Les messageries électroniques, vecteurs de tant de cybermenaces

Personne n’est à l’abri

Et que l’on ne s’y trompe pas : les natifs du numérique ne semblent pas être les mieux armés face à la menace. Selon l’étude de Proofpoint, le concept de fishing n’apparaît maîtrisé que par 58 % de cette population, et même 47 % pour celle qui la suit, les 18-21 ans. C’est à partir de 38 ans que l’on trouve la sensibilisation la plus élevée. Ce qui vaut également pour les ransomwares. Pour certaines entreprises, les conséquences peuvent être importantes.

De nombreux groupes de pirates particulièrement avancés font appel au phishing pour s’introduire sur les systèmes d’information de leurs victimes. FireEye l’a tout récemment révélé comme vecteur d’infection initial utilisé par le groupe APT39. Mais cela vaut pour les groupes malveillants GreyEnergy et Sofacy, comme l’a tout aussi récemment souligné Kaspersky.

Et justement, 83 % des professionnels de la sécurité des systèmes d’information sondés dans le cadre de l’étude de Proofpoint indiquent avoir subi des attaques par hameçonnage en 2018 – et 64 % pour du phishing ciblé. Et ils sont même 49 % à avoir été confrontés au smishing ou au vishing. La compromission de comptes utilisateurs est, sans surprise, la première conséquence évoquée, à 65 %, tout juste devant l’infection par maliciel, à 49 %.

Les outils de protection sont largement répandus. Mais ils ne font pas de miracles. Alors le recours à la formation et à la sensibilisation apparaît croissant : 95 % des sondés par Proofpoint indiquent chercher à apprendre aux utilisateurs à reconnaître les pièges. Mais là encore, cela n’apparaît pas suffisant pour éliminer pleinement le risque. Ainsi, en moyenne, 11 % des utilisateurs finaux mis à l’épreuve dans une fausse campagne de phishing se laissent aller à cliquer sur le lien menant vers le site frauduleux. Et même 4 % y fournissent les données recherchées.

Prévoir une défense à plusieurs niveaux

Une surprise ? Pas tant que ça. Car les attaquants ne tarissent pas de créativité pour leurrer les mécanismes de filtrage et les utilisateurs finaux, comme le soulignait l’APWG dans son rapport trimestriel publié en décembre dernier. Cela commence par un recours croissant à des certificats pour donner une illusion de légitimité aux sites frauduleux, pour des domaines déposés et hébergés sur des serveurs loués, plutôt que sur des espaces détournés. Mais il faut aussi compter avec le recours à des caractères spéciaux pour permettre à un domaine frauduleux de mieux prendre l’apparence d’un domaine légitime, voire à des polices de caractère spécifiques. 

Pour le NCSC, l’homologue britannique de l’Anssi, il faut donc être préparé à ce que des opérations de phishing visant ses collaborateurs réussissent. Car c’est bien simple, « aucune formation, de quelque type que ce soit, ne peut apprendre aux utilisateurs à débusquer à tous les coups un [e-mail] de phishing. Et repérer le hameçonnage ciblé est encore plus difficile. Même nos experts ont du mal ».