Introduction au phishing

Le mot «Phish» est une analogie pour un pêcheur lancé pour pêcher comme appât pour les attraper. Le phishing est un exemple de technique d'ingénierie sociale utilisée pour tromper les utilisateurs. Il s'agit d'un cybercrime dans lequel les cibles peuvent être contactées par e-mails, SMS, appels pour faire croire à la cible qu'elles proviennent d'une source légitime et que des informations et des données sensibles peuvent être collectées auprès de la cible. Les données ainsi collectées peuvent comprendre des coordonnées bancaires, des informations de compte, etc.

Le phishing est l'une des cyberattaques les plus anciennes qui ait commencé il y a bien des années 1990. Cela a été lancé sur les utilisateurs d'AOL dans les années 1990 pour les inciter à fournir les informations de connexion. Pourtant, c'est l'une des attaques majeures de ces derniers temps et elle est devenue très sophistiquée.

Il existe plusieurs façons de gérer le phishing, comme la sensibilisation des utilisateurs, la législation, la formation des utilisateurs, les mesures techniques pour une cybersécurité appropriée.

Types de phishing

Les types d'attaques de phishing peuvent être classés dans les catégories suivantes:

1. Spear Phishing:

Il s'agit du phishing où un individu ou une entreprise est ciblé. Contrairement au phishing en masse, pour augmenter le taux de réussite, les attaquants de phishing attaquent souvent des individus ou des entreprises et utilisent leurs informations personnelles. Dans cette attaque, les attaquants envoient des messages spécifiés à un individu au lieu d'un générique. Les attaquants ajoutent autant de détails personnels que possible pour tromper les cibles qu'il provient d'une source hautement légitime.

Comment travaillent-ils?

L'hameçonnage par piratage se produit en scannant les profileurs individuels via des sites de réseaux sociaux. À partir d'un profil, ils pourront obtenir leur identifiant de messagerie, leur sexe, leur liste d'amis, leurs emplacements, etc. Avec ces informations, l'attaquant pourra agir avec la cible en tant qu'ami ou une entité familière et les envoyer pour le moment convaincants messages ou messages frauduleux. Plusieurs fois, il arrive que l'individu envoie un lien vers certains sites Web usurpés où il semble être un vrai site Web, mais est utilisé pour récupérer des noms d'utilisateur, des mots de passe, etc. genre d'informations sensibles. Une fois que les attaquants ont rassemblé toutes les informations nécessaires, ils peuvent accéder aux informations bancaires, tromper les attaquants pour télécharger des logiciels malveillants, etc.

Soyez prudent

  • Il faut savoir quelles données sensibles sont visibles sur les sites sociaux et en ligne.
  • Les mots de passe peuvent être créés intelligemment. Il est donc très difficile de faire une supposition.
  • Le logiciel doit être fréquemment mis à jour.
  • Il faut être prudent en cliquant sur les liens dans les e-mails. Même un peu de suspicion, essayez d'éviter de cliquer sur des liens.

2. Phishing par clonage:

Le phishing par clonage est un type de phishing dans lequel un e-mail provenant d'une source légitime est entièrement cloné pour le contenu et du contenu malveillant y est ajouté. L'attaquant peut tromper l'utilisateur qu'il s'agit d'un e-mail mis à jour ou non et qu'il fait du phishing. Gagnez l'e-mail, des liens malveillants peuvent être envoyés et l'utilisateur cible peut être victime de chantage, d'extorsion ou d'exposition.

3. Phishing des baleines:

L'hameçonnage des baleines peut être considéré comme un type d'hameçonnage au harpon car les cibles sont des individus mais pas en vrac. Le phishing des baleines est un type de phishing où les employés de haut niveau sont uniquement ciblés. Il s'agit de cibler les informations hautement sensibles d'une entreprise. Les cibles de cette attaque sont généralement des personnes de niveau CFO / CEO qui détiennent des informations très importantes et sensibles sur l'entreprise. Le terme chasse à la baleine est venu en fonction de la taille de l'attaque (taille de la baleine / grande taille). En raison de la nature très ciblée, il est très difficile d'arrêter ce type d'attaques car les attaquants sont très prudents quant à leur capture et il y a donc de fortes chances que l'attaque réussisse. Les attaques de chasse à la baleine sont hautement personnalisées et ont incorporé le courrier de l'attaquant, les noms et d'autres informations diverses qu'ils peuvent obtenir via diverses sources.

Les attaquants sont prêts à passer beaucoup de temps car les informations leur donnent des rendements très élevés par rapport aux normaux. Des attaques à la baleine ont eu lieu récemment en 2016, au cours desquelles les PDG ont été amenés à fournir des données liées à l'impôt sur le revenu à des tiers non autorisés.

