Com­prendre l’ha­me­çon­nage : dé­fi­ni­tion et aperçu des méthodes

L’ha­me­çon­nage est considéré comme l’une des plus anciennes es­cro­que­ries depuis le lancement d’Internet. Les cy­ber­cri­mi­nels tentent d’in­ter­cep­ter les mots de passe sensibles, les données bancaires et de paiement par le biais de l’in­gé­nie­rie sociale, des emails de phishing ou des pro­grammes mal­veil­lants. Alors que l’ha­me­çon­nage classique utilisait des liens et des pièces jointes avec des re­di­rec­tions mal­veil­lantes ou des té­lé­char­ge­ments de pro­grammes mal­veil­lants, les méthodes modernes d’ha­me­çon­nage ne s’appuient plus né­ces­sai­re­ment sur la pu­bli­ca­tion in­vo­lon­taire de données im­por­tantes.

Pensez au petit chaperon rouge et au grand méchant loup : le grand méchant loup demande au petit chaperon rouge où elle vit, quel est le nom de sa grand-mère et ce qu’elle trans­porte dans son panier. Grande naïve, le petit chaperon rouge partage des in­for­ma­tions im­por­tantes avec ce loup courtois. Il ne faut pas longtemps au loup pour se retrouver dans la maison et prétendre être la grand-mère du petit chaperon rouge. Imaginez main­te­nant ce loup dia­bo­lique comme étant un email de phishing.

Le mot « phishing » dérive du mot anglais « fishing », désignant la pêche en français, car les victimes de l’ha­me­çon­nage sont attirées comme les poissons. Les faux emails des banques, des services d’abon­ne­ment et de paiement, ou de soi-disant amis ou collègues, agissent comme des vers à l’hameçon. Les personnes visées re­mar­quent bien trop tard qu’elles sont déjà har­pon­nées au dangereux crochet de phishing.

Même avant l’arrivée d’Internet, le vol de données employant la ruse faisait partie du catalogue d’activités des criminels. Il s’agissait ici du shoulder surfing la plupart du temps, où des données im­por­tantes telles que des codes PIN, des adresses, des données bancaires ou des numéros de téléphone étaient es­pion­nées au-dessus de l’épaule. L’ha­me­çon­nage se présente comme la dernière évolution du vol de données pour la gé­né­ra­tion Internet. Vous avez pro­ba­ble­ment déjà vu des emails passer dans votre boîte de réception, où votre banque supposée expose un problème urgent, Amazon souhaite livrer un paquet que vous n’avez jamais commandé, ou un oncle inconnu vous a légué un héritage de millions de dollars. La liste des méthodes de phishing est longue et s’allonge chaque année.

L’objectif de l’ha­me­çon­nage a pour point de mire vos données : données bancaires, in­for­ma­tions sur les cartes de crédit, mots de passe pour les services bancaires en ligne, les boutiques en ligne, les comptes de mes­sa­ge­rie ou les backends de sites Web. Plus les données sont per­son­nelles et sensibles, plus elles sont con­voi­tées. Le vol de données est commis par des fraudeurs de phishing qui re­di­ri­gent des victimes vers des sites falsifiés pour les y faire saisir des in­for­ma­tions per­son­nelles. Avec les données volées, les fraudeurs usant de l’ha­me­çon­nage peuvent vous nuire fi­nan­ciè­re­ment, voler votre identité, mul­ti­plier les attaques d’ha­me­çon­nage auprès de vos contacts, ou corrompre les données de l’en­tre­prise.

L’ha­me­çon­nage sert également souvent de mar­che­pied à d’autres attaques par logiciels mal­veil­lants, ran­som­wares, spywares et sca­re­wares. Les pièces jointes aux courriers élec­tro­niques de phishing contenant des macros ou du code mal­veil­lant sont également utilisées pour installer des logiciels mal­veil­lants sur les or­di­na­teurs.

À l’image de la tech­no­lo­gie et des com­pé­tences nu­mé­riques, les pratiques et les méthodes des fraudeurs de phishing con­nais­sent une évolution per­pé­tuelle. L’ha­me­çon­nage classique né­ces­si­tait encore un « coup de main » in­vo­lon­taire de la part des victimes de phishing en sai­sis­sant des données per­son­nelles ou en cliquant sur des liens et des pièces jointes. Les nouvelles méthodes d’ha­me­çon­nage en revanche ne né­ces­si­tent plus de telles actions.

