Hameçonnage sur les médias sociaux : rester en sécurité à l'ère de l'ingénierie sociale

La société hyperconnectée que les plateformes de médias sociaux ont fait naître comporte sans doute autant d'inconvénients que d'avantages. L'un de ces inconvénients touche la cybercriminalité et la façon dont les acteurs malveillants exploitent de plus en plus la confiance accordée aux médias sociaux pour mener des attaques d'hameçonnage. Cet article se penche sur la menace précise de l'hameçonnage sur les médias sociaux et présente des stratégies pour éviter de mordre à l'hameçon.

Comprendre l'hameçonnage sur les médias sociaux

L'hameçonnage sur les médias sociaux est un type de cyberattaque qui vise les utilisateurs de plateformes comme Facebook, Instagram et LinkedIn au moyen de techniques d'ingénierie sociale trompeuses. Les attaques typiques consistent à diriger les utilisateurs vers des liens malveillants qui semblent liés à des offres alléchantes, à des notifications urgentes ou à d'anodines demandes d'amitié. En réalité, ces liens sont des appâts conçus pour rediriger les utilisateurs vers des sites Web frauduleux ou les inciter à télécharger un logiciel malveillant.

Il importe de comprendre que l'hameçonnage sur les médias sociaux ne vise pas uniquement les individus dans leur vie personnelle. Les plateformes de réseautage professionnel comme LinkedIn constituent une avenue toute désignée pour cibler les employés d'une entreprise avec des liens ou des téléchargements trompeurs. Avec 930 millions de membres dans le monde sur LinkedIn seulement, les employés susceptibles d'être visés par ces attaques — et de servir de porte d'entrée vers les réseaux d'entreprise — sont nombreux.

La psychologie derrière ces tactiques d'ingénierie sociale repose profondément sur la manipulation du comportement humain et l'exploitation des émotions. Les acteurs malveillants misent sur des tendances humaines innées comme la confiance, la peur, l'urgence et la curiosité. Pour bien saisir l'hameçonnage sur les médias sociaux, quelques exemples courants illustrent la façon dont les fraudeurs ciblent les gens sur des plateformes comme Facebook, Instagram et LinkedIn.

Exemples courants d'hameçonnage sur les médias sociaux

Un exemple répandu d'hameçonnage sur les médias sociaux est la réception d'un message d'un ami qui semble en détresse. Les acteurs malveillants peuvent avoir compromis le compte Facebook de cet ami ou avoir simplement créé un compte sosie portant le même nom et la même photo de profil. Le message évoque une urgence financière et demande au destinataire d'envoyer des fonds. N'ayant pas vraiment de raison de se méfier, celui-ci envoie l'argent sans se poser de questions.

En milieu de travail, imaginons un exemple hypothétique où la directrice des ressources humaines de votre entreprise ratisse LinkedIn à la recherche de candidats pour divers postes. Un jour, elle reçoit le message d'un chasseur de têtes en apparence réputé, qui affirme représenter plusieurs spécialistes techniques de haut calibre en quête de nouveaux défis.

Le message contient une pièce jointe que le chasseur de têtes présente comme un PDF regroupant les curriculum vitæ de plusieurs candidats qui conviendraient parfaitement à certains postes vacants. Y voyant l'occasion de faire avancer sa campagne de recrutement, la directrice des RH télécharge et ouvre aussitôt le fichier.

À son insu, le fichier contient en réalité du code malveillant qui ouvre une porte dérobée dans le réseau de votre entreprise. Les acteurs malveillants s'en servent pour enregistrer les frappes au clavier, capter d'autres identifiants de connexion et, à terme, accéder aux données sensibles de l'entreprise.

Risques et conséquences de l'hameçonnage sur les médias sociaux

Comme le montrent ces exemples hypothétiques, l'hameçonnage sur les médias sociaux est bien plus qu'un lien trompeur ou un message habile : c'est la porte d'entrée d'une foule de dangers, tant pour les individus que pour les entreprises.

Pour les particuliers :

• Vol d'identité : En obtenant un accès non autorisé à des profils personnels, les acteurs malveillants peuvent recueillir une mine de renseignements : nom complet, date de naissance, adresse et même les coordonnées des membres de la famille. Munis de ces informations, ils peuvent usurper l'identité des victimes, commettre des fraudes ou même revendre ces identités sur le Web clandestin.
• Pertes financières : Les attaques d'hameçonnage sur les médias sociaux ont souvent des motivations financières. Par exemple, un message frauduleux peut attirer les utilisateurs vers un faux portail bancaire et les inciter à saisir leurs identifiants. Une fois captées, ces données peuvent servir à effectuer des virements ou des achats non autorisés.
• Traumatisme émotionnel : Être victime d'une arnaque par hameçonnage peut causer une détresse émotionnelle importante. Savoir que ses renseignements personnels sont entre les mains d'acteurs malveillants peut engendrer de l'anxiété, de la paranoïa et une perte de confiance envers les plateformes numériques.
• Perte d'actifs numériques : Les photos personnelles, les documents et tout autre bien numérique peuvent parfois être menacés. Les cybercriminels peuvent utiliser le contenu volé à des fins de chantage ou de diffamation.