Façons d'effectuer du phishing

Voici différentes méthodes et façons d'exécuter le phishing qui sont expliquées ci-dessous:

Phishing trompeur

Il s'agit de la technique la plus courante dans laquelle les attaquants usurpent l'identité d'une entreprise de confiance et peuvent tenter de voler des données sensibles comme les noms d'utilisateur, etc.

Falsification de site Web

Dans cette attaque, les attaquants utilisent des commandes javascript pour modifier l'adresse de l'URL vers laquelle ils mènent. Cela peut se produire en ouvrant une URL Web falsifiée au lieu d'une URL légitime.

Évasion de filtre

Les hameçonneurs ont commencé à utiliser des images au lieu de texte, de sorte qu'il est difficile pour les filtres anti-hameçonnage de les détecter. Cependant, certains filtres anti-phishing ont la capacité de détecter les textes / scripts cachés intégrés dans les images avec les OCR.

Phishing vocal

Parfois, le phishing n'a pas besoin d'être effectué en ligne. Ils peuvent se produire en passant des appels aux utilisateurs comme s'ils venaient de banques et en les convaincant de fournir des épingles, des noms d'utilisateur, d'autres données sensibles à travers lesquelles des attaques de sécurité financière peuvent être faites comme voler de l'argent, faire des achats, etc.

Phishing par SMS

Un lien frauduleux de phishing peut être envoyé par SMS au lieu d'e-mails. Ce lien agit exactement de la même manière que les liens de spam sur les e-mails. Depuis que les gens utilisent des téléphones portables pour presque tout, cela est devenu très populaire maintenant. Les messages pourraient tromper les utilisateurs avec des messages attrayants ou accrocheurs comme «You Have won 50lakh in a draw. Pour réclamer, cliquez sur… »

Phishing en session

C'est là que le phishing repose sur la session du navigateur capable de détecter la présence d'une autre session. L'hameçonnage peut se produire ici en ouvrant une fenêtre contextuelle qui trompe l'utilisateur comme si elle était ouverte par la session ciblée.

Comment l'identifier?

  • Le nom d'affichage ne peut pas être approuvé.
  • Vérifiez correctement l'adresse e-mail de l'expéditeur. Parfois, l'adresse du site Web indiquée dans l'e-mail ou l'adresse e-mail de l'expéditeur peut être suspecte, ce qui peut être détecté en examinant attentivement.
  • Parfois, le texte du corps de l'e-mail peut être mal écrit, montrant que l'e-mail ne provient pas d'une source légitime.
  • En outre, l'e-mail pourrait contenir des pièces jointes suspectes qui pourraient contenir des logiciels malveillants ou un virus qui s'installe lorsqu'il est ouvert.
  • Devrait s'abstenir de faire confiance si l'e-mail vous demande des informations personnelles qui vous semblent suspectes
  • Les e-mails "urgents" pourraient être une menace. Méfiez-vous quand un e-mail vient avec un sentiment d'urgence. Habituellement, c'est une astuce pour que les utilisateurs ne pensent plus et entreprennent immédiatement l'action comme fournir des informations personnelles et leur faire télécharger des logiciels malveillants, etc.
  • Vérifiez la signature. Les sources légitimes seraient très transparentes et fourniraient des informations de contact complètes, un numéro de téléphone d'assistance, etc. Vérifiez donc si la signature est valide et contient des informations fiables qui aident à comprendre si l'e-mail est authentique.
  • Utilisez des navigateurs appropriés avec certains anti-phishing activés dans les navigateurs. Chrome, Firefox, IE, Safari, etc. ont activé l'anti-phishing.

Anti hameçonnage

1. Il existe quelques sites Web sur Internet qui aident les gens à montrer le message exact qui est diffusé sur Internet pour le phishing. Ces types de sites Web aident à diffuser la sensibilisation.

2. De nombreuses organisations ont commencé à mettre en œuvre des méthodes où les employés sont formés pour appliquer légalement les techniques appropriées au sein de l'organisation afin d'être à l'abri des attaques de phishing. Les organisations mènent également des campagnes de phishing pour faire passer le mot et faire comprendre aux employés l'importance de la sécurité contre le phishing. De plus, les organisations essaient d'adopter un modèle / signature dans les e-mails officiels afin que l'employé sache si l'e-mail est réellement officiel ou non. Cependant, cela dépend aussi du fait que la personne prête attention à ce genre de détails infimes sur les e-mails.

3. Les utilisateurs peuvent être formés pour reconnaître les tentatives de phishing et les contrer avec certaines techniques appropriées.

4. Les navigateurs comme IE, Chrome, Firefox maintiennent une liste de sites Web frauduleux qui sont populaires dans les attaques de phishing. Ceux-ci sensibilisent l'utilisateur avant même d'ouvrir le site Web afin que l'utilisateur soit en sécurité. Cependant, cela ne peut empêcher que 50% du problème car les attaquants après avoir su que leur site Web est bloqué préféreraient évidemment une autre façon en changeant probablement le domaine, etc.

