Qu'est-ce que le harponnage ?
Le harponnage est un type sophistiqué d'attaque de spear phishing où les acteurs malveillants ciblent directement des dirigeants d'une organisation ou se font passer pour eux pour tromper d'autres services essentiels, comme les CFO, les services de paie, les équipes de sécurité ou les porte-parole.
Les cybercriminels peuvent utiliser des stratégies complexes de social engineering pour mener à bien des attaques de harponnage, sachant que les dirigeants modernes emploient diversement des stratégies et outils d'atténuation du phishing. Malheureusement, il peut être difficile d'attraper les attaquants parce qu'ils masquent souvent leur localisation et dissimulent leurs traces numériques.
Quelle est la différence entre le harponnage et le phishing ?
Avant d'approfondir ce qu'est le harponnage ou le fonctionnement des attaques de harponnage, nous devrions probablement répondre à la question fréquemment posée : qu'est-ce que le phishing en cybersécurité ? En résumé, le phishing est lorsque les acteurs de la menace se présentent faussement comme des parties de confiance pour gagner la confiance d'une victime et voler leur argent ou leurs informations sensibles. Contrairement aux idées reçues, les attaques de phishing ne se limitent pas aux emails. Par exemple, les attaques de phishing utilisant des messages texte sont appelées smishing, et celles utilisant des communications vocales sont appelées vishing.
Les emails de phishing ciblent généralement de nombreux utilisateurs d'Internet et sont plus faciles à repérer car les malfaiteurs les conçoivent pour un auditoire de masse. En fait, ils envoient des milliards d'emails de phishing chaque jour. Cependant, les attaques de phishing peuvent aussi être plus ciblées.
Qu'est-ce qu'une attaque de spear-phishing ?
Une attaque de spear-phishing est une variante plus ciblée où les menaces conçoivent des emails pour attaquer un groupe spécifique de personnes, comme les employés d'un service financier. Ils peuvent récolter des données à partir de logiciels espions ou de sources sur Internet comme les réseaux sociaux pour collecter des noms, titres de poste, adresses e-mail, et bien plus, afin de concevoir une attaque convaincante de spear-phishing. Des tactiques similaires peuvent aider les hackers à lancer des attaques de harponnage.
Pourquoi appelle-t-on cela une attaque de harponnage ?
Les termes phishing, spear-phishing et harponnage sont tous analogues à la pêche. Tandis que les pêcheurs jettent une ligne avec appât dans l'eau dans l'espoir de capturer un des nombreux poissons, un hacker envoie des emails de phishing à de nombreuses personnes en espérant attraper au moins une victime. De la même manière, tout comme certains experts en pêche utilisent des harpons pour chasser un seul poisson, les acteurs de la menace utilisent le spear-phishing pour des cibles spécifiques.
Quant aux baleines, ces mammifères sont les plus grands poissons dans la mer et une cible à haute valeur pour certains pêcheurs. De même, les attaques de harponnage en cybersécurité visent également des cibles lucratives, telles que les dirigeants d'une entreprise.
Comment fonctionne une attaque de harponnage ?
Avec des cibles de haut niveau méfiantes face aux attaques de phishing, les pirates utilisent diverses stratégies pour réussir leur campagne de harponnage. Par exemple, ils peuvent exploiter la page LinkedIn d'un dirigeant pour personnaliser leur campagne. En fait, les violations de sécurité sont la raison pour laquelle peut-être vous ne devriez pas utiliser LinkedIn du tout. Un harponneur peut également rechercher le jargon de l'industrie pour paraître légitime et exploiter les émotions d'une cible en proposant une opportunité commerciale lucrative. Après avoir terminé la phase de collecte de renseignements, ils peuvent utiliser les vecteurs d'attaque de harponnage suivants :
- Emails : Comme mentionné ci-dessus, les emails conçus pour manipuler leurs cibles sont un vecteur d'attaque commun et utilisent des pièces jointes, des liens ou des sites web malveillants.
