Qu'est-ce que le Phishing (Hameçonnage) ?

Comment fonctionne une cyberattaque par phishing?

Une cyberattaque par phishing commence par une phase de recherche. Les acteurs de la menace rassemblent les informations publiques disponibles sur une cible, comme un annuaire d’entreprise, un profil LinkedIn ou des informations issues d’une précédente fuite de données. Ils utilisent ces éléments pour rendre l’usurpation crédible.

Le message imite une personne ou une organisation à laquelle la cible fait confiance, comme un collègue, un dirigeant, une banque ou une marque connue. Il crée un sentiment d’urgence en évoquant une facture impayée, un compte suspendu ou une alerte de sécurité, afin de pousser la cible à agir avant de vérifier la source. L’attaque demande généralement l’une de ces deux actions : cliquer sur un lien malveillant ou répondre au message pour transmettre directement de l’argent ou des informations.

Si la cible clique, elle peut être redirigée vers une fausse page de connexion qui récupère les identifiants saisis. Le clic peut aussi déclencher le téléchargement d’un malware qui s’installe sur l’appareil. Si le message demande une réponse, comme dans une tentative de compromission de messagerie professionnelle, l’attaque peut réussir sans fichier ni lien malveillant. Une demande convaincante peut suffire.

Types de phishing

Les attaques de phishing varient selon le canal utilisé et le degré de ciblage. La technique reste la même : usurper l’identité d’une personne de confiance et créer une raison d’agir rapidement.

Signes d’une tentative de phishing

• Un sentiment d’urgence ou une menace de conséquences si le destinataire n’agit pas immédiatement.
• Une adresse d’expéditeur ou un domaine qui semble presque correct, mais qui ne correspond pas exactement à l’adresse attendue.
• Une formule d’appel générique au lieu des informations précises qu’un expéditeur légitime fournirait normalement.
• Une pièce jointe inattendue ou une demande d’activer les macros ou la modification dans un document.
• Un lien qui renvoie vers une adresse différente du texte visible lorsque le destinataire le survole.
• Une demande inattendue d’identifiants, d’informations de paiement ou de virement bancaire.
• Une demande inhabituelle présentée comme une procédure courante, par exemple un membre de l’équipe informatique qui demande un mot de passe par e-mail.

Pourquoi le phishing fonctionne malgré la sensibilisation des utilisateurs

Le phishing cible l’attention et les émotions plutôt qu’un contrôle technique. La sensibilisation réduit le risque, mais ne peut pas le supprimer. L’urgence ou la peur pousse les utilisateurs à agir avant de vérifier une source, et un seul clic réussi dans une grande organisation peut déclencher une compromission plus large.

L’IA générative a supprimé plusieurs signaux qui rendaient autrefois le phishing facile à repérer. Les fautes de grammaire, les formulations maladroites et les modèles génériques sont moins fréquents. Le clonage vocal rend aussi les appels de vishing assez convaincants pour tromper des personnes qui ne se laisseraient jamais piéger par une escroquerie par SMS.

Le phishing reste rarement un incident isolé. Il constitue souvent la première étape d’une chaîne plus longue, par exemple un identifiant volé qui entraîne une prise de contrôle de compte, une pièce jointe malveillante qui installe un malware ou un message de BEC qui aboutit à un virement frauduleux. Bloquer le message initial est important, mais détecter ce qui se passe dans les minutes et les heures qui suivent un clic l’est tout autant.

Comment un SOC détecte et traite une compromission liée au phishing

Sekoia SOC platform n’est pas une passerelle de sécurité des e-mails et n’a donc pas vocation à filtrer les messages de phishing avant leur arrivée dans la boîte de réception. Son rôle commence là où le filtrage des e-mails s’arrête : détecter et traiter ce qui se passe lorsqu’une tentative de phishing devient une compromission réelle.

Cela implique de corréler plusieurs signaux : les données d’identité, comme un lieu ou une heure de connexion inhabituels après la saisie d’un identifiant ; le comportement du poste, comme le lancement d’un processus suspect depuis une pièce jointe téléchargée ; et l’activité réseau, comme une connexion vers une infrastructure récemment enregistrée et peu réputée. Le SIEM et le XDR fournissent cette vision d’ensemble au lieu de s’appuyer sur un seul signal.

Le renseignement sur les menaces apporte un contexte utile. Les infrastructures de phishing sont souvent réutilisées d’une campagne à l’autre. Un domaine, un profil d’expéditeur ou une empreinte de kit associé à une campagne connue peut donc aider un SOC à qualifier plus rapidement un e-mail signalé et à anticiper les autres cibles possibles. Lorsqu’un utilisateur signale un message suspect, la valeur vient de la corrélation de ce signal avec les autres événements observés dans l’environnement, pas seulement de la mise en quarantaine de l’e-mail concerné.

Comment réduire le risque de phishing

• Déployer un filtrage des e-mails qui inspecte les liens et les pièces jointes, au lieu de s’appuyer uniquement sur la réputation de l’expéditeur.
• Exiger une authentification multifacteur partout. Elle bloque la plupart des prises de contrôle de compte, même lorsqu’un mot de passe a été récupéré par phishing.
• Organiser régulièrement des formations réalistes à la sensibilisation et des simulations de phishing, plutôt qu’une seule session annuelle.
• Mettre en place un canal de vérification pour les demandes financières, afin que toute demande de virement soit confirmée en dehors des e-mails.
• Déployer DMARC, SPF et DKIM pour compliquer l’usurpation convaincante de votre domaine par les acteurs de la menace.
• Donner aux collaborateurs un moyen simple de signaler les messages suspects et traiter rapidement ces signalements.
• Déployer une solution de détection et réponse sur les terminaux, ou EDR, pour détecter ce qu’un e-mail de phishing délivre, et pas seulement l’e-mail lui-même.

Pourquoi l’authentification multifacteur ne suffit pas contre le phishing

L’authentification multifacteur, ou MFA, bloque la plupart des tentatives de prise de contrôle de compte qui suivent le vol d’un mot de passe par phishing. Elle fait donc partie des contrôles les plus efficaces qu’une organisation puisse déployer. Elle n’est toutefois pas absolue. Les frameworks de contournement de la MFA peuvent intercepter immédiatement les jetons de session et récupérer le second facteur en même temps que le premier. Les attaques par fatigue de notification bombardent un utilisateur de demandes d’approbation jusqu’à ce qu’il en accepte une par lassitude ou par habitude.

La MFA doit être considérée comme une couche de sécurité forte, et non comme une protection suffisante à elle seule. Les comptes et les sessions qu’elle protège doivent continuer à faire l’objet d’une surveillance des comportements inhabituels après l’interception d’un jeton de session.

FAQ sur le phishing