Le harponnage : la tromperie ciblée à l'ère numérique
L'hameçonnage est une menace d'ingénierie sociale par laquelle le fraudeur recourt à la tromperie, à la coercition et à la manipulation psychologique pour amener les utilisateurs à faire ce qu'il souhaite. En règle générale, il s'agit de cliquer sur un lien menant à un site malveillant, d'installer un maliciel sur son ordinateur ou d'envoyer de l'argent à un attaquant.
Le harponnage est une forme d'hameçonnage très ciblée dans laquelle l'attaquant adapte le prétexte de son attaque à une personne précise ou à un petit groupe. Cette approche ciblée augmente les probabilités de succès et est couramment employée dans les attaques visant une organisation en particulier.
Cet article explore la menace du harponnage : les techniques courantes, les pratiques exemplaires d'atténuation et le risque que cette forme d'attaque fait peser sur diverses organisations et personnes.
Qu'est-ce que le harponnage ?
Les attaques de harponnage sont des attaques d'ingénierie sociale ciblées. Plutôt que d'employer un prétexte pouvant s'appliquer à un large éventail de personnes — et donc plus facilement reconnaissable comme une tentative d'hameçonnage —, le harponnage utilise un prétexte personnalisé pour une personne donnée.
Prenons par exemple le cas d'un attaquant qui veut accéder aux renseignements financiers d'une organisation. Il pourrait faire des recherches sur l'entreprise et repérer, au sein du service des finances, la personne qui traite les factures des fournisseurs. L'attaquant pourrait ensuite composer un courriel de harponnage se faisant passer pour une facture d'un fournisseur, mais renfermant en réalité une pièce jointe infectée par un maliciel.
Harponnage et hameçonnage : quelles différences ?
Le harponnage est une forme d'attaque par hameçonnage. La principale différence entre les deux réside dans le degré de personnalisation du prétexte employé.
La plupart des attaques d'hameçonnage générales s'appuient sur un prétexte susceptible de s'appliquer à un vaste bassin de victimes potentielles. Elles peuvent par exemple prétendre qu'un problème touche le compte d'un utilisateur auprès d'une grande banque ou d'un fournisseur de services comme Netflix ou Amazon. Ce type de message peut être diffusé en masse à de nombreuses cibles. Le taux de succès est souvent faible, mais l'échelle de l'attaque garantit à l'attaquant un certain rendement.
Une attaque de harponnage, en revanche, ne vise qu'un petit groupe de cibles potentielles et leur est personnalisée. Ce type d'attaque exige davantage de recherche et privilégie la qualité à la quantité. Comme le prétexte est plus crédible, ces attaques affichent un taux de réussite plus élevé, ce qui compense la difficulté accrue de les exécuter et le nombre restreint de cibles potentielles.
L'anatomie d'une attaque de harponnage
Les campagnes de harponnage sont généralement des opérations en plusieurs étapes. Les trois principales sont la reconnaissance, la préparation et l'exploitation. Examinons-les une à une.
La reconnaissance
Toute attaque de harponnage commence par une phase de reconnaissance et de collecte de renseignements. L'attaquant doit repérer des détails personnels qui rendront son attaque plus plausible et plus convaincante.
Les fraudeurs peuvent puiser à diverses sources pour personnaliser leurs attaques. Les médias sociaux et les sites Web d'entreprise sont par exemple des cibles courantes et se révèlent souvent de riches sources d'information sur le rôle d'une personne dans une entreprise, ses projets éventuels ou sa vie privée. Les cybercriminels ratissent ces ressources publiques et d'autres du même genre pour alimenter leur attaque.
La préparation
Une fois qu'il a recueilli suffisamment de détails personnels, l'attaquant rédige son courriel de harponnage ou tout autre message. Ces messages sont conçus pour inciter le destinataire à poser un geste et cherchent souvent à créer un sentiment d'urgence en affirmant que quelque chose ne va pas ou qu'une action doit être posée sur-le-champ.