- Téléphone : Le Centre National de Sécurité Cybernétique du Royaume-Uni a noté que les attaquants peuvent utiliser des emails et des appels téléphoniques dans une stratégie à deux temps où l'appel téléphonique suit l'email pour renforcer l'attaque de phishing.
- Prétexting : Les escrocs peuvent lier d'amitié avec une cible sur les réseaux sociaux en se faisant passer pour un partenaire commercial potentiel, un intérêt amoureux, un pair de l'industrie ou une figure d'autorité comme un fonctionnaire des impôts.
- Appât : L'attaquant peut inciter une cible à utiliser une clé USB infectée qui semble authentique en la laissant dans leur bureau, casier de salle de gym ou en la leur envoyant par courrier.
Quel est l'objectif des attaques de harponnage ?
- Argent : Les attaquants peuvent utiliser l'attaque de spear-phishing pour tromper les victimes à leur envoyer de l'argent par virement ou extorquer une organisation après une exfiltration de données.
- Contrôle : Un hacker peut utiliser des identifiants volés pour se déplacer latéralement dans le réseau d'une organisation ou ouvrir des portes dérobées.
- Attaque de la chaîne d'approvisionnement : Une attaque de la chaîne d'approvisionnement survient lorsque des hackers ciblent des organisations en pénétrant des éléments vulnérables de leur chaîne d'approvisionnement. Avec le harponnage, un cybercriminel pourrait théoriquement attaquer un gouvernement en piratant leur fournisseur pour une attaque de l'homme du milieu.
- Espionnage industriel : Avec une attaque de harponnage réussie, un hacker peut voler la propriété intellectuelle ou d'autres secrets commerciaux pour aider des concurrents, parfois dans un autre pays.
- Malware : Un gang de cybercriminels peut tromper les victimes d'attaques de harponnage pour qu'elles installent des malwares dangereux comme ransomware, keyloggers, ou rootkits.
- Vendetta personnelle : La victime d'une attaque de harponnage peut subir une perte catastrophique de sa réputation.
Quel est un exemple de harponnage ?
Au fil des ans, il y a eu de nombreuses attaques de harponnage, que certains médias appellent aussi des escroqueries par email de PDG. Voici quelques exemples :
2015 : Une filiale hongkongaise de la société de télécommunications Ubiquiti Networks Inc. s'est fait dérober 46,7 millions de dollars après qu'un email frauduleux ait trompé un employé de la finance.
2015 : Un cadre financier du géant de la fabrication de jouets Mattel a transféré 3 millions de dollars à un escroc après avoir reçu une demande frauduleuse qui semblait provenir du nouveau PDG.
2016 : Un fabricant aérospatial autrichien du nom de FACC a licencié son PDG après avoir perdu 58 millions de dollars dans une escroquerie par email de harponnage.
2016 : Un employé des ressources humaines de Snapchat a divulgué les données de paie des employés après une escroquerie par email de PDG.
2017 : Les pirates ont escroqué un petit entrepreneur de 50 000 $ dans une attaque de harponnage type homme du milieu.
2020 : Des cybercriminels ont utilisé un lien malveillant pour attaquer le co-fondateur d'un fonds spéculatif australien avec de la fraude, forçant l'entreprise à fermer.
Comment prévenir les attaques de harponnage ?
Une organisation peut atténuer la menace des attaques de harponnage en apprenant comment détecter les tentatives de phishing des hackers, comme vérifier l'URL, l'adresse e-mail, les liens et les pièces jointes d'un email pour y repérer des signaux d'alerte. De même, le langage, le ton et la grammaire d'un email peuvent être révélateurs. En plus de la formation anti-phishing, des attaques de harponnage simulées peuvent également améliorer les compétences de détection de phishing d'une équipe. Pour plus de sécurité, les entreprises devraient utiliser un logiciel de cybersécurité qui bloque les vecteurs d'attaque de harponnage tels que les sites web frauduleux.