Attaques de harponnage : la fraude par email ciblée expliquée
Le harponnage est une cyberattaque sophistiquée qui cible des individus ou des organisations spécifiques en utilisant des informations personnelles soigneusement recherchées pour créer des communications frauduleuses convaincantes. Contrairement aux campagnes de phishing de masse qui jettent un filet large, les attaques de harponnage sont méticuleusement élaborées pour apparaître comme une correspondance légitime provenant de collègues de confiance, de cadres, de fournisseurs ou d'institutions. Les attaquants passent des jours ou des semaines à rechercher leurs cibles par le biais des réseaux sociaux, des sites Web d'entreprise et des registres publics afin de rassembler des détails sur les responsabilités professionnelles, les relations, les projets en cours et les modèles de communication. Selon le FBI's Internet Crime Complaint Center, les compromissions de messagerie professionnelle (une forme de harponnage) ont entraîné des pertes supérieures à 2,7 milliards de dollars en 2022, les incidents individuels atteignant en moyenne entre 5 000 et 50 000 dollars. Ces attaques sont devenues de plus en plus sophistiquées, les criminels se faisant passer pour des PDG demandant des virements urgents, des départements RH demandant des informations W-2, ou des administrateurs informatiques demandant des réinitialisations de mot de passe. La nature personnalisée de ces emails contourne de nombreux filtres de sécurité traditionnels et exploite la confiance humaine plutôt que les vulnérabilités techniques. Le danger du harponnage s'étend au-delà de la perte financière immédiate. Les attaques réussies peuvent compromettre des réseaux entiers, entraînant des violations de données affectant des milliers de clients, des infections par rançongiciels, le vol de propriété intellectuelle et des dommages réputationnels à long terme. L'attaque de harponnage moyenne se déploie entre 1 et 7 jours à partir du contact initial jusqu'à l'exploitation, laissant aux victimes peu de temps pour reconnaître la tromperie avant que des dégâts importants ne se produisent. Les organisations de tous les secteurs (des entreprises Fortune 500 aux petites entreprises, aux établissements de santé et aux agences gouvernementales) font face à des menaces constantes de harponnage provenant de groupes criminels organisés et d'acteurs parrainés par l'État.
Common Tactics
- • Rechercher les cibles en profondeur via LinkedIn, les sites Web d'entreprise et les réseaux sociaux pour rassembler les noms, les titres, les relations, les projets en cours et les styles de communication, puis intégrer ces informations dans des emails qui semblent générés en interne.
- • Usurper l'identité de cadres ou de hauts fonctionnaires en créant des adresses e-mail presque identiques (en changeant un caractère ou en utilisant des domaines différents) et en imitant les styles d'écriture pour demander des virements urgents ou des informations sensibles aux subordonnés.
- • Compromettre les comptes de messagerie légitimes par le biais de violations antérieures, puis utiliser ces comptes authentifiés pour envoyer des demandes malveillantes aux contacts, en exploitant les relations de confiance établies au sein des organisations.
- • Chronométrer les attaques stratégiquement autour des délais de fin de trimestre, des jours fériés ou des événements commerciaux connus lorsque les cibles sont pressées ou que le personnel clé est indisponible pour vérifier les demandes inhabituelles par d'autres canaux.
- • Intégrer des liens malveillants qui mènent à des pages de connexion répliquées convaincantes pour Office 365, Google Workspace ou les VPN d'entreprise, récoltant les identifiants lorsque les victimes tentent de s'authentifier, puis utilisant l'accès volé pour d'autres attaques.
- • Créer des prétextes élaborés impliquant des projets en cours, des relations avec des fournisseurs ou des exigences de conformité réglementaire qui poussent les cibles à agir rapidement sans suivre les procédures normales de vérification ou obtenir des approbations supplémentaires.
How to Identify
- Les adresses e-mail qui ressemblent étroitement à des adresses d'entreprise ou de collègues légitimes mais contiennent des différences subtiles comme des caractères supplémentaires, des fautes d'orthographe ou des domaines alternatifs ([email protected] au lieu de @companyinc.com).
- L'urgence ou le secret inhabituels dans les demandes, en particulier les exigences de contourner les procédures normales, d'éviter de dire aux superviseurs ou de compléter les actions avant des délais spécifiques sans explication adéquate pour le calendrier accéléré.
- Les demandes d'actions sensibles qui arrivent en dehors des heures de travail, pendant les jours fériés ou lorsque la personne supposée serait normalement indisponible, en particulier les demandes de virement de cadres qui prétendent être en voyage ou en réunion.
