Vous pourriez être désormais tenté de croire que l’hameçonnage est un vieux problème que tout le monde connaît. Malheureusement, la menace continue d’évoluer et des gens se font toujours piéger. Afin de rester protégé, il est utile d’observer les nouvelles tendances et les changements qui se produisent dans le domaine de la cybersécurité. À quoi ressemble une attaque d’hameçonnage en 2022 et comment protéger votre entreprise ? Est-ce que les collaborateurs de votre société sont habilités à les repérer ? Et qu'en est-il pour vous ?
L’hameçonnage existe depuis les années 1990, et à ce jour, beaucoup de choses ont été dites sur cette menace courante : comment reconnaître une tentative d’hameçonnage, comment former vos collaborateurs sur la protection de leurs propres appareils ainsi que ceux de leur employeur, et bien plus encore. Aujourd’hui, les entreprises comme les particuliers ont largement pris conscience du problème, et pourtant, le nombre d’attaques d’hameçonnage (ou "phishing" en anglais) continue d’augmenter, ce qui prouve que les cybercriminels y voient encore un moyen efficace d’obtenir ce qu’ils désirent. Comment cette situation est-elle encore possible ?
1. L’hameçonnage s’adapte à la situation mondiale
Pour atteindre leurs objectifs, les cybercriminels doivent s’assurer que leurs victimes coopèrent avec leurs demandes. En masquant leurs intentions malveillantes derrière un contexte particulier, ils s'assurent davantage de réussite. Tout au long de l’année, les cybermalfaiteurs profitent de différents événements pour sévir : par exemple à la rentrée, ils envoient des emails d’hameçonnage aux parents, en faisant croire qu’il s’agit de messages officiels d’établissements scolaires.
Les événements dramatiques des deux ou trois dernières années ont également été exploités par les cybercriminels pour dissimuler leurs objectifs et faire appel aux émotions de peur, de panique ou de désir d’aider les personnes dans le besoin. Le Rapport d’ESET sur les menaces au T1 2022 explique que « la guerre [en Ukraine] a été notablement exploitée par les pirates à l’aide de spam et d’hameçonnage. Immédiatement après l’invasion du 24 février, des escrocs ont commencé à profiter des personnes qui soutenaient l’Ukraine, en utilisant des organisations caritatives et des collectes de fonds fictives comme appâts ».
Outre la guerre, « d’autres sujets d’hameçonnage ont fait leur apparition, mentionnant de nouvelles restrictions de déplacement dues à l’épidémie de COVID-19, ou bien une carte des aides régionales approuvées pour la Grèce, et même un règlement du Parlement européen et du Conseil de l’Europe ». En utilisant ces thèmes dans leurs tentatives de phishing, les cybercriminels essaient de piéger les personnes bouleversées par la situation, qui veulent aider, ou qui croient simplement que des criminels n’iraient pas jusqu’à utiliser le traumatisme d’autrui pour leur propre bénéfice.
2. L’hameçonnage change de visage
Les cybercriminels continuent de modifier le type de sites web qu’ils utilisent comme couverture pour leurs tentatives d’hameçonnage. Selon le Rapport d’ESET sur les menaces au T1 2022, les sites web se faisant passer pour des services de messagerie et des plateformes de jeux étaient en hausse pendant cette période, avec la première catégorie augmentant de 54 % et la seconde de 291 % en nombre d’URL consultées. [...] Bien qu’elles ne figurent pas dans le TOP 10 des catégories, les URL d’hameçonnage sur le thème des voyages ont connu une augmentation notable de 126 %. Celles-ci étaient presque exclusivement représentées par des imitations d’Airbnb [...]. »
Par ailleurs, les tentatives d’hameçonnage sur les domaines .com utilisent souvent des entreprises célèbres et (re)connues afin d’attirer des victimes et de les induire en erreur. Parmi les 10 noms de domaine .com les plus couramment utilisés pour les tentatives d’hameçonnage, Cofense cite Google, Adobe et (Microsoft) SharePoint. Lorsqu’ils voient ces entreprises ou produits dont la renommée n’est plus à faire, les utilisateurs sont susceptibles d’être tentés de croire en la légitimité de ces sites qui ne sont que des usurpations.
3. Des formes plus sophistiquées d’attaques d’hameçonnage sont en hausse
Beaucoup de personnes ne réalisent pas encore que l’hameçonnage n’est plus synonyme uniquement d’emails mal rédigés. Le phishing peut prendre de nombreuses formes et s'avérer très sophistiqué, permettant à de nouvelles menaces de faire surface. Voici quelques types de tentatives d’hameçonnage dont il faut se méfier en 2022 :
4. Les anciennes menaces continuent de perdurer
Comme le suggère le point précédent, l’évolution des attaques d’hameçonnage oblige les victimes potentielles à suivre les nouvelles tendances et à améliorer en permanence leur vigilance sur la variété des menaces qu’elles pourraient rencontrer. Même les formes traditionnelles d’hameçonnage, qui pourraient vous choquer par leur apparente simplicité, continuent toujours de piéger de nouvelles victimes.
Au début de l’année 2022, Tripwire a rapporté : « en 2022, il est assez incroyable que les arnaques nigérianes aient augmenté de 3,3 %. Le fait que cette escroquerie vieille de plusieurs décennies existe encore est assez stupéfiant. Avant l’arrivée d’Internet, ces escroqueries étaient transmises par télécopieur. Malheureusement, le rapport [d’Agari et de PhishLabs] n’indique pas le taux de réussite de ces arnaques, mais leur existence à ce jour suggère qu’elles sont toujours efficaces. » Ce rappel apparemment humoristique prouve que sans une implémentation conjointe des technologies de sécurité et d’une sensibilisation efficace, même les menaces les plus basiques représentent un risque pour la sécurité numérique.
