Spear phishing et téléphone : la nouvelle technique des pirates pour voler les données

Symantec, l'éditeur de logiciels spécialisés dans les antivirus, vient tout juste de présenter son rapport annuel sur la sécurité, et les grandes tendances des menaces du web de l’année 2013 se précisent. Bonne nouvelle tout d'abord : le spam fonctionne de moins en moins bien, les internautes étant plus vigilants qu’auparavant et les attaques des cyberdélinquants s’étant davantage déportées vers les réseaux sociaux. En outre, au niveau mondial tout d’abord, la France passe du 17e au 16e rang des pays les plus concernés par les attaques de cyberdélinquants. Le pays intéresse visiblement beaucoup moins les hackers qu’il y a quelques années, l’Hexagone ayant longtemps été classé dans le top 10 des pays les plus infectés. Un phénomène qui se confirme puisqu’au niveau européen, l’Hexagone est seulement classé en 6e position.

Un simple coup de fil à la secrétaire, et c'est le drame

Mais ils ne chôment pas pour autant, les pirates. L’une des tendances pour cette année est le spear-fishing (dont les premières tentatives remontent à 2006). Il s’agit d’une tentative de fishing « ciblée », qui n’est destinée qu’à une ou deux personnes d'une entreprise. Laurent Heslault, directeur des stratégies de sécurité chez Symantec, prend d’ailleurs en exemple cette attaque qui a lieu la semaine dernière : « des secrétaires reçoivent un coup de fil d'une personne qu’elles ne connaissaient pas, mais qui se fait passer pour un employé de la société. Le délinquant demande alors à la secrétaire de se rendre sur un site, afin d’entrer quelques informations et d’imprimer un document en urgence pour leur patron (en le nommant précisément). ». Bien évidemment, derrière le site en question se cache une tentative d’hameçonnage, visant à dérober des informations sur l’entreprise et ses employés. On peut facilement imaginer que, dans l’urgence et parce qu’au moins une personne réelle de la société est nommée, ce genre de plan fonctionne. Et le fait de coupler un véritable coup de fil à un site de phishing, c’est une première…

De gros sites qui sont très mal protégés


Autre point de cette année 2013 : il semble que beaucoup de sites dits « légitimes » soient incapables de se prémunir face aux pirates. En effet, 61 % des sites malveillants sont en réalité des sites parfaitement honnêtes, lesquels ont été victimes à un moment ou un autre d’une attaque. En outre, selon Symantec, 53 % de ces sites légitimes sont victimes de failles non patchées, et 24 % de vulnérabilités « critiques ». Au final, ce sont pas moins de 247 350 attaques qui sont repoussées chaque jour sur le Web. Enfin, peut-être plus anecdotique, mais pas totalement anodin, Symantec met avant les « prouesses » du projet Elderwood, qui a fait preuve d’une grosse activité depuis quelques mois : sur les 14 vulnérabilités Zero-Day qui ont été découvertes l’an passé, 4 sont attribuées à ce groupe (et 3 sur 8 en 2011).
Bref, les failles de sécurité du web restent actualité, et si elles sont parfois découvertes par quelques groupuscules de hackers désintéressés, elles sont de plus en plus exploitées par des organismes mercantiles. Des extorsions qui peuvent rapporter des millions à leurs auteurs : Symantec suit ainsi un échantillon de 16 « grands groupes » de cyberdélinquants spécialisés dans les rançongiciels, qui auraient récolté à eux seuls la coquette somme de 5 millions de dollars sur l’année 2012

Posez une question dans la catégorie News du forum
Cette page n'accepte plus de commentaires
Soyez le premier à commenter
    Votre commentaire