Quelle est la différence entre le Phishing, le Vishing et le Smishing ?
Le phishing, le vishing et le smishing sont toutes des attaques de “social engineering” conçues pour inciter les individus à révéler des informations sensibles ou à prendre des mesures préjudiciables. Le “social engineering” est un ensemble de techniques que les escrocs utilisent pour manipuler la psychologie humaine. Les techniques d’ingénierie sociale comprennent la falsification, la mauvaise orientation et le mensonge, qui peuvent tous jouer un rôle dans les attaques de phishing.Leurs principales différences résident dans le moyen d’attaque :
Le phishing, une des menaces e-mail les plus courantes, est une cyberattaque dans laquelle les pirates se font passer pour des entités légitimes afin d’inciter des individus à divulguer des informations sensibles telles que leurs identifiants de connexion, leurs informations financières ou leurs données personnelles. Ils utilisent généralement des e-mails ou des sites Web frauduleux pour duper leurs victimes.
Le vishing est une forme de social engineering qui utilise la communication vocale (généralement des appels téléphoniques) pour manipuler les gens afin qu’ils révèlent des informations confidentielles ou qu’ils prennent des mesures qui compromettent la sécurité. Les pirates se font souvent passer pour des représentants d’entités telles que des banques ou des agences gouvernementales.
Le smishing est une menace de cybersécurité qui combine les techniques de SMS (messagerie texte) et de phishing. Les pirates envoient des SMS censés provenir de sources fiables, qui contiennent souvent des liens vers des sites Web malicieux ou incitent les destinataires à appeler des numéros de téléphone frauduleux.
Comment se protéger ?
Ne communiquez jamais d’informations personnelles par email, téléphone ou SMS
Vérifiez toujours l’expéditeur en contactant directement l’organisme concerné
Soyez vigilant face à l’urgence ou la menace dans un message
Activez l’authentification à deux facteurs (2FA) sur vos comptes
Tableau comparatif entre le phishing, le vishing et le smishing :
Critère
Phishing
Vishing
Smishing
Canal utilisé
Email
Appel téléphonique
SMS ou message texte
Nom complet
Phishing (ou hameçonnage)
Voice phishing
SMS phishing
Objectif principal
Voler des informations personnelles
Obtenir des infos par la voix
Pousser à cliquer ou répondre au SMS
Apparence typique
Email avec lien ou pièce jointe
Appel prétendant venir d’une autorité
SMS d’un service connu (banque, colis, etc.)
Exemples fréquents
Fausse alerte de sécurité bancaire
Faux support technique Microsoft
Message de livraison de colis
Tactique d’urgence
« Votre compte va être suspendu »
« Vous avez un problème urgent »
« Cliquez ici pour éviter un blocage »
Niveau de menace
Élevé
Élevé
Élevé
Moyens de protection
Filtrage d’emails, vigilance, MFA (Authentification multi facteur)
Ne pas répondre, raccrocher, signaler
Ne pas cliquer, bloquer le numéro
La communication sur les téléphones portables
Pour de nombreux utilisateurs de messagerie électronique, ignorer les spams et d’autres types de messages malveillants est devenu une seconde nature. Mais comme la messagerie mobile est plus récente, de nombreuses personnes ont encore une grande confiance dans la sécurité de ces communications.L’une des différences les plus importantes entre le smishing et le phishing réside donc dans notre vulnérabilité aux attaques. Les taux de clics sur les URL dans les messages mobiles sont jusqu’à huit fois plus élevés que dans les e-mails, ce qui augmente considérablement les chances d’accéder à un lien malveillant lorsqu’il est envoyé par SMS ou autre message mobile.Cette réactivité demeure même sur les marchés où des services comme WhatsApp et Messenger ont remplacé les SMS comme moyen dominant de communication textuelle mobile.Nous attendons des organisations et des entreprises qu’elles nous envoient des messages importants par SMS et qu’elles agissent rapidement lorsqu’ils nous parviennent.La prédominance des liens plutôt que des pièces jointes est un autre facteur de différenciation important. Les messages mobiles ne constituent pas un moyen efficace d’envoyer des pièces jointes malveillantes, car de nombreux appareils limitent le sideloading et les services de messagerie limitent la taille des pièces jointes.Ainsi, la plupart des attaques mobiles utilisent des liens intégrés, même lorsqu’il s’agit de distribuer des malwares tels que FluBot, qui s’est répandu au Royaume-Uni et en Europe l’année dernière. En revanche, les