Qu'est-ce que le harponnage ?
Le harponnage est un type sophistiqué d'attaque de spear phishing où les acteurs malveillants ciblent directement des dirigeants d'une organisation ou se font passer pour eux pour tromper d'autres services essentiels, comme les CFO, les services de paie, les équipes de sécurité ou les porte-parole.
Les cybercriminels peuvent utiliser des stratégies complexes d'ingénierie sociale pour mener à bien des attaques de type "whaling", car ils savent que les dirigeants d'organisations modernes utilisent divers outils et stratégies d'atténuation de l'hameçonnage. Malheureusement, il peut être difficile d'attraper les attaquants car ils masquent souvent leur localisation et leurs empreintes numériques.
Quelle est la différence entre le harponnage et le phishing ?
Avant de nous pencher plus avant sur ce qu'est le phishing ou sur la manière dont les attaques de ce type fonctionnent, nous devrions probablement répondre à une question fréquemment posée : qu'est-ce que le phishing dans le domaine de la cybersécurité ? En quelques mots, le phishing est le fait pour des acteurs de la menace de se présenter faussement comme des parties de confiance pour gagner la confiance d'une victime et lui voler de l'argent ou des informations sensibles. Contrairement à la croyance populaire, les attaques de phishing ne se limitent pas aux courriels. Par exemple, les attaques de phishing qui utilisent des messages texte sont appelées smishinget les attaques de phishing qui utilisent les communications vocales sont appelées vishing.
Les emails de phishing ciblent généralement de nombreux utilisateurs d'Internet et sont plus faciles à repérer car les malfaiteurs les conçoivent pour un auditoire de masse. En fait, ils envoient des milliards d'emails de phishing chaque jour. Cependant, les attaques de phishing peuvent aussi être plus ciblées.
Qu'est-ce qu'une attaque de spear-phishing ?
Une attaque de spear-phishing est un type d'attaque de phishing plus ciblé dans lequel les acteurs de la menace adaptent les courriels pour attaquer un groupe spécifique de personnes, comme les employés d'un département financier. Ils peuvent collecter des données à partir de logiciels espions ou de sources sur Internet, comme des pages de médias sociaux, afin de recueillir des noms, des titres de poste, des adresses électroniques, etc. pour concevoir une attaque de spear-phishing convaincante. Des tactiques similaires peuvent aider les hackers à lancer des attaques de type "whaling".
Pourquoi appelle-t-on cela une attaque de harponnage ?
Les termes phishing, spear-phishing et harponnage sont tous analogues à la pêche. Tandis que les pêcheurs jettent une ligne avec appât dans l'eau dans l'espoir de capturer un des nombreux poissons, un hacker envoie des emails de phishing à de nombreuses personnes en espérant attraper au moins une victime. De la même manière, tout comme certains experts en pêche utilisent des harpons pour chasser un seul poisson, les acteurs de la menace utilisent le spear-phishing pour des cibles spécifiques.
Quant aux baleines, ces mammifères sont les plus grands poissons dans la mer et une cible à haute valeur pour certains pêcheurs. De même, les attaques de harponnage en cybersécurité visent également des cibles lucratives, telles que les dirigeants d'une entreprise.
Comment fonctionne une attaque de harponnage ?
Les cibles de haut niveau se méfient des attaques par hameçonnage, hackers utilisent diverses stratégies pour assurer le succès de leur campagne d'hameçonnage. Par exemple, ils peuvent exploiter la page LinkedIn d'un cadre pour donner une touche personnelle à leur campagne. En fait, les failles de sécurité sont la raison pour laquelle vous ne devriez peut-être pas utiliser LinkedIn du tout. Un attaquant peut également rechercher le jargon du secteur pour paraître légitime et exploiter les émotions d'une cible en lui proposant une opportunité commerciale lucrative. Une fois la phase de collecte de renseignements terminée, il peut utiliser les vecteurs d'attaque suivants :
- Emails : Comme mentionné ci-dessus, les emails conçus pour manipuler leurs cibles sont un vecteur d'attaque commun et utilisent des pièces jointes, des liens ou des sites web malveillants.
