Les principaux exemples d’e-mail de phishing à connaître pour protéger votre entreprise !

Qu’est-ce qu’un email de phishing?

Définition

Un email de phishing ou hameçonnage en français se caractérise par un message mensonger. Il se présente comme venant un expéditeur connu, soit contact direct, soit marque ou service ayant pignon sur rue pour mettre en confiance le destinataire. Il l’incite à donner des informations, exécuter une action ou cliquer sur un lien ou simplement lui faire engager un dialogue, le faire « mordre à l’hameçon » en somme. C’est donc une catégorie de spam qui utilise l’usurpation d’identité. Il sert le plus souvent de porte d’entrée : Après la récupération des données visées, le spammeur pourra entreprendre des actions impactantes, que ce soit une nouvelle usurpation, un détournement ou vol d’argent direct dans le cas de données bancaires ou installation d’une menace virale si un accès administrateur a été récupéré.

Contrairement à la majorité des autres spams, il exploite l’ingénierie sociale : C’est le destinataire, qui par ces actions, va activer la fuite de données. C’est donc un procédé particulièrement nauséabond car il met en cause l’utilisateur final en l’associant à l’arnaque, contre sa volonté.

Il est donc primordial de savoir reconnaître un email de phishing, voici quelques exemples qui vous guideront vers une meilleure identification

Gain à la loterie

Sûrement un des types d’email de phishing les plus anciens et courants : « Vous avez gagné XXXX € ! ».
Ces messages visent à récupérer des informations personnelles, demanderont une copie d’une pièce d’identité ou d’un RIB. Ils présentent souvent l’identité d’une profession légale : huissier ou notaire et multiplient les icônes ou blasons connus.
Deux éléments à prendre en compte immédiatement :
– Qui est l’expéditeur du message ? Est-ce bien un domaine correspondant à la loterie concernée ? L’adresse de messagerie qu’on me demande de contacter est-elle vers le domaine de cette loterie ?
– Le format est-il cohérent ? Cette annonce correspond-elle à d’autres messages que j’ai reçu de cet émetteur ?

Exemple d’e-mail de phishing présentant un gain à l’Euromillions

Message de votre banque

Ce type de phishing cherche directement à récupérer vos informations bancaires ou celles de la société. En signalant un faux problème, il justifie le besoin de remplir un formulaire ou cliquer sur un lien qui amènera lui-même sur une fausse page web à l’effigie de la banque concernée.

Exemple d’e-mail de phishing imitant un message de banque. La pièce jointe au format Office intègre le ransomware Wannacry

Demande de paiement de frais

Ces e-mails de phishing se présentent sous la forme d’injonction, venant d’une société extérieure, à payer une facture inexistante ou des frais quelconques. Parfois, ils présentent de petites sommes, comme dans l’exemple ci-dessus, pour ne pas alerter le destinataire. Elles restent néanmoins des demandes de sommes indues et créent un précédent qui peut avoir de plus lourdes conséquences dans un second temps.

Exemple d’e-mail de phishing présentant les frais de douane lors d’une livraison

Phishing Police

Il s’agit d’un type d’email de phishing en large développement ces dernières années. Il se présente sous la forme d’une menace de poursuite judiciaire ou de convocation, en rapport une accusation criminelle.
Comme dans le cas des faux messages de loterie, ils vont indiquer de contacter un soi-disant agent assermenté : juge, policier ou huissier pour régler la procédure, sous un délai strict.

Exemple d’e-mail de phishing usurpant l’identité de la gendarmerie nationale pour une convocation

Spear phishing

Le spear phishing ou hameçonnage ciblé est un phishing qui a la particularité d’exploiter des données connues de l’entreprise visée pour affiner son attaque. Il cible souvent une boite de messagerie particulière dont le gestionnaire à un rôle connu et cite le nom connu d’un des dirigeant ou cadre de l’entreprise pour donner, comme précédemment une portée urgente, autoritaire ou familière à la tentative d’arnaque.

Exemple d’email Phishing demandant des modifications de données bancaires d’un collaborateur au service RH. La pièce jointe est infectée par le ver Conficker.

E-mail Phishing usurpant un dirigeant de la société demandant des informations bancaires

Exemple E-mail de Phishing usurpant un dirigeant de la société à propos d’un projet de rachat de société – L’archive en pièce jointe contient le rootkit Alureon.