La méthode retenue par l'attaquant peut dépendre de l'objectif visé. Par exemple, s'il cherche à installer un maliciel sur l'ordinateur d'une cible, il pourrait envoyer un courriel accompagné d'une pièce jointe infectée. Dans ce cas, le prétexte pourrait être qu'il s'agit d'une facture impayée, du CV d'un candidat ou d'un autre fichier que le destinataire est susceptible d'ouvrir.
En revanche, si l'attaquant veut dérober des identifiants de connexion, il pourrait prétendre qu'un problème touche l'un des comptes en ligne de l'employé. Ces courriels peuvent se faire passer pour un message d'un fournisseur de logiciel-service (SaaS), d'un site Web ou de l'équipe TI de l'entreprise. L'objectif est alors d'amener l'utilisateur à cliquer sur un lien et à saisir ses identifiants sur le site de l'attaquant.
L'exploitation
Une fois le courriel d'hameçonnage rédigé, vient le moment d'exécuter l'attaque. Il suffit habituellement d'envoyer le message et d'attendre que l'utilisateur se connecte à la page malveillante ou que le maliciel se manifeste.
Dans une attaque de harponnage, toutefois, l'attaquant peut procéder en plusieurs étapes. Un premier courriel peut par exemple servir à établir un lien de confiance et à camper le prétexte, suivi d'un deuxième message renfermant le contenu malveillant.
Des exemples d'attaques de harponnage
L'hameçonnage intervient dans 91 % des cyberattaques, et 32 % des brèches de données débutent par une campagne d'hameçonnage réussie. Bon nombre de ces succès sont des attaques de harponnage, plus efficaces parce qu'elles s'appuient sur un prétexte taillé sur mesure pour la cible visée.
Un exemple coûteux d'attaque de harponnage est la campagne pluriannuelle orchestrée par le Lituanien Evaldas Rimasauskas. Les attaquants ont créé une fausse entreprise et ont visé Google et Facebook au moyen d'arnaques à la fausse facture, en se faisant passer pour l'un des véritables fournisseurs de ces sociétés. Entre 2013 et 2015, les attaquants ont réussi à leur faire verser 100 millions de dollars dans leurs propres comptes pour des services réellement rendus par le fournisseur légitime.
Pourquoi les attaques ciblées comme le harponnage sont-elles efficaces ?
Le harponnage se distingue des attaques d'hameçonnage générales par son caractère ciblé. L'attaquant exploite divers détails personnels pour rendre le prétexte plus crédible aux yeux de la cible.
Les attaques de harponnage sont très efficaces parce qu'elles paraissent plausibles pour la cible. Les attaques d'hameçonnage de masse peuvent sauter aux yeux, puisque leurs prétextes sont si vagues qu'ils pourraient s'appliquer à n'importe qui.
Les attaques de harponnage, en revanche, sont si ciblées qu'elles ne pourraient s'appliquer qu'à une seule personne. Elles exploitent ainsi la croyance répandue selon laquelle « personne ne me visera par une cyberattaque, je n'ai rien qui vaille la peine d'être volé ».
Les attaques de harponnage recourent également à la manipulation psychologique pour gagner en crédibilité et accroître leur taux de succès. En comprenant le comportement humain, un attaquant peut concevoir un prétexte qui donne envie à l'utilisateur de cliquer sur un lien ou de poser un autre geste.
Prenons par exemple l'exemple suivant d'un courriel de harponnage.
Comme beaucoup d'attaques de harponnage, ce courriel vise très précisément une personne donnée et comporte des détails qui le rendent extrêmement réaliste. Il mentionne le nom d'un employé qui assiste à une conférence, un fait que celui-ci a probablement annoncé sur les médias sociaux. Il fait aussi référence à un fournisseur précis avec lequel l'entreprise fait affaire.
Le courriel joue en outre sur le sentiment d'urgence afin que l'utilisateur agisse avant d'avoir eu la chance de réfléchir vraiment à la demande et à sa légitimité. Ici, un prétendu problème avec les paiements de l'entreprise au fournisseur vise à convaincre le destinataire de virer des fonds vers un nouveau compte contrôlé par l'attaquant.
