’utiliser plusieurs mesures de sĂ©curitĂ©. Évitez de cliquer directement sur des liens. Au lieu de cela, rendez-vous sur le site officiel de l’entreprise ou sur les canaux de communication pour vĂ©rifier si les informations que vous avez reçues sont lĂ©gitimes. Envisagez d’utiliser des outils de sĂ©curitĂ© tels qu’un logiciel antivirus, des pare-feu et des filtres anti-spam. 

Les organisations doivent Ă©galement utiliser des normes d’authentification des e-mails pour vĂ©rifier les e-mails entrants. Parmi les exemples courants de mĂ©thodes d’authentification des e-mails, citons DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting, and Conformance).

Pour les individus, il est essentiel d’informer leur famille et leurs amis des risques de phishing. Pour les entreprises, il est essentiel d’éduquer leurs employĂ©s sur les techniques de phishing et de fournir une formation de sensibilisation pĂ©riodique pour rĂ©duire les risques.

Si vous avez besoin d’aide et d’informations supplĂ©mentaires, recherchez des initiatives gouvernementales comme OnGuardOnline.gov et des organisations comme l’Anti-Phishing Working Group Inc. Ces initiatives fournissent des ressources et des conseils plus dĂ©taillĂ©s pour repĂ©rer, Ă©viter et signaler les attaques de phishing.

Types de phishing

Les techniques de phishing Ă©voluent et les cybercriminels utilisent diffĂ©rentes mĂ©thodes. Les diffĂ©rents types de phishing sont gĂ©nĂ©ralement classĂ©s en fonction de la cible et du vecteur d’attaque. Examinons cela de plus prĂšs.

Phishing par clonage

Un attaquant utilisera un e-mail lĂ©gitime prĂ©cĂ©demment envoyĂ© et copiera son contenu dans un e-mail similaire contenant un lien vers un site malveillant. L’attaquant peut Ă©galement prĂ©tendre qu’il s’agit d’un lien mis Ă  jour ou d’un nouveau lien, en indiquant que le prĂ©cĂ©dent Ă©tait incorrect ou a expirĂ©.

Spear phishing (harponnage)

Ce type d’attaque est axĂ© sur une personne ou une institution. Une attaque par harponnage est plus sophistiquĂ©e que les autres types de phishing car elle est ciblĂ©e. Cela signifie que l’attaquant recueille d’abord des informations sur la victime (ex : les noms d’amis ou de membres de la famille) et utilise ces donnĂ©es pour attirer la victime vers un fichier de site Web malveillant.

Pharming (détournement de domaine)

Un attaquant empoisonnera un enregistrement DNS qui, en pratique, redirigera les visiteurs d’un site Web lĂ©gitime vers un site frauduleux que l’attaquant a crĂ©Ă© auparavant. C’est la plus dangereuse des attaques car les enregistrements DNS ne sont pas sous le contrĂŽle de l’utilisateur, ce qui rend l’utilisateur impuissant Ă  se dĂ©fendre.

Whaling (harponnage de cadre supérieur)

Une forme d’attaque par harponnage qui cible les personnes riches et importantes, telles que les PDG et les reprĂ©sentants du gouvernement.

L’usurpation d’e-mail

Les e-mails de phishing usurpent gĂ©nĂ©ralement des communications provenant d’entreprises ou de personnes lĂ©gitimes. Les e-mails de phishing peuvent prĂ©senter aux victimes inconscientes des liens vers des sites malveillants, oĂč les attaquants collectent des identifiants de connexion et des informations personnelles Ă  l’aide de pages de connexion habilement dĂ©guisĂ©es. Les pages peuvent contenir des chevaux de Troie, des enregistreurs de frappe et d’autres scripts malveillants qui volent des informations personnelles.

Redirections de sites Web

Les redirections de sites Web dirigent les utilisateurs vers des URL diffĂ©rentes de celles que l’utilisateur avait l’intention de visiter. Les acteurs qui exploitent les vulnĂ©rabilitĂ©s peuvent insĂ©rer des redirections et installer des logiciels malveillants sur les ordinateurs des utilisateurs.

Typosquattage

Le typosquattage dirige le trafic vers des sites Web contrefaits qui utilisent des orthographes en langue Ă©trangĂšre, des fautes d’orthographe courantes ou des variations subtiles du domaine de premier niveau. Les arnaqueurs par phishing utilisent des domaines pour imiter les interfaces lĂ©gitimes des sites Web, en profitant des utilisateurs qui tapent ou lisent mal l’URL.

Fausses annonces payantes

Les publicitĂ©s payantes sont une autre tactique utilisĂ©e pour le phishing. Ces (fausses) publicitĂ©s utilisent des domaines que les attaquants ont typosquattĂ©s et pour lesquels ils ont payĂ© pour les faire apparaĂźtre dans les rĂ©sultats de recherche. Le site peut mĂȘme apparaĂźtre parmi les premiers rĂ©sultats de recherche sur Google.

Attaque par point d’eau

Lors d’une attaque par point d’eau, les arnaqueurs analysent les utilisateurs et dĂ©terminent les sites Web qu’ils consultent frĂ©quemment. Ils analysent ces sites Ă  la recherche de vulnĂ©rabilitĂ©s et tentent d’injecter des scripts malveillants conçus pour cibler les utilisateurs la prochaine fois qu’ils consulteront ce site Web.

