La voix à l'autre bout du fil commençait à paraître désespérée.
« S'il vous plaît, monsieur, nous devons télécharger un formulaire sécurisé sur votre ordinateur afin de pouvoir résilier votre abonnement. » « C’est la seule solution. »
Il essayait de me convaincre de lui donner un accès à distance à mon ordinateur, afin qu'il puisse résilier un abonnement à Geek Squad auquel je ne m'étais jamais inscrit.
Chuchotant en ourdou, il a confié à un collègue que je ne coopérais pas.
« S’il vous plaît », supplia-t-il à nouveau, « il nous suffit de cinq à 10 minutes de votre temps précieux pour vous rembourser. »
Après avoir enfin raccroché, il m'a rappelé — huit fois d'affilée.
Il s'agissait d'une attaque classique de hameçonnage vocal (« vishing »). Tout a commencé par un e-mail affirmant que j'allais me voir facturer 302,42 dollars si je n'appelais pas le numéro indiqué au bas du message. Si j'avais été un utilisateur naïf, cela aurait pu se terminer par la compromission de mon ordinateur et le vol des informations relatives à ma carte bancaire. Et si j'avais travaillé pour une grande entreprise, les conséquences auraient pu être bien plus graves.
Selon le dernier rapport trimestriel sur les menaces « » de PhishLabs ( ), les attaques de « vishing » comme celle-ci ont augmenté de 625 %, passant de 2021 à 2022. They are now the second most common “response-based” attack, trailing only the classic Nigerian Prince 419 scam. Dans les deux cas, les escrocs ont recours à des techniques d'ingénierie sociale, qui consistent à utiliser la manipulation psychologique pour persuader les victimes de divulguer des informations confidentielles.
« Le hameçonnage vocal peut s’avérer plus efficace, car les gens ont tendance à baisser leur garde lorsqu’ils parlent à quelqu’un », explique Roger Grimes, évangéliste en matière de défense fondée sur les données chez KnowBe4, une entreprise qui propose des formations anti-hameçonnage aux entreprises. « L'ingénierie sociale représente entre 80 % et 90 % de l'ensemble des violations de données ayant abouti. »
S'adapter et vaincre
Les organisations ayant appris à reconnaître les signes révélateurs des attaques de phishing de type « », les pirates ont dû s'adapter. Au printemps 2021, le groupe de ransomware Conti s'est scindé en plusieurs groupes et a commencé à adopter de nouvelles stratégies. Un nouveau vecteur d’attaque, connu sous le nom de « » (« BazarCall »), ou « callback phishing », a suivi le scénario décrit ci-dessus : un faux e-mail conçu pour inciter à passer un appel téléphonique, suivi d’une demande d’accès à distance. Pendant qu'un faux employé du service client engage la conversation avec la personne qui appelle, un pirate informatique distant s'introduit dans son réseau pour voler des informations ou y installer un logiciel malveillant.
«Le phishing par rappel téléphonique a complètement bouleversé le paysage actuel des menaces. »Solutions avancées en matière de renseignement
Selon le cabinet d'études en sécurité Advanced Intelligence Solutions, « le phishing par rappel téléphonique a complètement bouleversé le paysage actuel des menaces », ciblant un large éventail d'organisations, parmi lesquelles un fabricant multinational d'armes, un important fournisseur de solutions informatiques, une entreprise technologique pesant plusieurs milliards de dollars et une équipe de la NBA. Près de 40 % des victimes affichent un chiffre d'affaires annuel supérieur à 1 milliard de dollars.
En août, Cisco a fourni une description extrêmement détaillée d'une attaque par « vishing » visant le compte Google personnel de l'un de ses employés. L'employé ayant activé la synchronisation des mots de passe dans son navigateur, les pirates ont également pu accéder aux identifiants Cisco de l'utilisateur.
Selon le rapport, l'attaquant aurait ensuite « mené une série d'attaques sophistiquées de hameçonnage vocal en se faisant passer pour diverses organisations de confiance, dans le but de convaincre la victime d'accepter des notifications push provenant de l' , relatives à l'authentification multifactorielle (MFA) , envoyées par l'attaquant. »
Finalement, la tentative visant à contourner les mesures de protection de l'authentification multifactorielle (MFA) a abouti, permettant ainsi à l'attaquant de se connecter via le VPN de l'entreprise. Le pirate informatique a ensuite commencé à installer des outils d'accès à distance, à s'octroyer des privilèges d'administrateur, à se déplacer latéralement au sein du réseau et à voler des informations.
