Selon l’entreprise de cybersécurité Vade Secure, au cours du seul troisième trimestre, les attaquants ont envoyé plus de 203,9 millions de courriels, contre 155,3 millions au trimestre précédent.
Axé sur la sécurité des e-mails et la détection des menaces, Vade Secure (ex Vade Retro) a constaté que les courriels de phishing avaient augmenté de plus de 31 % au troisième trimestre de cette année par rapport au trimestre précédent le nombre d’e-mails contenant des logiciels malveillants au cours des trois premiers trimestres, a dépassé le niveau de 55,8 millions de 2021, et le nombre d’e-mails contenant des logiciels malveillants au cours du seul troisième trimestre 2022 a augmenté de 217 % par rapport à la même période. en 2021. Le nombre d’e-mails malveillants a culminé en juillet à 19,2 millions, puis a chuté d’un mois à l’autre en août et septembre à 16,8 et 16,5 millions, respectivement. Selon le rapport, le courrier électronique est le vecteur d’attaque préféré pour le phishing (attaques de phishing), et les logiciels malveillants, car il fournit aux pirates un accès direct aux utilisateurs, et est considéré comme le maillon le plus faible de la surface d’attaque d’une organisation.
Le rapport analyse les données de phishing et de malware collectées par Vade. Ces attaques sont de plus en plus sophistiquées, mais elles sont aussi de plus en plus capables d’échapper aux mesures de sécurité de base fournies par les fournisseurs de messagerie, selon la firme de cybersécurité, qui opère à l’international, selon Vader. Bien que l’activité des acteurs menaçants ait fluctué, les recherches de Vade ont révélé que l’usurpation d’identité de marques bien connues et bien connues reste la tactique d’attaque la plus populaire. Au troisième trimestre 2022, Facebook était la marque la plus imitée pour le deuxième trimestre consécutif, suivie de Google, MTB, PayPal et Microsoft. Le secteur des services financiers reste l’industrie la plus trompée : il concentre 32% des emails de phishing détectés par Vade, suivi du cloud à 25%, des réseaux sociaux à 22% et d’internet/telco à 13%.
Des attaques de plus en plus ciblées
À mesure que les attaques de phishing se sont multipliées, les techniques utilisées par les pirates ont également augmenté. Jusqu’à présent, les campagnes de phishing ont été des opérations importantes et aléatoires. Mais les dernières actions observées par Vade suggèrent que les hackers ont opté pour une attaque plus ciblée. Par exemple, la société de cybersécurité a évoqué dans son rapport une attaque observée en juillet 2022 dans laquelle un e-mail de phishing a usurpé une page Instagram, pour profiter des procédures de vérification de la plateforme de médias sociaux. La campagne ciblait les e-mails indiquant leurs vrais noms d’utilisateur, prouvant que les pirates passaient du temps à rechercher leurs cibles avant chaque attaque.
Le rapport pointe une autre activité inquiétante, où les pirates utilisent des services légitimes pour transmettre et cacher leurs attaques de phishing.
Par exemple, en septembre, Vade a découvert une campagne exploitant le site français Pôle Emploi et l’utilisant pour distribuer des liens de phishing aux entreprises à la recherche de candidats. « Lors des attaques de phishing, les pirates postulent à des offres d’emploi et téléchargent des CV PDF contenant des liens malveillants », a déclaré Vade. « Lors de la soumission, la plateforme génère un e-mail contenant le PDF malveillant et l’envoie automatiquement à l’entreprise en phase de recrutement pour examen. Selon Vade, il s’agit d’une nouvelle tactique d’attaque qui devrait changer à l’avenir. Elle est plus courante car elle fait gagner du temps et des efforts aux pirates dans la conception d’e-mails qui se font passer pour d’autres. « une entreprise ». Cela augmente également la probabilité d’une attaque réussie en réduisant la suspicion d’activité malveillante par les victimes potentielles.
Former les employés à repérer les attaques
Alors que la formation des employés sur les dangers du phishing est sans aucun doute bénéfique, le National Cyber Security Center (NCSC) du Royaume-Uni a mis en garde les entreprises contre le leurre des employés dans des tests de phishing, affirmant que la plupart des implémentations fournissent peu de « mesure objective » de l’entreprise. Défensif, et peut « entraîner une perte de temps et d’efforts ». Un article de blog sur le site Web du NCSC explique que répondre aux e-mails et cliquer sur des liens fait partie du travail, il est donc très difficile de briser ces habitudes. « Demander aux utilisateurs de prendre le temps d’analyser attentivement chaque e-mail peut peser lourdement sur leurs heures de travail quotidiennes », indique le message.
Duane Nicol, chef de produit senior pour la formation de sensibilisation chez Mimecast, est d’accord. Selon lui, une formation de sensibilisation holistique est préférable pour maintenir l’engagement des utilisateurs, car elle fournit plus de contexte sur les raisons pour lesquelles ces pratiques se produisent et leur impact sur la résilience globale de l’entreprise face aux cyberattaques. « Dans une approche à plusieurs niveaux, les utilisateurs sont plus susceptibles de s’engager dans une formation qui favorise une culture dans laquelle le signalement d’e-mails suspects sur le lieu de travail devient normal et est plus vigilant en dehors du lieu de travail. », en particulier sur les réseaux sociaux et dans leur vie quotidienne », a-t-il déclaré.
Par précaution, demandez conseil à votre informaticien « Adeprinteam ».