Pour les entreprises :

Répercussions financières : Au-delà des conséquences financières immédiates du vol de données ou d'actifs, les entreprises s'exposent à des amendes réglementaires si ces attaques compromettent des données de clients. Les coûts additionnels liés à la limitation des dégâts — interventions informatiques, relations publiques et poursuites éventuelles — peuvent également être considérables.

Atteinte à la réputation : À l'ère numérique, la confiance est la monnaie d'une entreprise. Une brèche liée à l'hameçonnage peut éroder la confiance de la clientèle et entraîner une baisse des ventes ou ternir l'image de marque. Reconstruire cette confiance est habituellement long et coûteux.

Perte d'avantage concurrentiel : Des secrets d'affaires, des stratégies ou de la propriété intellectuelle volés peuvent être vendus ou divulgués, ce qui pourrait avantager la concurrence. Cette perte de compétitivité a aussi des conséquences à long terme sur le positionnement sur le marché et la rentabilité.

Perturbations opérationnelles : Un maliciel introduit par un stratagème d'hameçonnage peut perturber les activités de l'entreprise. Ces perturbations peuvent entraîner des pannes de service, des pertes de données ou une compromission des communications internes, ce qui nuit à la productivité ou à la continuité des activités.

Reconnaître l'hameçonnage sur les médias sociaux

Les conséquences étendues des attaques d'hameçonnage sur les médias sociaux soulignent l'importance d'une vigilance et d'une formation constantes. Dans le dédale toujours actif des interactions sur les médias sociaux, il est important que les utilisateurs sachent repérer certains des principaux signaux d'alarme suivants.

• Faites preuve de scepticisme à la réception d'un message provenant d'un inconnu ou d'une personne dont on n'attendait aucune communication.
• Les arnaques par hameçonnage sur les médias sociaux sont parfois menées de façon moins professionnelle que les arnaques par courriel ; les fautes de grammaire ou d'orthographe évidentes valent donc la peine d'être surveillées.
• Les utilisateurs devraient se méfier des messages qui promettent de l'argent, des cadeaux, des offres exclusives ou des occasions d'emploi aux conditions trop alléchantes.
• Avant de cliquer sur un lien, les utilisateurs peuvent le survoler (ou faire un appui long sur un appareil mobile) pour voir l'URL de destination. Parmi les signaux d'alarme à surveiller : les noms de domaine mal orthographiés, les extensions de domaine inhabituelles ou les raccourcisseurs d'URL qui masquent le lien réel.
• Les tentatives d'hameçonnage emploient souvent un langage qui crée un sentiment d'urgence, comme « offre à durée limitée » pour provoquer des gestes impulsifs.>

Les utilisateurs devraient aussi activer toutes les options d'authentification à deux facteurs ou multifacteur offertes par les plateformes de médias sociaux. En contexte d'entreprise, encouragez les employés à activer ces options pour les services et applications qu'ils utilisent couramment. Comme beaucoup de tentatives d'hameçonnage visent à voler des identifiants de connexion, cette mesure ajoute une couche de sécurité contre la compromission des comptes.

Enfin, il vaut la peine de valider les échanges avec des contacts connus lorsqu'un message sort de l'ordinaire. Si un utilisateur reçoit un message suspect d'un ami ou d'un collègue, il peut le joindre par un autre moyen, comme un appel téléphonique, pour vérifier l'authenticité du message.

Exemples récents d'hameçonnage sur les médias sociaux

Il vaut la peine de souligner des exemples récents et bien réels d'hameçonnage sur les médias sociaux afin que les utilisateurs connaissent les tactiques auxquelles les fraudeurs ont recours sur ces plateformes.

Attaques par Facebook Messenger, 2023

Une campagne d'hameçonnage à grande échelle menée en 2023 a visé les vendeurs de Marketplace et les entreprises par l'entremise de Facebook Messenger. Cette campagne livre chaque semaine plus de 100 000 messages d'hameçonnage à différents comptes Facebook au moyen de Messenger. Les chercheurs en sécurité rapportent un taux de réussite de 1 sur 70.

La plupart de ces messages prennent la forme d'un client potentiel qui interroge un compte d'entreprise Facebook au sujet d'un produit ou d'un service précis. Lorsque l'entreprise répond, le fraudeur envoie un fichier ZIP ou RAR qui contiendrait de l'information supplémentaire sur le produit convoité, mais qui est en réalité une pièce jointe malveillante agissant comme maliciel voleur d'information.

