La voix à l’autre bout de la ligne commençait à sembler désespérée.
« Veuillez, monsieur, nous devons télécharger un formulaire sécurisé sur votre ordinateur afin que nous puissions annuler votre abonnement. C’est la seule façon. »
Il essayait de me convaincre de lui donner un accès à distance à mon ordinateur, afin de pouvoir annuler un abonnement Geek Squad auquel je n’avais jamais souscrit.
En murmurant à Urdu, il a confié à un collègue que je ne coopérais pas.
« S’il vous plaît, » a-t-il de nouveau plaidé, « nous n’avons besoin que de cinq à 10 minutes de votre temps précieux pour vous rembourser. »
Après avoir finalement raccroché, il m’a rappelé, huit fois de suite.
Il s’agissait d’une attaque hybride classique par hameçonnage vocal (« hameçonnage vocal »). Cela a commencé par un e-mail affirmant que j’allais être facturé 302,42 USD, sauf si j’appelais un numéro indiqué au bas du message. Si j’avais été un utilisateur naïf, cela aurait pu se terminer avec mon ordinateur compromis et les informations de ma carte de crédit volées. Et si j’ai travaillé pour une grande entreprise, les ramifications auraient pu être bien pires.
Les attaques par vishing comme celle-ci ont augmenté de 625 % de 2021 à 2022, selon le dernier rapport trimestriel sur les menaces de PhishLabs. Elles constituent désormais la deuxième attaque « basée sur la réponse » la plus courante, à la suite de l’escroquerie classique du prince nigérian 419 . Dans les deux cas, les escrocs utilisent des tactiques d’ingénierie sociale, qui utilisent une manipulation psychologique pour persuader les victimes de divulguer des informations confidentielles.
« L’hameçonnage vocal peut être plus efficace parce que les gens ont tendance à baisser leur garde lorsqu’ils parlent à quelqu’un », déclare Roger Grimes, évangéliste de la défense axée sur les données pour KnowBe4, qui offre une formation anti-hameçonnage aux entreprises. « L’ingénierie sociale représente 80 % à 90 % de toutes les violations de données réussies. »
S’adapter et conquérir
À mesure que les organisations se sont familiarisées avec les signes révélateurs des attaques par hameçonnage, les attaquants se sont adaptés. Au printemps 2021, le gang de rançongiciels Conti s’est divisé en plusieurs groupes et a commencé à adopter de nouvelles stratégies. Un nouveau vecteur d’attaque connu sous le nom de « BazarCall », ou « hameçonnage par rappel », a suivi le manuel décrit ci-dessus : un e-mail fictif conçu pour stimuler un appel téléphonique suivi d’une demande d’accès à distance. Lorsqu’un employé du service client falsifie l’appelant, un pirate informatique à distance pénètre dans son réseau pour voler des informations ou déposer des logiciels malveillants.
« L’hameçonnage par rappel a complètement révolutionné le paysage actuel des menaces. »Solutions d’intelligence avancées
Selon la société de recherche en sécurité Advanced Intelligence Solutions, « le hameçonnage par rappel a complètement révolutionné le paysage actuel des menaces », ciblant un large éventail d’organisations, y compris un fabricant multinational d’armes, un fournisseur majeur de solutions informatiques, une société technologique de plusieurs milliards de dollars et une équipe de la NBA. Près de 40 % des victimes ont un chiffre d’affaires annuel supérieur à 1 milliard USD.
En août, Cisco a proposé une description remarquablement détaillée d’une attaque par vishing sur les comptes Google personnels de l’un de ses employés. Étant donné que l’employé avait activé la synchronisation des mots de passe dans un navigateur, les attaquants ont également pu accéder aux informations d’identification Cisco de l’utilisateur.
Selon le rapport, l’attaquant « a ensuite mené une série d’attaques sophistiquées par hameçonnage vocal sous le couvert de diverses organisations de confiance tentant de convaincre la victime d’accepter des notifications push d’ authentification multifacteur (AMF) initiées par l’attaquant ».
