Hameçonnage par clonage : reconnaître et déjouer les courriels dupliqués

La plupart des gens connaissent bien les arnaques d'hameçonnage classiques : le prince nigérian, la loterie à laquelle on n'a jamais participé, le parent éloigné qui lègue une fortune. L'hameçonnage par clonage, lui, est d'un tout autre calibre. En misant sur la confiance et en imitant des courriels légitimes avec un réalisme troublant, ces messages piègent même les employés les plus vigilants.

La connaissance demeure la meilleure défense et, dans un paysage numérique en évolution rapide, garder une longueur d'avance n'est pas un simple atout : c'est une nécessité. Ce billet vous donne une compréhension approfondie de l'hameçonnage par clonage, présente des exemples astucieux et vous fournit les outils et les tactiques pour aider votre organisation à s'en défendre.

Qu'est-ce que l'hameçonnage par clonage ?

L'hameçonnage par clonage est une forme sophistiquée d'hameçonnage dans laquelle des cybercriminels reproduisent des courriels légitimes que le destinataire a déjà reçus. Ces courriels clonés semblent provenir d'une source digne de confiance : fournisseur de services de paiement, fournisseur, institution financière, voire un service interne de votre entreprise. Dans la version clonée du message, les attaquants modifient toutefois subtilement certains éléments pour parvenir à leurs fins.

Le caractère insidieux de l'hameçonnage par clonage tient à sa manipulation de la familiarité et de la confiance. Parce que le destinataire reconnaît le contenu et la mise en forme du courriel, il est plus enclin à le juger légitime. La confiance envers l'expéditeur apparent et le contenu du message l'emporte souvent sur toute prudence, ce qui amène les employés à cliquer sur un lien malveillant ou à télécharger une pièce jointe infectée

Exemples récents d'hameçonnage par clonage

Pour mieux cerner cette menace, il est utile de présenter quelques exemples tirés de cyberattaques réelles.

Les arnaques Microsoft SharePoint

Le virage relativement rapide vers le télétravail imposé par la pandémie de COVID-19 a amené les entreprises et les équipes à recourir davantage à des outils de collaboration comme Microsoft SharePoint. Exploitant cette tendance, des acteurs malveillants ont conçu des courriels d'hameçonnage ingénieux imitant de véritables messages Microsoft SharePoint au milieu de 2021.

Reprenant le même gabarit que les courriels standards de demande de fichier ou de partage de document SharePoint, les pirates ont ensuite ciblé les destinataires avec des liens malveillants menant à des fichiers d'apparence authentique. Diverses tactiques d'usurpation leur ont permis d'utiliser des noms d'affichage et des adresses de courriel crédibles, qui n'éveillaient les soupçons qu'à un examen attentif.

L'imitation du département des Transports des États-Unis

Un autre exemple d'hameçonnage par clonage remontant à 2021 a vu des entreprises des secteurs de l'ingénierie, de l'énergie et de l'architecture ciblées par des courriels censément envoyés par le département des Transports des États-Unis. Ces messages trompeurs invitaient les destinataires à soumissionner pour des contrats gouvernementaux potentiellement lucratifs.

En réalité, ces courriels captaient les identifiants Microsoft 365 des destinataires : en cliquant sur un lien du message, ceux-ci étaient invités à se connecter à Microsoft 365 pour soumissionner. Pour rendre l'imitation plus crédible, les pirates avaient enregistré un domaine contenant le mot « gov », qu'on pouvait facilement confondre avec un véritable domaine du gouvernement américain.

Le fonctionnement de l'hameçonnage par clonage

Les exemples précédents ont donné un aperçu du déroulement de ces attaques; voici maintenant un examen plus détaillé du processus.

• Les acteurs malveillants commencent par choisir un courriel légitime provenant d'un expéditeur de confiance : institution financière, fournisseur de services, outil de collaboration, ou même un collègue (par exemple, un bulletin d'entreprise diffusé régulièrement). Ce courriel sert de gabarit à la tentative d'hameçonnage.
• L'étape suivante consiste à créer une copie quasi identique de ce courriel, en veillant à ce que la mise en page, l'image de marque et l'apparence générale demeurent conformes à l'original.
• Une tactique de clonage courante consiste simplement à copier le code source HTML d'un courriel légitime, qui en détermine la structure, le design et le contenu. Munis de ce code, les acteurs malveillants peuvent facilement reproduire le message dans son intégralité et en préserver la mise en page, l'image de marque et l'apparence.
• Une autre méthode de clonage consiste à récupérer les images intégrées, les éléments graphiques ou d'autres médias des courriels légitimes, puis à les insérer dans le message cloné pour assurer une cohérence visuelle
• Après avoir reproduit la structure et le contenu d'un courriel légitime, les attaquants y apportent leurs propres modifications. Il s'agit généralement de remplacer les liens par ceux de leurs sites malveillants ou de substituer des pièces jointes infectées aux pièces jointes légitimes.
• Comme ils disposent habituellement du code HTML brut, il leur est très facile de modifier des courriels légitimes de manière presque imperceptible pour le destinataire moyen.
• Pour accroître les chances que le destinataire croie le message issu de la source annoncée, les tactiques employées comprennent l'usurpation de l'adresse d'expéditeur, l'utilisation de noms de domaine très semblables aux véritables ou la création d'un sentiment d'urgence.
• Si la modification malveillante porte sur un lien, celui-ci mène habituellement à une fausse page Web conçue pour capter des renseignements sensibles : identifiants de connexion, données de carte de crédit ou renseignements personnels. S'il s'agit plutôt d'une pièce jointe malveillante, son ouverture peut installer un maliciel qui donne aux attaquants un accès non autorisé au système ou aux données du destinataire.