Comment reconnaître un e-mail de phishing?

Il y a plusieurs points à prendre en compte à la lecture d’un nouveau message pour identifier une éventuelle tentative de phishing:

1. L’expéditeur du message m’est-il connu ? Est-ce un contact habituel ? Est-ce bien son adresse mail ?
2. Le format du message est-il cohérent ? Est-ce la mise en page habituelle du service ? La police, les images, la signature se présentent-elle comme d’habitude ?
3. La demande est-elle crédible, normale ?
4. Puis-je vérifier la validité de la demande, par un moyen de communication qui n’est pas issu du message en question

Ces différentes étapes ne sont pas exclusives. Un message peut venir d’une adresse connue, mais être un phishing. Ce peut être une usurpation ou l’adresse de mon correspondant a pu être piratée. De même, un email de phishing très bien réalisé peut avoir une apparence tout à fait identique aux messages originaux d’un émetteur.
Les trois premiers questionnements doivent, le cas échéant, amener un doute. De ce doute doit découler une vérification. Si c’est un contact habituel ou un collègue de travail, il faut le contacter directement, par les moyens de communications habituels et non ceux du message, pour valider son message.
Si c’est un émetteur connu, mais sans contact direct, il est possible de le contacter par les moyens indiqués sur son site internet par exemple.
Enfin, vous pouvez vous adresser au support Altospam. Nous pourrons valider si le message présente des anomalies techniques ou des éléments suspects. Dans ce cas, nous prendrons ce message en compte dans nos bases de données, afin d’assurer qu’ils soit mieux identifier à l’avenir.

Comment protéger son entreprise des emails de phishing?

La protection contre les e-mails de phishing est essentielle pour la sécurité de votre entreprise. Ces attaques peuvent causer d’importants dommages: vol de données sensibles, pertes financières et atteinte à la réputation. Voici quelques mesures pour protéger votre entreprise contre les e-mails de phishing :

1. Sensibilisation et formation des collaborateurs : Assurez-vous que tous les collaborateurs sont conscients des risques liés au phishing. Organisez des séances de formation régulières pour les aider à identifier les signes d’un e-mail de phishing.
2. Filtrage des e-mails : Utilisez un logiciel de filtrage des e-mails comme Mailsafe d’Altospam qui détecte et bloque les e-mails de phishing avant qu’ils n’atteignent les boîtes de réception.
3. Vérification des expéditeurs : Encouragez les collaborateurs à vérifier attentivement l’adresse e-mail de l’expéditeur avant d’ouvrir tout lien ou fichier. Les hackers utilisent souvent des adresses similaires à celles d’entreprises légitimes pour tromper les destinataires.
4. Éviter de cliquer sur des liens suspects : Incitez les collaborateurs à ne pas cliquer sur des liens dans les e-mails douteux. Privilégiez la visite directe du site Web en tapant l’URL dans leur navigateur.
5. Utilisation de l’authentification à deux facteurs (2FA) : Mettez en place l’authentification à deux facteurs pour les comptes sensibles. Cela ajoute une couche supplémentaire de sécurité en demandant aux utilisateurs de fournir une deuxième preuve d’identité avant de se connecter.
6. Mises à jour et correctifs : Assurez-vous que tous les logiciels, systèmes d’exploitation et applications sont régulièrement mis à jour avec les derniers correctifs de sécurité pour combler les vulnérabilités connues.
7. Surveillance du trafic réseau : Surveillez le trafic réseau pour détecter les tentatives d’hameçonnage ou d’attaques de phishing sortantes, ce qui peut indiquer qu’un appareil de l’entreprise a été compromis.
8. Renforcement des mots de passe : Encouragez les employés à utiliser des mots de passe forts et à les changer régulièrement. Évitez l’utilisation de mots de passe évidents ou facilement devinables.
9. Politiques de sécurité claires : Établissez des politiques de sécurité claires concernant les e-mails, l’utilisation des appareils personnels et les pratiques de navigation sur Internet.
10. Mise en place de campagnes de phishing simulées : Effectuez des campagnes de phishing simulées au sein de votre entreprise pour évaluer le niveau de sensibilisation et identifier les domaines d’amélioration

En adoptant ces bonnes pratiques et en sensibilisant vos collaborateurs aux dangers du phishing, vous réduirez considérablement les risques d’attaques réussies contre votre entreprise.