Qu’est-ce que le phishing ?

Le phishing est un type d’attaque d’ingénierie sociale où les attaquants se font passer pour des entités de confiance, telles que des banques, des services cloud, des collègues de travail, etc., pour tromper la victime afin qu’elle révèle ses informations sensibles comme un mot de passe, un numéro de carte de crédit ou d’autres identifiants. Le phishing peut se produire sur divers supports comme l’email, le SMS, l’appel téléphonique ou un site web frauduleux.

Pourquoi le phishing est important en cybersécurité

Le phishing devient l’une des méthodes d’attaque les plus dangereuses. Il devient souvent un tremplin pour des dommages plus importants, des infections par des logiciels malveillants, des ransomwares, etc. Même les organisations avec un système de sécurité solide peuvent être vaincues par le phishing car il exploite la confiance humaine plutôt que les vulnérabilités techniques.

Types courants de phishing

• Phishing par email : faux email agissant comme des messages légitimes
• Spear Phishing : Phishing très ciblé visant des individus spécifiques avec un profil élevé dans une organisation
• Smishing : Attaques de phishing délivrées par SMS ou applications de messagerie
• Vishing : Attaque de phishing par appels téléphoniques
• Clone Phishing : Les attaquants copient un email original et modifient les liens ou pièces jointes avec des éléments malveillants

Signes d’une attaque de phishing

• Adresse de l’expéditeur suspecte
• Demande d’action rapide (“réinitialisez votre mot de passe maintenant”)
• Domaine très légèrement mal orthographié
• Demande d’informations sensibles (mots de passe, détails bancaires, carte de crédit, etc.)
• Pièces jointes ou liens suspects

Exemple

Une victime reçoit un email mentionnant qu’il provient de sa banque, demandant à la victime de “vérifier le compte”.

L’email inclut un lien vers un faux site de connexion qui prétend être identique au vrai. Une fois que la victime saisit ses identifiants sur le faux site, les attaquants les volent et accèdent à son véritable compte bancaire.

Comment se défendre contre le phishing

• Activez l’authentification multi-facteurs (MFA) pour protéger le compte même si les identifiants sont volés
• Formez les employés à la sensibilisation au phishing
• Utilisez des passerelles de sécurité des emails et des filtres anti-spam pour éviter les emails suspects
• Vérifiez les liens ou pièces jointes suspects avant de les cliquer
• Implémentez le principe du moindre privilège pour limiter les dégâts d’un compte compromis

Termes associés

• Hameçonnage ciblé
• Malware
• Ingénierie sociale
• MFA
• Ransomware