Le phishing est un type de cybercrime qui consiste pour le pirate informatique à se faire passer pour une source digne de confiance en vue de s'emparer des informations sensibles de sa victime, telles que les mots de passe, les données personnelles ou les numéros de carte de crédit.

Les tentatives d'hameçonnage des hackers peuvent prendre plusieurs formes : par e-mail, par téléphone (vishing) ou par SMS (smishing).

Les données ainsi récoltées sont ensuite utilisées à des fins d'usurpation d'identité, de spam, d'escroquerie ou d'espionnage industriel.

Le phishing comprend toutes les tentatives par un pirate informatique de voler des données sensibles, en se faisant passer pour une source digne de confiance.

Le phishing est le terme générique utilisé pour désigner l'hameçonnage par e-mail.

Lorsqu'on parle de smishing, il s'agit alors d'hameçonnage par SMS. Smishing est en effet l'acronyme de SMS et de phishing.

Le terme vishing est utilisé en référence au phishing par téléphone. C'est l'acronyme des mots voice et phishing.

Le harponnage (spear phishing) cible une personne ou un groupe spécifique, en opposition aux campagnes d'hameçonnage de masse. Exemple : le pirate informatique tente de piéger les employés d'une entreprise en leur envoyant un e-mail qui provient d'un collègue dont l'identité a été volée.

Le whaling (traduction anglaise de chasse à la baleine) désigne la technique de harponnage qui cible les « gros poissons » de l'entreprise, à savoir ses décideurs.

La fraude au CEO est une tentative de phishing qui prend la forme d'un message envoyé par un superviseur du destinataire. Celui-ci est davantage susceptible de tomber dans le piège vu l'autorité apparente de l'expéditeur.

Il existe d'autres types d'hameçonnage qui sont expliqués dans le cadre de la Phished Academy.

L'hameçonnage ne peut être détecté par les logiciels antivirus classiques. C'est ce qui en fait l'une des formes de cybercriminalité les plus dangereuses. Les « hameçonneurs » n'ont pas besoin d'infecter votre système informatique avec un virus pour obtenir des informations sensibles. Tout ce dont ils ont besoin, c'est d'un employé un peu trop confiant qui révèle les données sans méfiance.

Si une entreprise est victime d'un incident lié au phishing et que cette information parvient aux médias, c'est l'image de marque de l'entreprise qui risque immédiatement d'en pâtir. En effet, les clients se préoccupent de la sécurité des données personnelles qui sont traitées par l'entreprise. Il y a donc un risque qu'ils perdent confiance dans votre marque.

Les tentatives d'hameçonnage sont aujourd'hui plus difficiles à reconnaître qu'auparavant. Voici quelques conseils généraux:

- Vérifiez l'adresse de l'expéditeur: y a-t-il des fautes de frappe ou des anomalies ? Ne faites confiance qu'aux adresses parfaitement correctes. Dans les autres cas, il s'agit probablement d'une tentative de typosquatting.

- Vérifiez les hyperliens en les survolant avec la souris : est-ce qu'ils pointent bien vers le site internet auquel vous vous attendiez ? Si ce n'est pas le cas, ne cliquez pas dessus.

- Le contenu ou la demande envoyée sortent-ils du périmètre d'actions que vous pourriez attendre de cet expéditeur ? N'essayez pas de dialoguer : alertez plutôt le département informatique.

- Vous avez des doutes ? Contactez toujours votre service informatique.

Attention générale

Restez calme et informez votre service informatique de l'attaque. S'il s'agit d'un e-mail d'hameçonnage, vous devez le signaler comme spam et l'envoyer à [email protected]. Faites vérifier votre ordinateur, votre tablette ou votre smartphone par votre service informatique interne (ou externe).

Attention pour les données

Si vous avez saisi des données lors de l'attaque informatique, scannez votre système, changez le mot de passe du compte concerné et restez attentif à une éventuelle utilisation abusive de vos données.

Attention aux téléchargements

Si vous avez téléchargé un fichier lors de l'attaque informatique, n'ouvrez pas le fichier qui aurait pu être installé et supprimez-le immédiatement. Déconnectez votre ordinateur de tous les réseaux (déconnectez votre Wi-Fi ou débranchez votre câble Ethernet) et scannez votre système.