Il y a quelques jours, j’ai reçu ce mail :
En surface, juste un mail de mon patron, me demandant si je suis disponible. Mais en y regardant de plus près, ce n’est pas son mail qui m’a envoyé ce message, mais une adresse Gmail. Comme des milliers de personnes chaque jour, je viens de recevoir une tentative de phishing.
Mais ici pas de riche héritier Qatari qui me demande 500€ en Western Union dans un français approximatif. Pas non plus de faux mail Amazon au design des années 2000.
Au lieu de ça, un mail qui à l’air relativement normal, mais surtout avec le nom du gérant de mon entreprise.
Phishing : L’hameçonnage (phishing en anglais) est une technique frauduleuse destinée à leurrer l’internaute pour l’inciter à communiquer des données personnelles (comptes d’accès, mots de passe…) et/ou bancaires en se faisant passer pour un tiers de confiance.
Source : economie.gouv.fr
Si avant le phishing consistait à se faire passer pour une grosse entreprise type GAFAM, aujourd’hui on observe de plus en plus d’attaques visant les entreprises, utilisant le nom du / des dirigeant(s) (ici, M. ROUSSELLE, gérant de Prestige Téléphonie).
Cette pratique spécifique est appelée le whaling (ou chasse à la baleine dans la langue de Molière). Le but reste le même, réussir à voler des identifiants, vous faire ouvrir un fichier contenant un virus, voire soutirer l’argent, des butins bien plus intéressants lorsque l’on vise des entreprises.
Mais comment identifier une tentative de phishing ?
Avant tout, le premier élément à vérifier est l’adresse mail utilisée pour envoyer le mail. Cependant les attaques les plus avancées peuvent camoufler leur adresse derrière une adresse qui vous semble correcte (du spoofing).
En cas de doute, le mieux reste de contacter directement la personne autrement (par téléphone par exemple) pour s’assurer que c’est bien son message.
La règle d’or reste de ne jamais communiquer de mot de passe ou autre donnée sensible par email.
Si c’est un mail de Amazon, PayPal, Apple ou autre, ne vous connectez pas via le lien fourni dans le mail. Connectez vous directement sur le site en question en passant par Google.
Comment réagir après une attaque ?
Vous vous êtes fait avoir ? Pas de panique.
Dans un premier temps, changez votre mot de passe sur tout les comptes ou vous l’utilisez.
Si ce sont des coordonnées bancaires que vous avez données, contactez immédiatement votre banque, qui vous indiquera quoi faire.
Dans le cas ou cette tentative de phishing aurait eu lieu sur votre mail professionnel, signalez-le aux personnes en charge au sein de votre entreprise.
Finalement, prenez le temps de signaler la tentative d’hameçonnage sur le site du gouvernement
Les autres formes de hameçonnage
C’est bien beau, mais dans cet article nous n’avons abordé que le phishing par mail. Or il existe autant de façons de faire du phishing que de canaux de communications.
Il faut donc être vigilant particulièrement sur ses mails (qui est le canal le plus utilisé), mais également les SMS, les messages sur vos réseaux sociaux, et même par téléphone !
Nos recommandations sur que faire en cas de phishing
Bon, c’est vrai que vérifier chaque expéditeur de mail peut être vite fatiguant et ressembler à de la paranoïa.
Pour garder l’esprit tranquille sans passer son temps à analyser chaque mail, il est important d’équiper correctement son entreprise et de sensibiliser les collaborateurs à ce genre de risques nouveaux.
Avec un pare-feu Firebox, les liens frauduleux sont bloqués, et les pièces jointes analysées avant ouverture ; assurant une sécurité à tous vos collaborateurs, même en cas d’inattention ! Pour en savoir plus ou pour former vos collaborateurs aux bonnes pratiques, contactez-nous !