Yzico

Cybersécurité

Qu’est-ce qu’une attaque par spear phishing ?

Un article de Sylvia BRAND

Expert-Comptable, Commissaire-Aux-Comptes

Parole d’experts

Qu’est-ce qu’une attaque par spear phishing ?

Le 5 janvier 2022

Le spear phishing est un type d’attaque informatique qui s’appuie sur l’utilisation d’informations collectées en ligne et un ciblage précis des victimes. En matière d’attaque informatique, les pirates ne manquent pas de ressources pour trouver des moyens de s’introduire dans le système d’information des entreprises ou de leur extorquer de l’argent. Le spear phishing en fait partie, et il s’avère redoutablement efficace.
Il s’agit d’une variante du phishing « classique », un procédé dans lequel les pirates envoient des mails falsifiés ou créent de faux sites en se faisant passer pour une organisation, un service public, une entreprise. L’objectif est de conduire les internautes à leur fournir des données sensibles, informations de connexions ou coordonnées bancaires par exemple.

Qu’est-ce qu’une attaque par spear phishing ?

Le spear phishing, une attaque ciblée

Le spear phishing est élaboré, il s’agit d’une attaque précise qui va cibler une personne en particulier. Les hackers collectent des informations sur la personne ciblée et son entreprise via internet et les réseaux sociaux – habitudes de travail, horaires, collègues – et lui envoient un email en se faisant passer pour une relation de travail. Ce type d’attaque est donc moins facile à repérer que les tentatives de hameçonnage traditionnelles.

Les pirates vont utiliser des termes et des formulations familières pour le destinataire

L’objectif des hackers est de faire en sorte que l’internaute clique sur un lien ou télécharge une pièce jointe, qui leur permettront de pénétrer le système d’information de l’entreprise. Une fois entrés, ils vont chercher à ouvrir d’autres portes, en obtenant par exemple des mots de passe administrateur. Ils peuvent ensuite faire ce qu’ils veulent, utiliser le serveur de manière frauduleuse, exfiltrer des données sensibles. La difficulté est que, si non préparée, il faut souvent plusieurs mois avant que l’entreprise ne se rende compte de l’attaque.

Focus sur la fraude au président

La fraude au président est une déclinaison du spear phishing. Cette fois les pirates vont cibler un collaborateur et s’adresser à lui en se faisant passer généralement pour le président de la société ou son avocat afin d’obtenir un virement. Cette demande apparaissant comme urgente et confidentielle, la personne contactée va parfois s’exécuter sans prendre le temps de la réflexion, et elle n’en parlera pas à ses collègues et n’éveillera donc pas les soupçons.

La victime reçoit plusieurs messages pressants indiquant par exemple que pour conclure une affaire le président a besoin que soit rapidement réalisé un virement sur un compte bancaire. Cela se passe souvent une veille de week-end ou de jour férié, à un moment où le président n’est pas joignable. Les pirates jouent sur le stress et l’autorité pour que la personne effectue le virement demandé. Une fois réalisé, l’argent est difficile à récupérer.

Selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, la fraude au président est devenue l’une des principales cyberattaques dans le monde. Cette escroquerie, qui a recours à l’usurpation d’identité des dirigeants d’entreprise, est en hausse notable et est mentionnée par 38% des entreprises ayant répondu à l’étude.

Une sensibilisation nécessaire des équipes

Face à ces attaques ciblées, la prévention passe par la formation de tous les collaborateurs. Il est possible de faire des campagnes de sensibilisation, rappeler l’importance de rester vigilant, de toujours vérifier l’adresse email de l’expéditeur d’un mail, d’utiliser des mots de passe complexes.

Si l’utilisation d’antivirus et de systèmes de filtres pour les boîtes mails est utile, les solutions techniques ne peuvent suffire. On peut aussi sensibiliser l’ensemble des collaborateurs à la nécessité de ne pas partager trop d’informations sur les réseaux sociaux, d’éviter de donner les noms des collègues, les date d’un salon ou de ses vacances.

Aujourd’hui, la prise de conscience des entreprises semble se renforcer, toujours selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, 55% des entreprises sondées prévoient d’allouer ou d’augmenter leur budget de lutte contre la fraude en 2021.

Les principales mesures qui feront l’objet d’un investissement : la sensibilisation interne (73%), les audits de sécurité des systèmes d’information (69%), les audits pour renforcer les procédures de contrôle interne (47%), les plans de reprise de l’activité (44%) et es solutions d’assurance (32%).

Ces articles
pourraient vous plaire

Pour toujours mieux vous accompagner

Découvrez également Notre rubrique liée à l’actualité #Covid-19

Découvrir

Notre entreprise composée d’équipes lorraines, alsaciennes, parisiennes et champardennaises, ancrées depuis des décennies dans le Grand Est, leur assure une connaissance parfaite du territoire, pour comprendre le marché dans lequel évolue nos clients-entrepreneurs. Anticiper, conseiller, et accompagner le dirigeant dans un monde en perpétuel mouvement constitue l’ADN de notre entreprise.

Trouver mon agence Appeler