Le mail de phishing n’est plus aussi évident à débusquer qu’on l’imagine. Parmi les milliers d’arnaques reçues dans les boites de réception, celles qui finissent par faire tomber des entreprises sont aujourd’hui bien plus soignées. Romain Basset, directeur des Services Clients de la société Vade, a présenté le 11 octobre 2023 lors des Assises de la Cybersécurité un atelier avec des tentatives d’hameçonnage concrètes, rencontrés sur les boites mail.
« Le grand public est plus alerte aujourd’hui sur le phishing, les cybercriminels s’adaptent et multiplient les ruses pour rendre leur arnaque plus légitime », nous explique Romain Basset. L’expert en cyber expose quatre pièges de hackers. Tous ces leurres sont développés sans code malveillant et ne sont donc pas détectés automatiquement par les filtres de sécurité. Il s’agit seulement de copies pour dérober les identifiants.
Le QR Code
La double authentification étant adoptée par de nombreux grands groupes, les cybercriminels recopient aujourd’hui les pages de connexion sur lesquelles l’employé est invité à taper son code. Un prétendu mail de Microsoft sera envoyé à tous les salariés, les alertant sur une mise à jour du service ou leur demandant de consulter les conditions d’utilisation. Un QR code généré par les malfaiteurs est intégré dans le corps du mail. L’employé qui scannera le carré noir sera renvoyé vers une fausse page d’authentification où il tapera sa combinaison secrète. Cette dernière finira naturellement sur le serveur des cybercriminels.
La page de redirection
Commencez par un site légitime et terminez par une arnaque. La page de redirection ou « Open Redirect » permet d’intégrer le lien d’un site de confiance dans un corps de mail, puis de renvoyer l’internaute vers la page clonée. Beaucoup de plateformes d’e-commerce peuvent rediriger le consommateur vers un site tiers pour commander le produit, par exemple. Les cybercriminels détournent cette technique à leur profit.
Dans le cas d’un phishing, la cible va cliquer sur un lien intégré dans le mail. Une page d’accueil légitime s’affichera d’abord et renverra l’internaute vers une autre plateforme, cette fois frauduleuse, quelques secondes après son ouverture seulement. Les redirections peuvent être plus difficiles à repérer si la victime utilise un smartphone. Les appareils mobiles affichent souvent uniquement le domaine du site visité et non celui du site redirigé.
La personnalisation d’interface
Plus classique, mais toujours aussi trompeuse, l’imitation d’interface de connexion. Les cybercriminels commencent par se faire passer pour le service RH ou la compatibilité. Un lien permettrait de consulter la dernière fiche de paie ou une transaction financière. Une fois sur la page, les cybercriminels intègrent une interface de connexion Microsoft Office pour accéder au contenu. Il s’agit d’un leurre, encore une fois.
La protection anti-bot
Des services populaires existent pour protéger son site des bots, ces connexions opérées automatiquement par des ordinateurs pour diverses raisons, souvent malveillantes. De nombreux sites d’e-commerce l’utilisent, et les pages de phishing aussi désormais. Pour donner un peu plus de légitimité à leur piège, les cybercriminels hébergent leur fausse plateforme sur des services de confiance et activent ce filtre de sécurité. La protection anti-bot permet d’éviter de se faire repérer par des services de cybersécurité, qui utilisent également des bots pour scanner le web à la recherche de sites malveillants.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