Prévention et atténuation du harponnage
La menace du harponnage peut être atténuée de diverses façons. Voici quelques pratiques exemplaires pour la gérer :
- Formation du personnel : Les attaques de harponnage sont conçues pour amener le destinataire à faire ce que veut l'attaquant. Former les employés à reconnaître et à signaler ces attaques réduit le risque pour l'organisation et lui permet de détecter les campagnes malveillantes et d'y réagir plus efficacement.
- Séparation des tâches : Le principe de la séparation des tâches veut que les processus critiques ou à risque élevé — comme le paiement des fournisseurs — exigent l'intervention ou l'approbation de plusieurs employés. Les attaques de harponnage deviennent ainsi plus difficiles à réussir, puisque l'attaquant doit duper plusieurs personnes.
- Authentification robuste :Les attaques de harponnage visent couramment à dérober les identifiants donnant accès aux systèmes de l'entreprise. La mise en place de l'authentification multifacteur (MFA) — idéalement avec des facteurs résistants à l'hameçonnage — complique l'utilisation de ces identifiants dérobés par un attaquant.
- Solutions de sécurité : Les solutions de cybersécurité peuvent repérer et bloquer les menaces d'hameçonnage à diverses étapes de leur cycle de vie. Par exemple, les analyseurs de courriels peuvent détecter et bloquer les messages d'hameçonnage, tandis que les solutions de sécurité des terminaux peuvent déceler et éradiquer les infections par maliciel.
Un paysage en évolution
Les attaques de harponnage misent sur la tromperie, la coercition et la manipulation psychologique pour amener la cible à faire les quatre volontés de l'attaquant. L'essor de l'IA générative et des technologies d'hypertrucage a une incidence considérable sur l'efficacité potentielle des attaques d'hameçonnage.
Souvent, la cible repère un courriel d'hameçonnage parce qu'il « sonne faux ». Les fautes de grammaire et les écarts de ton trahissent le message frauduleux. Avec des outils comme ChatGPT, les harponneurs peuvent rédiger des courriels beaucoup plus soignés, exempts de ces erreurs. De plus, l'IA générative peut servir à peaufiner les prétextes employés dans le message, en améliorant la grammaire et la formulation afin de maximiser les chances de succès.
L'IA aide aussi les fraudeurs dans un autre domaine : celui de l'hypertrucage. Grâce aux hypertrucages, les attaquants peuvent générer des appels téléphoniques ou des vidéos convaincants qui donnent aux attaques de harponnage une apparence de légitimité. Par exemple, un courriel de harponnage peut être suivi d'un appel téléphonique au cours duquel l'attaquant se fait passer pour le PDG ou une autre personne de confiance.
Conclusion
Les attaques de harponnage peuvent constituer des cybermenaces redoutablement efficaces et sophistiquées. Comme elles visent des organisations ou des personnes précises, leurs prétextes sont bien plus crédibles que ceux des attaques d'hameçonnage générales. L'essor de l'IA générative et des hypertrucages les a rendues encore plus vraisemblables et plus efficaces.
Se protéger contre le harponnage exige une vigilance constante et une formation continue du personnel afin de déjouer les tactiques trompeuses des attaquants. Les organisations devraient également recourir à des solutions d'analyse du courriel pour bloquer ces attaques et en atténuer les répercussions.
L'une de ces répercussions possibles est la compromission des identifiants des utilisateurs ; c'est pourquoi il devient si important pour les organisations d'adopter des solutions sans mot de passe.
Chez KZero Passwordless, nous concevons des solutions de confiance comme Multi-Pass pour aider les organisations critiques à faire exactement cela. Réservez une démo dès aujourd'hui pour découvrir comment Multi-Pass peut aider votre organisation à remplacer les mots de passe par une authentification sans mot de passe de calibre entreprise et résistante à l'hameçonnage.
Howard Poston
Howard Poston est rédacteur publicitaire, auteur et concepteur de cours ayant de l'expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule une décennie d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.