Les techniques pour éviter le phishing
Procédé frauduleux visant à pirater et à récupérer des informations personnelles, le phishing trompe les utilisateurs de l’internet depuis un certain temps. Les hackers plus futés arrivent même à éviter les filtres de messagerie pour pénétrer dans les boîtes emails. Contraction de deux mots anglais « fishing » et « phreaking », se traduisant par « piratage de lignes téléphoniques », le phishing est une messagerie électronique qui manipule psychologiquement les victimes dans des démarches généralement en rapport avec leur compte de paiement virtuel, en banque ou dans un site commercial. Quoi qu’il en soit, malgré qu’il n’y ait pas encore de solution radicale afin d’y remédier, il existe quelques techniques pour éviter le phishing.
Une mesure de sensibilisation au phishing, accompagnée de formations
D’une manière générale, une tentative de phishing invite les internautes à se connecter sur un site commercial, bancaire ou une interface de transaction. Selon les prétextes, le courriel demande de mettre à jour les données ou modifier le code secret pour des raisons de sécurité. Par la suite, les malfrats proposent un lien pirate qui leur permettra de récupérer les numéros clients ou les codes confidentiels. Par la sensibilisation, les utilisateurs seront plus vigilants et prendront plus de temps à étudier leurs emails avant de les exécuter. Plus encore, certaines firmes ne se contentent pas de sensibiliser leurs collaborateurs, mais les incitent à participer à des formations continues avec des simulations de phishing. Cette démarche s’avère d’ailleurs être efficace, car selon les sondages, le taux de clics de ces courriels sont en baisse dès le début de la formation. Néanmoins, il a été constaté que la maîtrise du phishing se dégrade au fur et à mesure que le temps passe après ces formations.
Après la sensibilisation, place au signalement pour d’autres mesures
Certes, une formation et une simulation en continu peuvent être un moyen efficace pour tenter de détourner un phishing. Toutefois, dans le monde réel, seule l’expérience de l’utilisateur peut déterminer s’il est confronté à un hameçonnage ou non. Dans la plupart des cas, celui-ci est convié à cliquer sur un email phishing PayPal ou Microsoft, par exemple. Il obtient ensuite une invitation à suivre une formation à travers une fausse identité de ces deux firmes. Si l’utilisateur en question n’est pas assez avisé, il sera aux premières loges pour une attaque de phishing malgré les sensibilisations.
C’est pour ces raisons qu’il est plus prudent d’inciter les employés dans le signalement des messages suspects. Dans cette démarche, le service informatique de l’entreprise sera en alerte pour prendre les dispositions nécessaires. Si un phishing est signalé à temps, ce département l’envoie généralement vers le SOC ou Security Operations Center du développeur de son système de sécurité pour améliorer l’efficacité de leur filtre. Heureusement, il existe des outils qui permettent aux utilisateurs de signaler directement ces emails phishing au SOC, comme le cas des boutons Courrier indésirable et Phishing qui ont été configurés dans Outlook. De ce fait, les menaces sont signalées et neutralisées sans délai. Les utilisateurs pourront ensuite bénéficier d’un filtre de messagerie plus efficace.
