Jurgen Van Eynde

Les e-mails d’hameçonnage peuvent sembler anodins au premier abord, car il n’y a souvent pas de conséquences immédiates visibles si vous tombez dans le piège. Mais les risques sont bien réels.

En outre, ils représentent une menace sérieuse non seulement pour les individus, mais aussi pour les organisations tout entières. Un seul employé peut mettre en danger une entreprise entière en se faisant piéger par une attaque d’hameçonnage.

Voici quelques raisons pour lesquelles ces attaques sont si dangereuses :

• Vol de données : Si vous êtes victime d’hameçonnage, les attaquants peuvent accéder à vos données personnelles, telles que vos identifiants de connexion, vos numéros de compte bancaire et vos informations de carte de crédit.

• Usurpation d’identité : Avec l’accès à vos données personnelles, les cybercriminels peuvent usurper votre identité et l’utiliser à des fins frauduleuses, comme ouvrir des comptes bancaires ou demander des prêts en votre nom.

• Pertes financières : Les attaques d’hameçonnage peuvent entraîner des pertes financières pour vous ou votre entreprise si les criminels accèdent à votre compte bancaire ou à vos informations de carte de crédit.

• Atteinte à la réputation : Si une entreprise est victime d’une attaque d’hameçonnage, cela peut nuire à sa réputation et entraîner une perte de confiance de la part de ses clients et partenaires. Imaginez par exemple un e-mail de masse contenant un message désagréable envoyé à tous vos clients les plus importants en votre nom.

Vous reconnaîtrez peut-être ces conséquences potentielles dans notre précédent article sur l’authentification à deux facteurs (MFA).

Assez alarmant, n’est-ce pas ? Voyons donc comment vous pouvez vous protéger, vous et votre entreprise, contre l’hameçonnage.

✅Soyez vigilant : De manière générale, nous devons tous être plus vigilants. Soyez méfiant face aux e-mails inattendus et aux demandes d’informations personnelles ou confidentielles. Si un e-mail vous semble suspect, ne cliquez surtout pas sur les liens qu’il contient et ne communiquez jamais d’informations confidentielles par e-mail, sauf si vous êtes absolument certain de l’identité de l’expéditeur. Si vous recevez un e-mail suspect, ignorez-le ou signalez-le comme indiqué précédemment.

✅Vérifiez les adresses d’expéditeur : Vérifiez toujours l’adresse électronique de l’expéditeur avant de répondre à un e-mail, surtout s’il vous demande des informations sensibles.

✅Signalez les e-mails suspects : En cas de doute, signalez l’e-mail via le bouton intégré dans Outlook ou Gmail, comme expliqué précédemment dans cet article.

✅Utilisez des outils d’authentification : Utilisez des outils d’authentification tels que l’authentification à deux facteurs (2FA ou MFA) pour protéger vos comptes contre tout accès non autorisé. Pour en savoir plus, consultez notre article sur la MFA.

✅Installez un logiciel de sécurité : Assurez-vous d’utiliser un logiciel de sécurité à jour pour vous protéger contre les logiciels malveillants et autres menaces en ligne. Parmi les exemples de logiciels de sécurité de qualité, citons Microsoft Windows Defender, TrendMicro ou WithSecure.

En développant ces réflexes, vous réduirez considérablement les risques d’être victime d’une attaque d’hameçonnage et vous protégerez ainsi votre entreprise.

0,1 % garantit tout de même 345 000 attaques par jour. D’ailleurs, ces attaques constituent la plus grande menace, car elles tentent également de contourner le MFA.

Prêt à aller plus loin ? Nous examinons brièvement quelques-unes des méthodes utilisées par les cybercriminels pour contourner le MFA :

• Les criminels peuvent utiliser un robot OTP (One-Time Password). Ils tentent alors d’obtenir ou d’intercepter un mot de passe à usage unique (c’est-à-dire un code à usage unique donné lors de la réinitialisation d’un mot de passe ou de la vérification de votre compte).
  Pour ce faire, on utilise souvent ce que l’on appelle des “robocalls”, qui vous contactent et vous informent que votre compte présente une activité suspecte. Vous devez alors vérifier votre compte en entrant un OTP, ce qui permet au cyber-attaquant de s’emparer de votre code OTP et de se connecter sans problème à votre compte. Outre l’utilisation de robocalls, l’envoi de courriers d’hameçonnage est également un moyen courant de s’emparer du code OTP de votre compte.

• Une deuxième méthode utilisée par les cybercriminels pour contourner le MFA consiste à tirer parti de ce que l’on appelle la lassitude à l’égard du MFA. Dans ce cas, le pirate essaie de vous inonder de questions MFA (“MFA prompts”) à tel point que, en raison du risque de répétition, vous êtes moins vigilant et approuvez un accès sans le vérifier, ce qui permet au pirate d’obtenir un accès complet à votre compte, causant souvent de graves problèmes. Bien que des sociétés comme Microsoft puissent rapidement détecter et bloquer ces méthodes, il est toujours important d’être vigilant pendant le processus du MFA et de valider exactement ce pour quoi vous devez donner votre validation.

• Réutilisation ou duplication des jetons actifs. Dans cette méthode un peu plus complexe, l’attaquant tentera de dupliquer votre mot de passe actuel et votre session MFA en utilisant les méthodes ci-dessus (fatigue MFA, hameçonnage, logiciels malveillants, etc.). Cette méthode est de plus en plus répandue.

Il existe un certain nombre d’autres méthodes par lesquelles les cybercriminels tentent de contourner l’authentification multifactorielle, mais nous vous présentons ici nos trois principales méthodes.

Il est important de comprendre que les pirates informatiques deviennent de plus en plus intelligents et qu’ils développeront donc de nouvelles méthodes pour pénétrer dans votre compte, même s’il est protégé par le MFA.

Utilisez des applications Authenticator telles que Microsoft Authenticator et ne comptez pas uniquement sur l’utilisation d’un SMS comme couche de protection supplémentaire. Un SMS est déjà une amélioration, mais il est moins sûr qu’une application Authenticator ;

✅Ne jamais partager les codes de sécurité ;

✅Utiliser des gestionnaires de mots de passe, tels que LastPass, Bitwarden et Keeper ;

✅Choisissez des mots de passe complexes pour vos comptes. C’est un cliché, mais un mot de passe qui contient à la fois des lettres majuscules et minuscules, des chiffres et des caractères spéciaux est en effet beaucoup plus sûr. L’utilisation d’acronymes ou de sigles comme mots de passe est un moyen populaire pour vous aider à vous souvenir de mots de passe complexes ;

✅Créer un nouveau mot de passe unique pour chaque compte. De cette façon, vous évitez la violation de plusieurs comptes lorsqu’un pirate découvre un seul mot de passe.