What is Phishing?

Comment fonctionne l'hameçonnage

The basic element of a phishing attack is a message sent by email, social media, or other electronic communication means.

Un hameçonneur peut utiliser des ressources publiques, en particulier le réseau social, pour recueillir des informations sur l'expérience personnelle et professionnelle de sa victime. Ces sources sont utilisées pour recueillir des informations telles que le nom, la fonction et l'adresse électronique de la victime potentielle, ainsi que ses centres d'intérêt et ses activités. Le fraudeur peut alors utiliser ces informations pour créer un faux message fiable.

Typically, the emails the victim receives appear to come from a known contact or organization. Attacks are carried out through malicious attachments or links to malicious websites. Attackers often set up fake websites, which appear to be owned by a trusted entity like the victim’s bank, workplace, or university. Via these websites, attackers attempt to collect private information like usernames and passwords or payment information.

Some phishing emails can be identified due to poor copywriting and improper use of fonts, logos, and layouts. However, many cybercriminals are becoming more sophisticated at creating authentic-looking messages and are using professional marketing techniques to test and improve the effectiveness of their emails.

5 types d'attaques par hameçonnage

#1. Email Phishing

La plupart des attaques par hameçonnage sont envoyées par courrier électronique. Les attaquants enregistrent généralement de faux noms de domaine qui imitent de vraies organisations et envoient des milliers de demandes courantes aux victimes.

For fake domains, attackers may add or replace characters (e.g., my-bank.com instead of mybank.com), use subdomains (e.g., mybank.host.com), or use the trusted organization’s name as the email username (e.g., mybank@host.com).

Many phishing emails use a sense of urgency or a threat to cause a user to comply quickly without checking the source or authenticity of the email.

Les messages d'hameçonnage par courrier électronique ont l'un des objectifs suivants :

• Causing the user to click a link to a malicious website in order to install malware on their device.
• Causing the user to download an infected file and using it to deploy malware.
• Amener l'utilisateur à cliquer sur un lien vers un faux site web et à soumettre des données personnelles.
• Amener l'utilisateur à répondre et à fournir des données personnelles.

#2. Spear Phishing

Spear phishing includes malicious emails sent to specific people. The attacker typically already has some or all of the following information about the victim:

• Nom
• Lieu d'emploi
• Titre du poste
• Adresse électronique
• Des informations spécifiques sur leur fonction
• Des collègues de confiance, des membres de la famille ou d'autres contacts, ainsi que des échantillons de leurs écrits.

Ces informations permettent d'accroître l'efficacité des courriels d'hameçonnage et de manipuler les victimes pour qu'elles effectuent des tâches et des activités, telles que le transfert d'argent.

#3. Whaling

Whaling attacks target senior management and other highly privileged roles. The ultimate goal of whaling is the same as other types of phishing attacks, but the technique is often very subtle. Senior employees commonly have a lot of information in the public domain, and attackers can use this information to craft highly effective attacks.

Typically, these attacks do not use tricks like malicious URLs and fake links. Instead, they leverage highly personalized messages using information they discover in their research about the victim. For example, whaling attackers commonly use bogus tax returns to discover sensitive data about the victim and use it to craft their attack.

#4. Smishing and Vishing

This is a phishing attack that uses a phone instead of written communication. Smishing involves sending fraudulent SMS messages, while vishing involves phone conversations.

Dans un hameçonnage frauduleux typique, un pirate se fait passer pour un enquêteur de fraude pour une société de cartes de crédit ou une banque, et informe les victimes que leur compte a été violé. Les criminels demandent ensuite à la victime de fournir des informations sur sa carte de paiement, soi-disant pour vérifier son identité ou transférer de l'argent sur un compte sécurisé (qui est en réalité celui de l'attaquant).

Vishing scams may also involve automated phone calls pretending to be from a trusted entity, asking the victim to type personal details using their phone keypad.

#5. Angler Phishing

These attacks use fake social media accounts belonging to well-known organizations. The attacker uses an account handle that mimics a legitimate organization (e.g., “@pizzahutcustomercare”) and uses the same profile picture as the real company account.

Les attaquants profitent de la tendance des consommateurs à se plaindre et à demander de l'aide aux marques par le biais des médias sociaux. Cependant, au lieu de contacter la vraie marque, le consommateur contacte le faux compte social de l'attaquant.

Lorsque les attaquants reçoivent une telle demande, ils peuvent demander au client de fournir des informations personnelles afin qu'ils puissent identifier le problème et y répondre de manière appropriée. Dans d'autres cas, l'attaquant fournit un lien vers une fausse page d'assistance à la clientèle, qui est en fait un site web malveillant.

Quels sont les signes d'hameçonnage ?

Menaces ou sentiment d'urgence

Les courriers électroniques menaçant de conséquences négatives doivent toujours être traités avec scepticisme. Une autre stratégie consiste à utiliser l'urgence pour encourager ou exiger une action immédiate. Les hameçonneurs espèrent qu'en lisant le courriel à la hâte, ils n'examineront pas le contenu en profondeur et ne découvriront pas d'incohérences.

Style du message

An immediate indication of phishing is that a message is written with inappropriate language or tone. If, for example, a colleague from work sounds overly casual or a close friend uses formal language, this should trigger suspicion. Recipients of the message should check for anything else that could indicate a phishing message.

Demandes inhabituelles

Si un courriel vous demande d'effectuer des actions non standard, cela peut indiquer qu'il s'agit d'un courriel malveillant. Par exemple, si un courriel prétend provenir d'une équipe informatique spécifique et demande l'installation d'un logiciel, alors que ces activités sont généralement gérées de manière centralisée par le service informatique, il s'agit probablement d'un courriel malveillant.

Erreurs linguistiques

Misspellings and grammatical misuse are another sign of phishing emails. Most companies have set up spell-checking in their email clients for outgoing emails. Therefore, emails with spelling or grammatical errors should raise suspicion, as they may not originate from the claimed source.

Incohérences dans les adresses web

Un autre moyen facile d'identifier les attaques par hameçonnage consiste à rechercher les adresses électroniques, les liens et les noms de domaine qui ne correspondent pas. Par exemple, il est conseillé de vérifier une communication antérieure qui correspond à l'adresse électronique de l'expéditeur.

Recipients should always hover over a link in an email before clicking it to see the actual link destination. If the email is believed to be sent by Bank of America, but the domain of the email address does not contain “bankofamerica.com”, that is a sign of a phishing email.

Request for Credentials, Payment Information, or Other Personal Details

Dans de nombreux courriels de hameçonnage, les attaquants créent de fausses pages de connexion liées à des courriels qui semblent officiels. La fausse page de connexion comporte généralement une boîte de connexion ou une demande d'informations sur le compte financier. Si le courriel est inattendu, le destinataire ne doit pas entrer ses identifiants de connexion ni cliquer sur le lien. Par précaution, les destinataires doivent se rendre directement sur le site web qu'ils pensent être la source du courrier électronique.