Pendant tout ce temps, l'équipe de sécurité de Cisco surveillait l'attaquant et observait les techniques qu'il utilisait. Au final, selon Cisco, aucune information sensible n'a été consultée et aucune activité commerciale ni aucune opération de la chaîne d'approvisionnement n'a été interrompue. L'attaquant a tenté, sans succès, d'extorquer de l'argent à l'entreprise, puis a publié certains fichiers non sensibles sur le dark web.
S'entraîner en vain ?
Selon un rapport d'IBM, une violation de données liée au hameçonnage a coûté en moyenne 4,7 millions de dollars aux entreprises en 2021. Pourtant, selon Osterman Research, 86 % des employés ne reçoivent que 30 minutes ou moins de formation à la sensibilisation à la sécurité de l' par mois. Un rapport récent du SANS souligne que les trois quarts des professionnels de la sensibilisation à la sécurité consacrent moins de la moitié de leur temps à l'enseignement de la sensibilisation à la sécurité.
La formation anti-hameçonnage KnowBe4’s consiste à envoyer aux employés des e-mails de hameçonnage simulés, à identifier les personnes (jusqu’à 33 %) qui cliquent systématiquement sur les liens contenus dans ces e-mails, et à leur apprendre à ne pas se faire piéger la prochaine fois.
[Lire aussi : Pourquoi les employés enfreignent les politiques de cybersécurité]
Malheureusement, comme le souligne Grimes, les grands opérateurs de télécommunications n'autorisent pas des entreprises telles que KnowBe4 à passer des appels vocaux non autorisés à leurs employés sans leur consentement. Par conséquent, les formations à la prévention du vishing ne peuvent pas être dispensées de la même manière. (Le fait de savoir qu'un appel de « vishing » va arriver va en quelque sorte à l'encontre du but recherché.)
Malgré quelques obstacles ponctuels, l'éducation reste le moyen le plus efficace de lutter contre le phishing, le vishing ou le smishing (attaques par SMS), affirme-t-il.
« Il faut apprendre à chacun à faire preuve d’un scepticisme raisonnable face à tout message présentant deux caractéristiques : il est inattendu et il vous demande de faire quelque chose de nouveau pour cet expéditeur en particulier », explique M. Grimes. « Assurez-vous de vérifier que le message est bien authentique avant de faire quoi que ce soit que [l'expéditeur] vous demande de faire. »
Il faut une armée
Il est également judicieux de concentrer votre attention sur les domaines dans lesquels votre entreprise pourrait être la plus vulnérable, explique Christopher Prewitt, directeur technique de Inversion6, un prestataire spécialisé dans la gestion des risques liés à la cybersécurité.
« De nombreuses entreprises tentent de tout protéger de manière uniforme sans tenir compte des processus qui revêtent le plus d’importance pour leur activité », explique-t-il. « Comment l'argent circule-t-il au sein de l'organisation ? » Qui y a accès ? Comment gérez-vous les virements bancaires ? « Si vous disposez de 300 millions de dollars dans la trésorerie de l'entreprise, vous devriez peut-être créer un compte intermédiaire pour régler vos factures, afin de ne perdre qu'une somme limitée si quelqu'un se fait escroquer. »
[À lire également : L'essor du trésorier d'entreprise expert en informatique]
A lot of this is Security 101, he adds. Limiter les droits d'accès, détecter les comportements anormaux, segmenter les parties les plus sensibles du réseau et mettre en place un cadre « zero-trust » contribueront tous à limiter les dégâts en cas d'attaque réussie. Mais rien ne peut remplacer une vigilance constante.
« Je ne peux pas me tenir derrière 8 000 employés et leur dire sur quoi ils ne doivent pas cliquer », déclare M. Prewitt. « J’ai besoin d’une armée de personnes qui comprennent qu’elles doivent toujours rester vigilantes, et j’essaie ensuite de nouer des partenariats avec elles. »