attaques par e-mail voient encore environ 20 à 30 % des messages malveillants contenir des malwares en pièces jointes.Les numéros de téléphone personnels révèlent également des informations de localisation avec l’indicatif régional. Cela peut offrir d’autres possibilités pour personnaliser les messages en fonction de l’emplacement et de la langue, car ces informations ne sont pas présentes dans une adresse e-mail.De même, les utilisateurs finaux n’ont qu’une possibilité limitée de voir comment le SMS a été acheminé, puisqu’ils ne voient que le numéro à partir duquel il semble avoir été envoyé. Si les numéros de téléphone mobile et les adresses e-mail peuvent être masqués, les en-têtes des e-mails contiennent des informations beaucoup plus détaillées sur la manière dont un message a été acheminé au destinataire, ce qui peut permettre à ce dernier de repérer un message malveillant.Les téléphones portables sont une cible privilégiée des cybercriminels, car il s’agit d’un lien entre nos vies personnelles et professionnelles. Un seul appareil peut contenir des comptes donnant accès aux finances des particuliers et des entreprises, à des informations personnelles sensibles ou encore à des documents commerciaux confidentiels.Aux États-Unis, les taux de smishing ont presque doublé l’année dernière et cette tendance devrait se poursuivre cette année.Alors que les opérations de smishing doivent composer avec des limites de caractères, des contraintes de localisation et des frais généraux accrus, il est clair que les leçons tirées du phishing par e-mail contribuent à maximiser leur rendement.En fait, nous pensons que le taux de réussite des attaques de smishing sera probablement beaucoup plus élevé que celui du phishing par e-mail, même si le volume de ces dernières reste plus important.
Le fléau des internautes : les attaques par e-mail ciblées
La messagerie électronique demeure le vecteur de menaces privilégié des cybercriminels pour cibler les entreprises. Si les cyberattaques comme le piratage de la messagerie en entreprise (BEC, Business E-mail Compromise), le phishing d’identifiants de connexion, les ransomwares et la prise de contrôle de comptes sont aussi efficaces, c’est grâce à la façon dont elles ciblent vos utilisateurs selon une approche personnalisée. Les solutions de protection de la messagerie intégrées aux suites de productivité ne parviennent pas toujours à bloquer ces menaces avant qu’elles n’atteignent les utilisateurs.
96% des utilisateurs qui ont un comportement à risque sont conscients des dangers potentiels
94% des attaques ciblant les personnes commencent par un e-mail
Qu’est-ce que l’authentification multifacteur (MFA) et comment fonctionne-t-elle ?
L’authentification multifacteur (MFA) est une méthode d’authentification dans laquelle l’utilisateur doit fournir au minimum deux facteurs de vérification pour accéder à une ressource de type application, compte en ligne ou VPN. La MFA est une composante essentielle à la base de toute politique de gestion des accès et des identités (IAM, pour Identity and Access Management) se voulant solide. Au lieu de se contenter d’un nom d’utilisateur et d’un mot de passe, la MFA exige un ou plusieurs facteurs de vérification supplémentaires, ce qui réduit la probabilité qu’une cyberattaque puisse réussir.
Pourquoi la MFA est-elle importante ?
Le principal avantage de la MFA est d’améliorer la sécurité de l’accès au compte en exigeant aux utilisateurs de fournir plus qu’un nom d’utilisateur et un mot de passe pour s’identifier. Les noms d’utilisateur et les mots de passe sont importants, mais ils sont vulnérables aux attaques par force brute et peuvent être volés par des tiers. Le recours à un facteur MFA de type empreinte numérique ou clé matérielle renforce la garantie que votre compte est protégée des cybercriminels.
Comment fonctionne la MFA ?
La MFA exige des informations de vérification supplémentaires (facteurs). L’un des facteurs MFA les plus courants que rencontrent les utilisateurs sont les mots de passe à usage unique (OTP, pour One-Time Password). Les OTP sont ces codes comportant de 4 à 8 chiffres que vous recevez souvent par e-mail, SMS ou certaines applications mobiles. Avec les OTP, un nouveau code est généré de façon périodique ou à chaque fois qu’une demande d’authentification est envoyée. Le code est généré à partir d’une valeur initiale attribuée à l’utilisateur lorsqu’il s’inscrit pour la première fois et d’un autre facteur qui peut être un compteur incrémenté ou une valeur temporelle.