- Les légères incohérences dans le style d'écriture, le ton ou le formatage par rapport à la façon dont la personne usurpée communique habituellement, y compris les salutations inhabituelles, les blocs de signature ou la formulation qui semble déplacée.
- Les pages de connexion accessibles via des liens e-mail qui ont des URL suspectes ne correspondant pas au domaine officiel (microsof-login.com au lieu de microsoft.com) ou dépourvues de certificats de sécurité appropriés (pas d'icône de cadenas HTTPS).
- Les demandes faisant référence à des projets, des relations ou des détails qui semblent exacts mais contiennent de petites erreurs, des informations obsolètes ou des détails qui auraient pu être rassemblés à partir de sources publiques plutôt que de connaissances internes.
How to Protect Yourself
- Mettre en œuvre et appliquer l'authentification multifacteur (MFA) sur tous les comptes de messagerie, les services cloud et les systèmes financiers pour s'assurer que les identifiants volés seuls ne peuvent pas donner aux attaquants l'accès à des systèmes ou des données critiques.
- Établir des procédures de vérification hors bande exigeant des appels téléphoniques ou une confirmation en personne pour tout virement, toute demande d'identifiants ou tout changement d'informations de paiement, en utilisant des numéros de téléphone connus plutôt que les détails de contact fournis dans les emails suspects.
- Mener une formation régulière de sensibilisation à la sécurité qui comprend des simulations réalistes de harponnage spécifiques à votre organisation, enseignant aux employés à reconnaître les attaques personnalisées et créant une culture où remettre en question les demandes suspectes est encouragé.
- Configurer les systèmes de sécurité e-mail pour signaler ou mettre en quarantaine les e-mails provenant de sources externes qui correspondent étroitement à des adresses internes, et mettre en œuvre des avertissements visuels sur tous les e-mails externes afin que les destinataires puissent rapidement identifier la correspondance provenant de l'extérieur de l'organisation.
- Restreindre les informations publiquement disponibles sur la structure organisationnelle, les rôles des employés, les projets en cours et les processus internes sur les sites Web d'entreprise et les réseaux sociaux afin de limiter les renseignements que les attaquants peuvent rassembler pendant les phases de reconnaissance.
- Développer et appliquer des flux d'approbation clairs pour les actions sensibles comme les virements au-dessus de seuils spécifiques, les changements de paiement des fournisseurs et l'accès aux données confidentielles qui exigent que plusieurs personnes autorisées complètent, en prévenant les points de défaillance uniques.
Real-World Examples
Un responsable des finances dans une entreprise manufacturière de taille moyenne a reçu un e-mail apparemment provenant du PDG demandant un virement urgent de 47 000 dollars à un nouveau fournisseur pour un projet d'acquisition confidentiel. L'e-mail est arrivé tard vendredi après-midi avec des instructions pour ne pas en discuter avec d'autres cadres. L'adresse e-mail était [email protected] au lieu de la légitime @companygroup.com. Le responsable, se pressant de partir pour le week-end et sachant que le PDG voyageait, a traité le virement sans vérification. Le lundi, l'entreprise a découvert que les fonds avaient été envoyés à un compte à l'étranger et n'étaient pas récupérables.
Un coordinateur RH a reçu un e-mail apparemment provenant du prestataire de paie externe de l'entreprise demandant les formulaires W-2 mis à jour pour tous les employés pour un audit de conformité fiscale. L'e-mail incluait le logo correct de la société de paie et faisait référence à des conversations récentes sur le traitement de fin d'année. Le coordinateur a téléchargé les formulaires demandés vers un dossier partagé fourni dans l'e-mail. En quelques heures, l'attaquant a utilisé les numéros de sécurité sociale et les informations financières volés pour déposer des déclarations fiscales frauduleuses pour 200 employés. L'e-mail provenait en réalité d'un domaine usurpé, et la véritable entreprise de paie a confirmé qu'elle n'avait jamais fait de telle demande.
Un administrateur informatique dans une organisation de santé a cliqué sur un lien dans un e-mail apparemment provenant de Microsoft concernant une mise à jour de sécurité critique d'Office 365 nécessitant une vérification immédiate du mot de passe. Le lien menait à une réplique convaincante de la page de connexion Microsoft. Après avoir saisi les identifiants, l'attaquant a accédé au compte de l'administrateur avec des privilèges élevés, a installé un rançongiciel sur le réseau et a exfiltré 50 000 dossiers de patients. L'attaque a causé un arrêt du système de trois jours coûtant plus de 200 000 dollars à l'organisation en frais de récupération et amendes réglementaires. L'URL du lien malveillant était microsoftservices-update.com plutôt que le domaine légitime microsoft.com.