Les types ca­rac­té­ris­tiques d’ha­me­çon­nage sont les suivants :

• Phishing par email : faux emails, qui con­tien­nent gé­né­ra­le­ment des liens vers des sites Web mal­veil­lants, des té­lé­char­ge­ments ou des logiciels mal­veil­lants dans des pièces jointes
• Phishing par site Web : sites Web factices qui incitent les uti­li­sa­teurs à saisir des données im­por­tantes ou qui ins­tal­lent des logiciels mal­veil­lants, méthode également connue sous le nom de spoofing
• Vishing : la méthode appelée vishing emploie des appels frau­du­leux pour pratiquer de l’ha­me­çon­nage té­lé­pho­nique ou vocal.
• Smishing : le smishing recourt à de faux SMS ou messages de mes­sa­ge­rie. Ils sont conçus pour inciter les uti­li­sa­teurs à cliquer sur des liens, à té­lé­char­ger des logiciels mal­veil­lants ou à divulguer des données.
• Phishing sur les réseaux sociaux : au sein des réseaux sociaux, l’ha­me­çon­nage prend notamment la forme du dé­tour­ne­ment de comptes de réseaux sociaux ou de la création de copies de profils trom­peuses. Ceux-ci peuvent être utilisés pour dérober des données sensibles à des victimes et à leurs contacts.

Les pratiques d’ha­me­çon­nage courantes peuvent être dis­tin­guées entre les méthodes ciblées de spear phishing épaulées par une in­gé­nie­rie sociale intensive et l’ha­me­çon­nage de masse.

Dans le cas du spear phishing ou « ha­me­çon­nage ciblé » en français, les cy­ber­cri­mi­nels es­pion­nent un petit groupe cible ou une seule victime. Des in­for­ma­tions publiques telles que les adresses de mes­sa­ge­rie, les listes d’amis, les parcours et les titres pro­fes­sion­nels sont col­lec­tées à cet effet à l’aide de l’in­gé­nie­rie sociale. Les criminels génèrent ensuite des emails qui semblent au­then­tiques à s’y tromper et provenant de contacts, sociétés, banques ou con­nais­sances. Il s’agit notamment d’un lien vers un site Web pro­fes­sion­nel falsifié qui vous invite à saisir vos mots de passe, vos in­for­ma­tions bancaires ou d’autres in­for­ma­tions. Le faux email peut aussi vous inciter à cliquer sur des pièces jointes mal­veil­lantes. L’ha­me­çon­nage ciblé peut préparer des attaques à grande échelle contre des en­tre­prises ou le vol d’actifs de l’en­tre­prise en es­pion­nant les données des PDG.

Tandis que l’ha­me­çon­nage ciblé so­phis­ti­qué se concentre sur la qualité de la con­tre­fa­çon, les campagnes de phishing de grande envergure sont fo­ca­li­sées sur la quantité de victimes. Souvent, vous re­con­nais­sez le phishing de masse à des adresses email ma­ni­fes­te­ment in­cor­rectes, des re­di­rec­tions vers des sites Web et des URL http suspects et non chiffrés, ou à une grammaire qui laisse à désirer. Il peut également s’agir d’emails provenant de services d’ex­pé­di­tion ou de commande, même si vous n’avez rien commandé, ou de messages d’Amazon et de PayPal, même si vous n’avez pas de compte du tout. Un tel acte d’ha­me­çon­nage vise à sub­ti­li­ser autant de données sensibles que possible à travers le plus grand nombre possible de victimes po­ten­tielles.

Les tech­niques de phishing actuelles ne reposent plus sur l’in­te­rac­tion avec la victime. L’acte de cliquer sur des liens dangereux ou de saisir des données ne fait pas né­ces­sai­re­ment partie in­té­grante de l’ha­me­çon­nage dans les nouvelles tactiques mises en œuvre. Il suffit d’ouvrir un site Web ou un email infecté de code mal­veil­lant pour dé­clen­cher une attaque Man in the Middle. Cela permet à des cy­ber­cri­mi­nels de s’in­ter­ca­ler entre votre or­di­na­teur et l’Internet pour capturer votre com­mu­ni­ca­tion Internet avec vos données sensibles. L’aspect par­ti­cu­liè­re­ment perfide : dans une attaque de type Man in the Middle, il est souvent difficile de détecter la présence d’at­ta­quants si­len­cieux entre vous et des serveurs ciblés sur le World Wide Web.