Finalement, la tentative de surmonter les protections MFA a fonctionné, permettant à l’attaquant de se connecter via le VPN d’entreprise. Le pirate informatique a ensuite commencé à déposer des outils d’accès à distance, à faire remonter les privilèges administratifs, à se déplacer latéralement sur le réseau et à voler des informations.
Pendant ce temps, l’équipe de sécurité de Cisco surveillait l’attaquant et observait les techniques utilisées. En fin de compte, selon Cisco, aucune information sensible n’a été consultée et aucune opération commerciale ou de chaîne d’approvisionnement n’a été interrompue. L’attaquant a tenté et n’a pas extorqué d’argent à l’entreprise, puis a publié des fichiers non sensibles sur le dark web.
Vous vous entraînez en vain ?
La violation de données d’hameçonnage moyenne coûte 4,7 millions USD aux entreprises en 2021, selon IBM. Pourtant, 86 % des employés reçoivent 30 minutes ou moins de formation de sensibilisation à la sécurité par mois, selon Osterman Research. Un rapport récent de SANS note que les trois quarts des professionnels de la sensibilisation à la sécurité passent moins de la moitié de leur temps à enseigner la sensibilisation à la sécurité.
KnowBe4’s La formation anti-hameçonnage consiste à envoyer aux travailleurs des e- mails d’hameçonnage simulés, à identifier jusqu’à 33 % des personnes qui cliquent toujours sur les liens envoyés par e-mail et à leur apprendre à ne pas être dupliquées la prochaine fois.
[Lire également : Pourquoi les travailleurs violent les politiques de cybersécurité]
Malheureusement, note Grimes, les grandes télécommunications ne permettront pas aux entreprises comme KnowBe4 de passer des appels vocaux non autorisés aux employés sans leur permission. La formation anti-vishing ne peut donc pas être menée de la même manière. (Sachant qu’un appel de vishing arrive vaincre l’objectif.)
Malgré la barrière occasionnelle, l’éducation reste le moyen le plus efficace de lutter contre le phishing, le vishing ou le smishing (attaques SMS), explique-t-il.
« Vous devez apprendre à tout le monde à avoir un niveau sain de scepticisme pour tout message qui contient deux traits : c’est inattendu, et c’est vous demander de faire quelque chose de nouveau pour cet expéditeur particulier », déclare Grimes. « Assurez-vous de confirmer que le message est légitime avant de faire quoi que ce soit [un expéditeur] vous demande de faire. »
Il faut une armée
Se concentrer sur les domaines où votre entreprise pourrait être la plus vulnérable est également une bonne idée, déclare Christopher Prewitt, directeur de la technologie pour Inversion6, un fournisseur de gestion des risques de cybersécurité.
« De nombreuses entreprises tentent de tout protéger de manière égale sans examiner les processus les plus importants pour l’entreprise », déclare-t-il. « Comment l’argent se déplace-t-il au sein de l’organisation ? Qui y a accès ? Comment gérez-vous les virements bancaires ? Si vous avez 300 millions USD dans la trésorerie de l’entreprise, vous devez peut-être créer un compte intermédiaire pour payer vos factures, donc vous ne perdez qu’une quantité limitée d’argent si quelqu’un est escroqué. »
[Lire également : L’essor du trésorier d’entreprise cybersavy]
Une grande partie de cela est Security 101, ajoute-t-il. Limiter les privilèges d’accès, identifier les comportements anormaux, segmenter les parties les plus sensibles du réseau et mettre en œuvre un cadre Zero Trust contribuera à limiter les dommages causés par une attaque réussie. Mais rien ne peut remplacer la vigilance éternelle.
« Je ne peux pas soutenir 8 000 employés et leur dire ce sur quoi ne pas cliquer », déclare M. Prewitt. « J’ai besoin d’une armée de personnes qui comprennent qu’elles doivent toujours être en alerte, puis essayer de s’associer à elles. »