Cas d'utilisation de l'hameçonnage par clonage

Pour bien camper le décor, voici quelques scénarios hypothétiques dans lesquels des pirates pourraient recourir à ces tactiques :

Les attaquants clonent les courriels de la direction

Imaginez un gestionnaire intermédiaire d'une entreprise réputée qui reçoit un courriel semblant provenir du PDG. Le message, d'apparence authentique avec l'image de marque de l'entreprise et la signature habituelle du dirigeant, réclame de toute urgence un fichier ou certains renseignements confidentiels. Ne voulant pas faire attendre le grand patron, le gestionnaire s'exécute sans se poser de questions.

En usurpant l'identité de cadres supérieurs, les attaquants exploitent la confiance et l'autorité inhérentes aux postes de haut niveau. Les employés sont moins enclins à remettre en question une directive de la haute direction ou à tarder à y répondre. L'hameçonnage par clonage devient ainsi un vecteur puissant pour soutirer des renseignements sensibles ou manipuler des processus internes.

Berner les clients avec de fausses communications bancaires

Le client d'une institution financière reçoit une alerte par courriel qui, à première vue, reprend le format des communications habituelles de sa banque. On y affirme qu'un problème de sécurité touche son compte et on l'invite à cliquer sur un lien pour vérifier son identité. Le lien mène à une page identique au portail de connexion de la banque. Sans se douter de rien, le destinataire saisit ses identifiants.

Les données financières demeurent une cible de choix pour les cybercriminels. En reproduisant les communications officielles des institutions financières, les attaquants amènent les clients à divulguer leurs identifiants de connexion. Ces identifiants ouvrent à des tiers non autorisés l'accès aux comptes, aux fonds et à d'autres données financières précieuses.

Imiter des confirmations de commande pour récolter des données

Après une séance de magasinage en ligne, Jeanne reçoit un courriel de confirmation de commande d'un site de commerce électronique populaire. Tout semble en ordre : le logo de l'entreprise, la mise en page, même les détails de la commande. S'y cache toutefois un lien l'invitant à « mettre à jour ses renseignements de paiement » en raison d'un supposé problème avec sa transaction récente.

Jeanne clique et saisit les données de sa carte de crédit sur une page qui reproduit à s'y méprendre la passerelle de paiement du site. Le commerce électronique offre un terrain fertile à l'hameçonnage par clonage, en raison du volume considérable de courriels transactionnels que reçoivent les clients. En clonant des confirmations de commande, les attaquants cherchent à faire divulguer des renseignements personnels et des données de paiement. C'est une façon simple d'exploiter la confiance entre les consommateurs et les marchands en ligne populaires.

Ces exemples illustrent la diversité des usages et la portée étendue de l'hameçonnage par clonage. Peu importe le contexte — entreprise, finance ou commerce —, cette technique fait de la confiance et de la familiarité ses principaux outils de tromperie.

Reconnaître les attaques d'hameçonnage par clonage

Savoir reconnaître ces attaques constitue une grande partie du combat. Les employés doivent apprendre à redoubler de vigilance et à guetter certains signes révélateurs.

• Examinez l'adresse de l'expéditeur : même si le courriel semble provenir d'une source légitime parce qu'il imite parfaitement son format habituel, de légères variations dans l'adresse d'expéditeur constituent un signal d'alarme. Par exemple, un message provenant de « support@exarnpIe.com » plutôt que de « support@example.com » : ce domaine trompeur remplace le « m » d'example par « rn » et le « l » minuscule par un « i » majuscule. Vos employés devraient toujours survoler le nom de l'expéditeur pour révéler l'adresse réelle et en vérifier la concordance.
• Méfiez-vous des demandes urgentes : les fraudeurs qui recourent à l'ingénierie sociale créent souvent un sentiment d'urgence afin de pousser les gens à décider sans examen attentif. Demandez aux employés de se méfier des courriels qui exigent une action immédiate, surtout lorsqu'ils réclament des renseignements sensibles, des mots de passe ou des données de paiement.
• Scrutez les pièces jointes et les liens : même lorsqu'un courriel semble familier, une pièce jointe inhabituelle ou inattendue peut trahir une tentative d'hameçonnage. De même, le destinataire devrait toujours survoler un lien sans cliquer afin d'en voir la destination. Si l'adresse paraît étrange ou ne correspond pas au site de l'expéditeur présumé, il s'agit d'un fort indice d'hameçonnage par clonage. Cherchez les fautes d'orthographe, les caractères superflus et les raccourcisseurs d'URL comme bit.ly, souvent utilisés par les pirates pour masquer la destination réelle.