Usurpation d’identitĂ© et faux concours

Il s’agit de l’usurpation d’identitĂ© de personnalitĂ©s influentes sur les rĂ©seaux sociaux. Les arnaqueurs par phishing peuvent se faire passer pour des dirigeants clĂ©s d’entreprises et annoncer des concours ou se livrer Ă  d’autres pratiques trompeuses. Les victimes de cette supercherie peuvent mĂȘme ĂȘtre ciblĂ©es individuellement par le biais de processus d’ingĂ©nierie sociale visant Ă  trouver des utilisateurs crĂ©dules. Les acteurs peuvent pirater des comptes vĂ©rifiĂ©s et modifier des noms d’utilisateur pour usurper l’identitĂ© d’un personnage rĂ©el tout en conservant un statut vĂ©rifiĂ©.

RĂ©cemment, les arnaqueurs ont fortement ciblĂ© des plateformes telles que Discord, X et Telegram dans le mĂȘme but : usurper des chats, usurper l’identitĂ© d’individus et imiter des services lĂ©gitimes.

Applications malveillantes

Les arnaqueurs par phishing peuvent Ă©galement utiliser des applications malveillantes qui surveillent votre comportement ou volent des informations sensibles. Les applications peuvent se prĂ©senter comme des outils de suivi de prix, des portefeuilles et d’autres outils liĂ©s Ă  la cryptomonnaie (qui ont une base d’utilisateurs prĂ©disposĂ©s Ă  trader et Ă  possĂ©der de la cryptomonnaie).

SMS et phishing vocal

Une forme de phishing par message, généralement par SMS ou messagerie vocale, qui encourage les utilisateurs à partager des informations personnelles.

Phishing vs. Pharming

Bien que certains considĂšrent le pharming (dĂ©tournement de domaine) comme un type d’attaque de phishing, le premier repose sur un mĂ©canisme diffĂ©rent. La principale diffĂ©rence entre le phishing et le pharming est que le phishing exige que la victime commette une erreur. En revanche, le dĂ©tournement de domaine exige uniquement que la victime tente d’accĂ©der Ă  un site Web lĂ©gitime dont l’enregistrement DNS a Ă©tĂ© compromis par l’attaquant.

Phishing dans l’espace blockchain et crypto

Bien que la technologie blockchain offre une sĂ©curitĂ© des donnĂ©es renforcĂ©e en raison de sa nature dĂ©centralisĂ©e, ses utilisateurs doivent rester vigilants face aux tentatives d’ingĂ©nierie sociale et de phishing. Les cybercriminels tentent souvent d’exploiter les vulnĂ©rabilitĂ©s humaines pour accĂ©der Ă  des clĂ©s privĂ©es ou Ă  des identifiants de connexion. Dans la plupart des cas, les escroqueries reposent sur une erreur humaine.

Les escrocs peuvent Ă©galement tenter d’inciter les utilisateurs Ă  rĂ©vĂ©ler leurs phrases de rĂ©cupĂ©ration ou Ă  transfĂ©rer des fonds vers de fausses adresses. Il est important de faire preuve de prudence et de suivre les bonnes pratiques de sĂ©curitĂ©.

Conclusion

En conclusion, il est essentiel de comprendre le phishing et de se tenir au courant de l’évolution des techniques pour protĂ©ger les renseignements personnels et financiers. En combinant des mesures de sĂ©curitĂ© robustes, l’éducation et la sensibilisation, les individus et les organisations peuvent se renforcer contre la menace toujours prĂ©sente du phishing dans notre monde numĂ©rique interconnectĂ©. Restez SAFU !

Pour plus d’informations

Avis de non-responsabilitĂ© et avertissement concernant les risques : ce contenu vous est prĂ©sentĂ© « tel quel » Ă  des fins d’information gĂ©nĂ©rale et pĂ©dagogiques uniquement, sans reprĂ©sentation ni garantie d’aucune sorte. Il ne doit pas ĂȘtre interprĂ©tĂ© comme un conseil financier, juridique ou venant d’un professionnel, ni comme un moyen de recommander l’achat d’un produit ou d’un service spĂ©cifique. Vous devriez vous renseigner auprĂšs des professionnels appropriĂ©s avant toute dĂ©cision. Lorsque l’article Ă  Ă©tĂ© rĂ©digĂ© par un contributeur tiers, veuillez remarquer que les opinions de l’article ne reflĂštent pas nĂ©cessairement celles de Binance Academy. Veuillez lire l’intĂ©gralitĂ© de notre avis de non-responsabilitĂ© ici pour en savoir plus. Les cours des actifs numĂ©riques peuvent ĂȘtre volatils. La valeur de votre investissement peut varier Ă  la baisse ou Ă  la hausse, et vous ne rĂ©cupĂ©rerez peut-ĂȘtre pas le montant que vous avez investi. Vous ĂȘtes seul(e) responsable de vos dĂ©cisions d’investissement et Binance Academy n’est pas responsable des pertes que vous pourriez subir. Ce contenu ne doit pas ĂȘtre interprĂ©tĂ© comme un conseil financier, juridique, ou venant d’un professionnel. Pour en savoir plus, veuillez vous reporter Ă  nos Conditions d’utilisation et Ă  l’avertissement concernant les risques.