Arnaques au service à la clientèle sur X

Une nouvelle a éclaté en août 2023 au sujet d'utilisateurs de X (anciennement Twitter) ciblés par des arnaques au service à la clientèle. Cette campagne d'hameçonnage cible les clients de banques ou de compagnies aériennes qui se plaignent d'un mauvais service sur X. Les fraudeurs répondent alors à ces plaintes en se faisant passer pour des agents du service à la clientèle de ces entreprises et en promettant des remboursements.

Le prétendu agent du service à la clientèle envoie un message privé à la victime potentielle. Le message précise que les demandes de remboursement ne peuvent être traitées qu'en téléchargeant une application tierce. Or, cette application est un maliciel capable de dérober des renseignements dans le téléphone intelligent de l'utilisateur.

Du côté des statistiques sur ce type d'ingénierie sociale, voici deux chiffres notables :

• Selon un rapport de 2022, 12,5 % de toutes les attaques d'hameçonnage visent les sites de médias sociaux et leurs utilisateurs.
• Un sondage a révélé que 56 pour cent des entreprises dans le monde ont été confrontées à au moins une arnaque sur LinkedIn en 2023.

Signaler l'hameçonnage sur les médias sociaux et y réagir

Faire bannir les comptes frauduleux est une démarche qui vaut la peine dès qu'un utilisateur repère une tentative d'hameçonnage sur les médias sociaux ou en est victime. Sur des plateformes comme Facebook, Twitter, Instagram et LinkedIn, on trouve généralement une option « Signaler » en cliquant sur les trois points (ou un menu équivalent) à côté d'une publication, d'un profil ou d'un message. Les sites de médias sociaux proposent habituellement plusieurs motifs de signalement, ce qui permet de choisir celui qui décrit le mieux l'activité suspecte, par exemple « c'est du pourriel » ou « cela semble suspect ».

Certaines plateformes peuvent demander plus de détails sur la nature de la menace ou sur les raisons pour lesquelles le contenu a paru suspect. Il vaut la peine d'être le plus précis possible dans ses descriptions. L'équipe de sécurité de la plateforme examine ensuite le signalement et prend les mesures qui s'imposent.

Rester informé et se former

Les arnaques par hameçonnage sur les médias sociaux n'exploitent pas des vulnérabilités techniques : elles exploitent les failles de la psychologie humaine. Se former et se tenir informé est un excellent moyen de développer un état d'esprit axé sur la sécurité, qui fait échouer ces attaques.

Des sites comme KrebsOnSecurity, DarkReading et la Cybersecurity and Infrastructure Security Agency (CISA) publient des mises à jour opportunes sur les menaces de sécurité. Des plateformes comme le forum r/netsec de Reddit ou d'autres forums de cybersécurité hébergent souvent des discussions sur les menaces et les arnaques les plus récentes. Une formation régulière de sensibilisation à la cybersécurité, comprenant des exercices simulés d'hameçonnage sur les médias sociaux, s'avère utile pour tester et former le personnel.

Conclusion

À mesure que les utilisateurs intègrent les médias sociaux à leur quotidien, les conséquences d'une attaque d'hameçonnage réussie peuvent aller du vol d'identité à des pertes financières importantes, voire à la compromission des réseaux d'entreprise.

La défense la plus solide repose entre les mains des utilisateurs eux-mêmes. La vigilance, alliée à une bonne connaissance des signes révélateurs des tentatives d'hameçonnage sur les médias sociaux, est essentielle.

Devant toute menace d'ingénierie sociale, superposer les défenses avec une authentification plus forte est un gain facile pour protéger les comptes contre la compromission. Les entreprises peuvent envisager des solutions d'authentification de nouvelle génération qui ne reposent même pas sur des mots de passe, de sorte que les attaques d'hameçonnage visant les identifiants de connexion deviennent inutiles.

C'est exactement ce que fait KZero Passwordless, qui conçoit des solutions d'authentification et de confiance de nouvelle génération pour sécuriser nos organisations les plus critiques.

Réservez une démonstration, dès aujourd'hui, pour en savoir plus sur notre solution phare, Multi-Pass, et sur la façon dont nous remplaçons les mots de passe par une MFA sans mot de passe, de calibre entreprise et résistante à l'hameçonnage.

Ronan Mahony



Ronan Mahony est un rédacteur de contenu chevronné spécialisé en cybersécurité. Doué pour vulgariser des sujets complexes en articles et en billets de blogue captivants et instructifs, Ronan se consacre à rendre la cybersécurité accessible à un plus vaste public.