Éviter l'hameçonnage par clonage

Il est utile que les employés sachent quoi surveiller dans ces courriels, mais qu'en est-il des moyens d'éviter carrément ces arnaques ?

Le conseil le plus important : la formation continue. Informez régulièrement les employés de tous les échelons des plus récentes tactiques et techniques d'hameçonnage. Tenez des séances de formation ou de sensibilisation régulières, formelles ou informelles. Idéalement, combinez l'apprentissage traditionnel à des jeux interactifs, à des dépliants, à des bulletins de sécurité et à des attaques simulées.

Cherchez à cultiver un réflexe de scepticisme. Si un courriel paraît ne serait-ce qu'un peu « louche », les employés devraient se fier à leur instinct. Faites-leur savoir qu'il est tout à fait acceptable de prendre le temps de joindre l'expéditeur présumé par un autre canal — un numéro de téléphone connu ou le site officiel — pour vérifier la légitimité d'un message. Il ne faut jamais utiliser les coordonnées fournies dans le courriel suspect lui-même pour effectuer cette vérification.

Défense et atténuation face à l'hameçonnage par clonage

Heureusement, les utilisateurs hypervigilants et sensibilisés à la sécurité ne constituent pas la seule ligne de défense. Les technologies suivantes contribuent elles aussi à réduire la vulnérabilité de votre entreprise à ces attaques :

Les filtres de courriel

Les services de messagerie modernes intègrent des filtres qui utilisent des algorithmes et la reconnaissance de motifs pour repérer les courriels d'hameçonnage potentiels. Ces filtres analysent le contenu, les liens et les pièces jointes des messages. S'ils détectent une menace possible, ils déplacent le courriel vers le dossier des indésirables ou le signalent à l'utilisateur au moyen d'un avertissement.

Les solutions anti-hameçonnage

Ces outils spécialisés offrent souvent une protection plus complète que les filtres de courriel génériques. Ils combinent l'analyse heuristique, l'apprentissage automatique et les signatures d'hameçonnage connues pour détecter les menaces potentielles. Bon nombre de ces solutions analysent aussi les liens en temps réel afin de s'assurer que leur contenu est sûr avant que l'utilisateur y accède. Elles peuvent également proposer des formations de sensibilisation et des simulations d'attaques par hameçonnage.

Domain-based Message Authentication, Reporting & Conformance (DMARC)

Le DMARC est un protocole d'authentification des courriels qui s'appuie sur les cadres SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) pour détecter et prévenir l'usurpation d'adresse. Bien configuré, le DMARC aide les entreprises à s'assurer que seuls les expéditeurs autorisés peuvent envoyer des courriels en leur nom.

Conclusion

Même avec un personnel sensibilisé à la sécurité et des outils de filtrage et d'anti-hameçonnage évolués, certaines tentatives peuvent passer entre les mailles du filet. C'est là que l'authentification multifacteur (MFA) agit comme dernière ligne de défense essentielle.

La MFA exige de l'utilisateur au moins deux méthodes de vérification pour accéder à un compte. Ainsi, même si une attaque par clonage amène un employé à divulguer son nom d'utilisateur et son mot de passe, l'attaquant aurait encore besoin d'une autre forme de vérification pour obtenir l'accès.

Mieux encore, opter pour des solutions d'authentification sans mot de passe novatrices renforce davantage vos défenses contre les arnaques d'ingénierie sociale. Chez KZero Passwordless, nous allons même plus loin en concevant des solutions sans mot de passe et des solutions de confiance de nouvelle génération pour protéger les organisations les plus critiques dans l'univers numérique d'aujourd'hui.

Avec notre solution phare, Multi-Pass, nous remplaçons les mots de passe par une authentification sans mot de passe de calibre entreprise, résistante à l'hameçonnage, pour que vous gardiez une longueur d'avance.

Réservez une démonstration dès aujourd'hui pour en savoir plus sur Multi-Pass et sur la façon dont KZero Passwordless peut aider votre organisation à intégrer la confiance dans l'ensemble de ses opérations.

Ronan Mahony



Ronan Mahony est un rédacteur chevronné spécialisé en cybersécurité. Doué pour vulgariser des sujets complexes dans des billets de blogue et des articles captivants et instructifs, il s'emploie à rendre la cybersécurité accessible à un plus large public.