Cette technique se caractérise par l’envoi d’un email ultra personnalisé, qui ressemble de très près à ceux que la victime a l’habitude de recevoir. Pour protéger ses clients du spear phishing, il est absolument nécessaire de connaître les techniques les plus utilisées par les hackers.
La demande de carte cadeau

Tous ceux ayant déjà reçu un message semblant provenir de PDG et demandant d’acheter une carte cadeau Amazon d’une valeur de 100 $, connaissent cette attaque. Dans ce type de spear phishing, le hacker se fait souvent passer pour un cadre supérieur et demande à un collaborateur d’acheter des cartes cadeaux en son nom. Il peut prétendre être débordé ou en réunion et avoir besoin de ces cartes immédiatement.

Son adresse email ressemble résolument à celle de la personne pour laquelle il se fait passer. S’il ne fait pas attention, le collaborateur visé ne doutera pas une seconde de l’authenticité du message. Les données publiées par Consumer Sentinel révèlent que cette stratégie est la plus efficace utilisée par les hackers. Rien qu’en 2021, elle leur aurait permis de mettre la main sur 148 millions de dollars.

Mais alors, comment faire pour mieux protéger ses clients contre cette technique de spear phishing ? Pour commencer, il est important de leur expliquer à quoi ressemblent ces cyberattaques et de s’assurer qu’ils essaient au maximum de les repérer et de les signaler. Pour renforcer leur sécurité, les entreprises peuvent également déployer une solution anti spear phishing basée sur l’IA, qui analyse à la fois le contenu et le contexte des emails pour identifier les indices que les outils classiques ne peuvent pas remarquer.
La demande de virement

En janvier 2022, le promoteur immobilier parisien, Sefri-Cime, a malheureusement fait la Une, après s’être fait dérober plus de 30 millions d’euros suite à une cyberattaque de type fraude au président ayant visé ses employés. Même si cette colossale cyberattaque est probablement un record, les emails de spear phishing demandant à virer des fonds peuvent donc s’avérer extrêmement coûteux pour l’entreprise comme pour ses clients.

Cette attaque est souvent appelée attaque BEC (business email compromise) et consiste encore une fois à se faire passer pour un dirigeant et demander à un collaborateur de virer des fonds sur un compte. Beaucoup peuvent penser que personne n’irait procéder à un virement d’une grosse somme sans faire quelques vérifications, mais ce serait mal comprendre la position d’un comptable dans une entreprise.

En effet, ils ont l’habitude de recevoir des factures d’une multitude d’entités. Pourquoi se méfier d’un email provenant de ce qu’ils pensent être une personne avec laquelle ils travaillent depuis des années ? Surtout si la facture paraît authentique. Il suffit de ne pas remarquer une petite différence dans l’adresse email du hacker pour ouvrir la voie à une cyberattaque.

Selon le rapport fraude 2021 de l’assureur Euler-Hermès, pas moins de 2 entreprises sur 3 implantées en France ont subi au moins une tentative de fraude en 2021 (en premier lieu une fraude au Président/au faux ordre de virement) et cela coûte généralement cher aux entreprises : 33% des victimes ont déclaré un préjudice supérieur à 10 000 euros et 14% un préjudice supérieur à 100 000 euros !

Pour protéger ses clients contre ce type d’attaque de spear phishing, il est utile de montrer à quoi ressemble un scam classique au virement bancaire, mais aussi d’expliquer que ces attaques prétendent souvent que la situation est urgente et contiennent souvent des fautes d’orthographes.
Le contact initial

Habituellement, les attaques de phishing cherchent à faire cliquer sur un lien ou télécharger une pièce jointe. Le spear phishing de contact initial ne demande quant à lui qu’une action limitée de sa victime pour faire des dégâts. Ce type d’email de spear phishing est généralement bref et pose une question plutôt urgente. « Êtes-vous au bureau aujourd’hui ? » ou encore « Auriez-vous un peu de temps à me consacrer dans la semaine ? » L’objectif ? Obtenir une réponse du destinataire, qui permet à l’adresse email du hacker d’être placée en liste blanche et d’éviter ainsi d’arriver dans les spams.

La personne envoyant l’email de contact initial peut tenter d’entrer en relation avec plusieurs membres d’une entreprise pour identifier LA personne qui pourra effectuer un virement ou télécharger un virus.

Ce type d’email de spear phishing passe souvent inaperçu, car il ne présente aucun signe particulièrement inquiétant. Et pourtant, c’est aujourd’hui la méthode de phishing ciblée la plus détectée par nos filtres de protection, largement devant la fraude au président ou encore la fraude aux faux ordres de virement !

Les simulations de phishing sont utiles pour former les utilisateurs à reconnaître et signaler les emails malveillants, mais l’utilisation de véritables exemples d’attaques est nécessaire pour qu’ils se représentent concrètement ce à quoi ils ressemblent. Ainsi, ils comprendront les multiples formes que peut prendre le spear phishing. Enfin, au moment de comparer des solutions de sécurité, il faut toujours penser à vérifier si les adresses email des personnes auxquelles l’utilisateur répond sont automatiquement mises en liste blanche.

En tant que MSP, il est possible de proposer à ses clients une sensibilisation des plus rigoureuses au spear phishing, leur assurer un support continu et leur fournir des informations dès qu’ils en ont besoin. Malheureusement, il suffit d’un moment de faiblesse pour qu’une attaque de spear phishing atteigne son objectif. Pour lutter efficacement contre les cyberattaques, il faut investir dans des solutions efficaces et faciles à déployer, qui trouvent l’équilibre parfait entre intégration et valeur.