Vous devriez porter attention à ces ma­ni­fes­ta­tions typiques afin de détecter les tactiques d’ha­me­çon­nage et de déceler les ten­ta­tives de phishing par mail :

1. Emails ou sites Web qui sont ma­ni­fes­te­ment formulés dans une grammaire ou une langue douteuse ;
2. Emails ou sites Web émanant de banques ou d’autres pres­ta­taires vous intimant de saisir des données per­son­nelles ou de vérifier votre compte et des données de paiement ;
3. Adresses email d’ex­pé­di­teurs pré­ten­du­ment officiels qui ne cor­res­pon­dent pas au nom de la société ou au nom de l’ex­pé­di­teur en question ;
4. Re­di­rec­tions vers des sites Web http ou vers des URL suspects, et uti­li­sa­tion de liens rac­cour­cis par des ré­duc­teurs d’URL comme bit.ly ;
5. Emails provenant d’adresses suspectes ou invitant à une action rapide, qui con­tien­nent des fichiers joints suspects portant des ex­ten­sions .exe, .docx, .xlsx ou des archives ZIP et RAR.

Certains cas d’ha­me­çon­nage à grande échelle ont été par­ti­cu­liè­re­ment mé­dia­ti­sés en raison de leur portée :

La fuite de nombreux emails du Parti démocrate américain en 2016 est l’un des cas d’ha­me­çon­nage les plus illustres et les plus riches de con­sé­quences. Les groupes de hackers Fancy Bear et Cozy Bear ont envoyé aux députés dé­mo­crates des messages d’ha­me­çon­nage les exhortant à modifier certains mots de passe. Le lien contenu a permis aux at­ta­quants d’in­ter­cep­ter des données de connexion et d’accéder à divers comptes de mes­sa­ge­rie de po­li­ti­ciens de haut rang. La pu­bli­ca­tion de données sur Wikileaks a eu un impact sig­ni­fi­ca­tif sur la victoire du futur président Donald Trump.

L’une des plus grandes attaques de hackers dirigées par la Russie contre le gou­ver­ne­ment allemand a pro­ba­ble­ment eu lieu de la fin 2014 à mai 2015. Elle a commencé par l’envoi d’emails de phishing aux députés qui ont placé des chevaux de Troie dans le système in­for­ma­tique interne et volé des mots de passe d’ad­mi­nis­tra­teur. En avril 2015, plusieurs députés du Bundestag ont reçu des mails provenant pré­ten­du­ment des Nations Unies, qui ins­tal­laient d’autres logiciels mal­veil­lants dans l’in­fras­truc­ture in­for­ma­tique de l’assemblée par­le­men­taire.

En 2017, les fraudeurs ont réussi à voler un butin d’environ 100 millions de dollars amé­ri­cains par le biais d’emails de phishing et d’une fausse identité d’en­tre­prise. L’arnaque a réussi, car l’en­tre­prise ainsi imitée ne pouvait à peine se dis­tin­guer d’un véritable par­te­naire com­mer­cial de Google et de Facebook. Le personnel de la grande en­tre­prise touchée a versé sans le savoir d’énormes sommes d’argent sur les comptes des hackers situés dans des paradis fiscaux.

Même si les attaques de phishing visent es­sen­tiel­le­ment les grandes en­tre­prises et les gou­ver­ne­ments, chaque uti­li­sa­teur n’est pas épargné par le risque de tomber dans un piège d’ha­me­çon­nage en ligne. Des as­so­cia­tions de con­som­ma­teurs comme Que Choisir ainsi que la Direction générale de la con­cur­rence, de la con­som­ma­tion et de la ré­pres­sion des fraudes publient ainsi ré­gu­liè­re­ment des exemples et des ex­pli­ca­tions sur les méthodes d’attaque actuelles mises en place par les fraudeurs de phishing.