Qu’est-ce que la chasse à la baleine et pourquoi est-elle plus dangereuse que le phishing

Personne n’est épargné par le phishing, pas même les dirigeants d’organisations. A cette occasion, nous allons parler d’une variante du phishing qui garantit de très bons résultats pour les cybercriminels : la chasse à la baleine . Les personnes de haute hiérarchie dans une organisation ou qui appartiennent à des institutions financières ou technologiques, font partie de la cible principale de cette cybermenace. Aujourd’hui, dans RedesZone, nous allons vous montrer quelles sont leurs différences par rapport au phishing, comment les identifier et surtout : comment protéger l’organisation de ce type d’attaque.

Qu’est-ce qu’une attaque à la baleine ?

Comme nous l’avons souligné au début, il s’agit d’une variante du phishing. Ce qui le distingue des autres, c’est qu’il s’adresse aux personnes qui occupent des postes de haut niveau dans une organisation. Par exemple, les administrateurs, les présidents et les gestionnaires. Cette variante s’avère très efficace car elle est réalisée à l’aide de techniques d’ ingénierie sociale . Rappelons que ce dernier a pour but de convaincre des personnes d’entreprendre une action impliquant l’utilisation de leurs données personnelles, comme partager des données d’accès à un compte spécifique ou effectuer un virement bancaire « d’urgence ».

Attardons-nous sur le détail de l’urgence. À partir du moment où le cybercriminel manipule les victimes pour qu’elles soient infectées par ce sentiment d’urgence, elles feront simplement ce qu’on leur demande. Il en sera ainsi même si l’action n’est pas tout à fait raisonnable. Nous savons qu’en désespoir de cause ou pour éviter certains désagréments, on peut tout faire. La chasse à la baleine est l’une des attaques qui génère le plus de revenus pour ceux qui les mènent, principalement parce que ses victimes travaillent pour des institutions financières, des organisations dédiées au traitement des paiements ou des entreprises technologiques proposant des services de pointe.

Principales stratégies des attaquants

La National Security Agency du Royaume-Uni explique en détail comment la chasse à la baleine est effectuée. Ce guide vous montrera ce qui est le plus important et ce qu’il est recommandé de faire pour éviter d’être victime de la chasse à la baleine. Tout d’abord, il est bon de savoir qu’il n’y a pas si longtemps, le phishing était considéré comme unique, ce qui signifie que n’importe qui pouvait être victime du même type d’e-mail malveillant.

Cependant, le passage des années a permis aux cybercriminels d’acquérir plus de connaissances sur la terminologie et les références clés de l’entreprise et de l’industrie que seules les victimes pouvaient comprendre. Un e-mail qui sert de passerelle pour mener à bien la chasse à la baleine est déguisé en l’un des nombreux messages qu’un patron, un manager ou un directeur reçoit au quotidien. Rapports, soldes et même transactions bancaires personnelles et d’entreprise.

Voici l’importance de la sensibilisation à la sécurité pour ces personnes de haut rang. Malheureusement, il est d’usage pour eux d’avoir le préjugé qu’il ne se passera rien du tout avec leurs données et qu’ils peuvent faire ce qu’ils veulent en ligne, tant au travail que personnellement. Cette naïveté est exploitée par les cybercriminels pour appliquer l’ingénierie sociale et mener à bien cette variante redoutée du phishing.

Recevoir un e-mail après un appel

C’est l’une des méthodes les plus simples mais efficaces. Le cybercriminel communique avec la victime, lui pose quelques questions qui lui permettent de prendre confiance. De même, il peut être exprimé de manière à pouvoir transmettre ce sentiment d’urgence afin de pouvoir confirmer les données le plus rapidement possible. Dans ce cas, l’e-mail.

Un scénario courant est que ceux qui attaquent se font passer pour des fournisseurs de confiance ou des contacts de la victime. Comment la chasse à la baleine peut-elle devenir si spécifique ? Avant de mener l’attaque en question, le cybercriminel peut autrement compromettre les données de la victime telles que ses contacts dans Google, Outlook et autres. De cette façon, il est plus facile de vous « déguiser » en quelqu’un en qui la victime aurait confiance.

La victime fera tellement confiance aux e-mails qu’elle n’effectuera même pas l’une des principales pratiques de prévention du phishing : vérifier les adresses e-mail. Citons un exemple au hasard: example123 @ redeszone.net est pas la même chose que example_123 @ redezon.net . Nous remarquons qu’il existe une similitude entre les deux directions et à plusieurs reprises, en raison de la précipitation ou d’un autre type de situation, la victime ne prend pas ces quelques secondes pour corroborer si la personne qui vous contactait avait de très bonnes intentions.

Réseaux sociaux à usage personnel et professionnel

En plus du contenu de l’activité de courrier électronique de la personne, ses profils de médias sociaux fournissent de nombreuses informations pour mener à bien la chasse à la baleine. Les comptes de réseaux sociaux professionnels comme LinkedIn peuvent fournir de nombreuses informations sur le réseau de contacts de la victime. Si vous utilisez cette plate-forme, vous pouvez être conscient du fait qu’à chaque fois que vous entrez le profil de l’un de vos contacts, il apparaît s’il s’agit de votre contact au premier, deuxième ou troisième niveau de connexion.

Dans ce cas, s’il est du premier niveau (1er) , il s’agit très probablement d’un contact avec qui vous interagissez fréquemment, d’un membre de votre famille ou d’une personne en qui vous avez confiance. Vous ne le percevez pas, mais tout type de réseau social expose largement des informations vous concernant et cela est utile aux attaquants.

Nous savons que nous pourrions être quelque peu extrêmes et, en tout cas, ne pas avoir de compte enregistré sur un portail du tout. Ainsi, personne ne saura à propos de nous et des choses que nous faisons. Cependant, la connectivité a envahi nos vies de telle manière qu’il est impossible d’éviter de partager des données personnelles, même si nous sommes aussi prudents que possible.

Dans ce dernier, nous devons souligner: prudence . Que vous soyez directeur d’une organisation ou un utilisateur ordinaire, vous devez accorder plus d’attention à votre activité en ligne. N’oubliez pas que le phishing, dans n’importe laquelle de ses variantes, peut apparaître à tout moment et obtenir des avantages grâce à vos données ou à vos ressources financières. Il est très difficile de se remettre des dégâts que ce type d’attaque peut causer, il ne fait donc jamais de mal de douter de situations telles que celles d'»extrême urgence».