5. Certains sites Web bancaires ont adopté des méthodes intelligentes pour détecter le phishing, comme en demandant aux utilisateurs de saisir le mot de passe uniquement lorsqu'une certaine action est fiable. Par exemple; Le site Web montre un ensemble d'images dont l'utilisateur sélectionnerait une et qui s'affiche. Ce n'est qu'à cette condition qu'un utilisateur est invité à saisir un mot de passe, ce qui suggère que la page Web qu'il consulte est fiable.

6. Les filtres anti-spam sont disponibles sur presque toutes les boîtes aux lettres qui filtrent les e-mails de la boîte de réception.

7. Actuellement, il existe davantage de moyens d'autoriser un utilisateur, comme fournir une méthode de vérification en deux étapes comme un OTP à un numéro de mobile.

8. Avec OAuth où vous pouvez utiliser l'authentification google / facebook / twitter, la connexion frauduleuse est devenue moins possible car la sécurité et la sécurité de la connexion complète sont complètement prises en charge par ces grandes entreprises.

9. Le test de pénétration est une technique qui est autorisée une attaque simulée sur le système informatique pour vérifier le niveau de sécurité du système. Ceci est essentiellement utilisé pour l'évaluation des risques, où l'évaluation évalue à quel point le système peut être éloigné des attaques de sécurité et à quel point le système est vulnérable à de telles attaques. En cela, le système cible est complètement revu et obtient les données. Ensuite, le test est effectué en ayant pour objectif d'attaquer des données particulières, puis de tester la capacité du système à les rencontrer. Le test du stylo est l'un des éléments d'un audit de sécurité complet.

Les phases de test du stylo comprennent

1. Reconnaissance: Il s'agit de la phase où les informations requises sont collectées.

2. Analyse: utilisez des outils pour approfondir les connaissances de l'attaquant sur le système.

3. Accès: Ici, l'attaquant peut utiliser la charge utile pour attaquer le système en utilisant les données de 1 et 2 étapes.

4. Maintien de l'accès: être persistant dans l'attaque du système et rechercher les vulnérabilités.

5. Couvrir les pistes: Soyez anonyme de tout ce qui est effectué.

Ce sont les étapes des tests de pénétration et celui-ci est standard recommandé pour les cyberattaques.

Le test du stylo peut être de deux types:

  • Test externe: lorsque le test est effectué sur des données numériques externes comme le site Web de l'entreprise, les serveurs de messagerie, les serveurs de domaine, etc.
  • Tests internes: c'est celui où les tests sont effectués sur chaque système sur les données qui se trouvent derrière les pare-feu de l'entreprise.

Attaques de phishing signalées

Même lorsque les ordinateurs deviennent intelligents et que toutes les nouvelles techniques viennent contrer le phishing, les attaquants de phishing deviennent encore plus intelligents et proposent les dernières attaques.

1. Les gens ont souvent peur lorsqu'ils reçoivent un courrier disant que leur compte est désactivé. Les attaquants utilisent cette psychologie de l'esprit humain et attaquent par e-mails leur demandant de cliquer sur un lien immédiatement. Comme l'e-mail est accompagné d'une note d'urgence, les gens pourraient facilement être piégés sans même vérifier la réalité

2. Certains e-mails comme ceux des Nigérians sont accompagnés d'une très mauvaise grammaire et d'un contexte ayant quelque chose comme demander un certain montant en tant que don, payer des frais d'hospitalisation élevés, etc. leur argent. Ces e-mails ont été signalés dans toute la mesure du possible par des fraudeurs nigérians.

3. Les attaquants connaissent une autre astuce que les humains ont la conscience de culpabilité et s'en servent pour les effrayer. Les e-mails viendraient avec un contexte disant que vous êtes soumis à une violation et pour lequel vous devez prendre des mesures immédiates comme payer un montant dans les 3 jours, sinon vous pourriez être emprisonné ou susceptible de payer beaucoup d'argent.

4. Les e-mails viennent également avec un contexte comme «Attention .. Agissez immédiatement. Appelez-nous au 1800… numéros pour recevoir le support immédiatement etc. . Dès que vous fournissez, ils accèdent au système et installent des logiciels malveillants ou accèdent à leurs données, etc.

Il est fortement recommandé que les gens soient conscients de tous ces types d'attaques de phishing et adoptent les meilleures pratiques pour être en sécurité dans ce monde numérique.

Articles recommandés

Ceci a été un guide sur Qu'est-ce que le Phishing?. Ici, nous avons discuté de la phase, des types et des moyens d'effectuer du phishing. Vous pouvez également consulter nos autres articles suggérés pour en savoir plus -

  1. Différence entre Phishing et Pharming
  2. Qu'est-ce qu'un algorithme gourmand?
  3. Questions d'entretiens chez Penetration Testing
  4. Qu'est-ce que la sécurité réseau?

Catégorie:

Développement de logiciels