- Téléphone : Le Centre National de Sécurité Cybernétique du Royaume-Uni a noté que les attaquants peuvent utiliser des emails et des appels téléphoniques dans une stratégie à deux temps où l'appel téléphonique suit l'email pour renforcer l'attaque de phishing.
- Prétexting : Les escrocs peuvent lier d'amitié avec une cible sur les réseaux sociaux en se faisant passer pour un partenaire commercial potentiel, un intérêt amoureux, un pair de l'industrie ou une figure d'autorité comme un fonctionnaire des impôts.
- Appât : L'attaquant peut inciter une cible à utiliser une clé USB infectée qui semble authentique en la laissant dans leur bureau, casier de salle de gym ou en la leur envoyant par courrier.
Quel est l'objectif des attaques de harponnage ?
- Argent : Les attaquants peuvent utiliser l'attaque de spear-phishing pour tromper les victimes à leur envoyer de l'argent par virement ou extorquer une organisation après une exfiltration de données.
- Contrôle : Un hacker peut utiliser des identifiants volés pour se déplacer latéralement dans le réseau d'une organisation ou ouvrir des portes dérobées.
- Attaque de la chaîne d'approvisionnement : On parle d'attaque de la chaîne d'approvisionnement lorsque hackers attaquent des organisations en s'introduisant dans des éléments vulnérables de leur chaîne d'approvisionnement. Avec le whale phishing, un cybercriminel pourrait théoriquement attaquer un gouvernement en piratant son fournisseur pour une attaque de type "man-in-the-middle".
- Espionnage industriel : Avec une attaque de harponnage réussie, un hacker peut voler la propriété intellectuelle ou d'autres secrets commerciaux pour aider des concurrents, parfois dans un autre pays.
- Les logiciels malveillants: Un gang de cybercriminels peut inciter les victimes d'une attaque de baleine à installer des logiciels malveillants dangereux tels que des rançongiciels, des enregistreurs de frappe ou des rootkits.
- Vendetta personnelle : La victime d'une attaque de harponnage peut subir une perte catastrophique de sa réputation.
Quel est un exemple de harponnage ?
Au fil des ans, il y a eu de nombreuses attaques de harponnage, que certains médias appellent aussi des escroqueries par email de PDG. Voici quelques exemples :
2015 : Une filiale hongkongaise de la société de télécommunications Ubiquiti Networks Inc. s'est fait dérober 46,7 millions de dollars après qu'un email frauduleux ait trompé un employé de la finance.
2015 : Un cadre financier du géant de la fabrication de jouets Mattel a transféré 3 millions de dollars à un escroc après avoir reçu une demande frauduleuse qui semblait provenir du nouveau PDG.
2016 : Un fabricant aérospatial autrichien du nom de FACC a licencié son PDG après avoir perdu 58 millions de dollars dans une escroquerie par email de harponnage.
2016 : Un employé des ressources humaines de Snapchat a divulgué les données de paie des employés après une escroquerie par email de PDG.
2017 : Les pirates ont escroqué un petit entrepreneur de 50 000 $ dans une attaque de harponnage type homme du milieu.
2020 : Des cybercriminels ont utilisé un lien malveillant pour attaquer le co-fondateur d'un fonds spéculatif australien avec de la fraude, forçant l'entreprise à fermer.
Comment prévenir les attaques de harponnage ?
Une organisation peut atténuer la menace des attaques de harponnage en apprenant comment détecter les tentatives de phishing des hackers, comme vérifier l'URL, l'adresse e-mail, les liens et les pièces jointes d'un email pour y repérer des signaux d'alerte. De même, le langage, le ton et la grammaire d'un email peuvent être révélateurs. En plus de la formation anti-phishing, des attaques de harponnage simulées peuvent également améliorer les compétences de détection de phishing d'une équipe. Pour plus de sécurité, les entreprises devraient utiliser un logiciel de cybersécurité qui bloque les vecteurs d'attaque de harponnage tels que les sites web frauduleux.