Le smishing : comprendre l’hameçonnage par message texte

L’hameçonnage par SMS, ou smishing, est une attaque d’ingénierie sociale qui utilise les messages texte pour transmettre du contenu d’hameçonnage à un utilisateur. Ces messages visent souvent à l’inciter à cliquer sur un lien qui le mène vers un site frauduleux.

L’essor des attaques de smishing s’explique par l’utilisation croissante des appareils mobiles. Les entreprises recourent de plus en plus aux messages texte pour le service à la clientèle, et les programmes de prise en charge des appareils personnels (PAP) normalisent l’usage des appareils mobiles au travail. Résultat : le smishing est devenu une menace majeure tant pour les entreprises que pour les particuliers.

La sensibilisation des utilisateurs est essentielle pour gérer la menace de l’hameçonnage. Cet article explique le fonctionnement de ces attaques, en quoi elles se distinguent des menaces apparentées, et présente les pratiques exemplaires pour gérer le risque qu’elles représentent sur les plans personnel et professionnel.

La signification du mot « smishing »

Le mot smishing provient de la contraction des mots SMS et phishing (hameçonnage). Cette combinaison met en évidence le fait que cette attaque utilise les messages texte SMS pour livrer du contenu d’hameçonnage à un utilisateur.

Historiquement, le mot hameçonnage a été associé au courriel, puisque la plupart des premières attaques de ce type l’utilisaient. L’hameçonnage peut toutefois se pratiquer sur n’importe quelle plateforme de messagerie, y compris le courriel, les médias sociaux et les messages texte.

Les attaques de smishing emploient bon nombre des techniques de l’hameçonnage traditionnel par courriel. Par exemple, l’usurpation d’identité est courante dans toutes les attaques d’hameçonnage, l’attaquant se faisant passer pour une entité connue et digne de confiance afin de rendre son prétexte plus crédible. Comme les attaques par courriel, les messages de smishing sont généralement conçus pour amener l’utilisateur à cliquer sur un lien vers un site malveillant destiné à dérober ses identifiants de connexion, ou pour le convaincre d’installer un maliciel sur ses appareils.

Smishing, hameçonnage et vishing

L’hameçonnage, le smishing et le vishing sont tous des attaques d’ingénierie sociale qui recourent à la tromperie, à la coercition et à la manipulation psychologique pour amener la cible à faire ce que l’attaquant veut. En général, ces menaces cherchent à pousser l’utilisateur à divulguer des renseignements sensibles (identifiants, données de carte de paiement, etc.), à envoyer de l’argent à l’attaquant ou à installer un maliciel sur sa machine.

La principale différence entre ces menaces réside dans le média utilisé pour livrer le contenu d’ingénierie sociale. L’hameçonnage est souvent associé au courriel, et le smishing en est la version par SMS. Ces deux menaces s’appuient sur des tactiques semblables, comme les liens vers des pages malveillantes.

Le vishing, lui, se pratique par téléphone, ce qui suppose des tactiques semblables, mais distinctes. Une attaque de vishing mise sur la même tromperie et la même coercition que l’hameçonnage ou le smishing, mais elle vise souvent à amener la cible à communiquer des renseignements sensibles à l’attaquant.

L’anatomie d’une attaque de smishing

Une attaque de smishing commence par un message texte. Ce SMS est souvent conçu pour paraître provenir d’une source de confiance. Par exemple, un utilisateur peut recevoir un texto de sa banque affirmant qu’il y a un problème avec son compte ou qu’une transaction inhabituelle nécessite son approbation.

Le message SMS contient un lien censé mener au site Web de l’expéditeur allégué. Souvent, un outil de raccourcissement de liens est employé, ce qui masque l’URL réelle.

Si l’utilisateur touche le lien, il est dirigé vers un site frauduleux conçu pour ressembler à la page de connexion du vrai site. Toutefois, les identifiants saisis dans cette page sont transmis à l’attaquant, qui obtient ainsi l’accès au compte de l’utilisateur.

Exemples récents, cas d’usage et secteurs visés

Les auteurs d’attaques de smishing s’appuient souvent sur des brèches de données récentes pour dresser des listes de cibles et bâtir des prétextes réalistes. Par exemple, UPS a subi une brèche de données en 2023, et les attaquants ont utilisé les renseignements recueillis pour envoyer des textos de smishing à des personnes en attente d’un colis.

Les attaques de smishing servent aussi à viser des entreprises et à accéder à leurs systèmes. Ainsi, Zendesk a signalé une brèche en octobre 2022 où des fraudeurs ont amené des employés à divulguer les identifiants de leur compte. Grâce à ces identifiants, l’attaquant a pu accéder à des données de journalisation stockées sur les serveurs de l’entreprise.

Le smishing est une technique d’attaque courante qui vise les particuliers et les entreprises de tous les secteurs. Ces attaques tirent parti du fait que les entreprises communiquent de plus en plus par message texte, que les utilisateurs ont souvent leur appareil à portée de main et qu’il est beaucoup plus difficile de repérer un lien d’hameçonnage sur un appareil mobile.

Les types d’attaques de smishing et leur fonctionnement

Les attaques de smishing sont tout simplement des attaques d’hameçonnage livrées par un autre média (les messages SMS). Voici quelques-unes des composantes courantes d’une attaque d’hameçonnage :

• L’usurpation d’identité : Les messages de smishing prétendent provenir d’une personne ou d’une organisation que l’utilisateur connaît et en qui il a confiance. Par exemple, des fournisseurs de services comme Netflix, Microsoft et Amazon ainsi que les institutions financières figurent parmi les marques les plus souvent usurpées.
• La manipulation : Les attaques d’ingénierie sociale visent à amener la cible à poser un geste. Cela passe souvent par la création d’un sentiment d’urgence : on affirme qu’un problème est survenu et qu’il exige une attention immédiate.
• Le raccourcissement d’URL : Les attaques de smishing cherchent généralement à amener l’utilisateur à cliquer sur un lien menant à un site frauduleux. De nombreuses marques utilisent des liens raccourcis dans leurs messages texte en raison du nombre limité de caractères. Les fraudeurs en profitent pour donner un air authentique à leurs textos et masquer l’URL malveillante réelle.

Que faire si vous êtes victime de smishing

Les attaques de smishing visent généralement à dérober des données sensibles ou à installer un maliciel sur un appareil. Voici quelques mesures à prendre si vous en êtes victime :

• Changez les mots de passe touchés : Les attaques de smishing tentent souvent de dérober des mots de passe. Prenez soin de changer les mots de passe de tous les sites dont les identifiants auraient pu être saisis sur des sites frauduleux.
• Activez la MFA : L’authentification multifactorielle (MFA) exige plusieurs facteurs d’authentification pour se connecter au compte d’un utilisateur. L’activer complique l’utilisation d’identifiants volés par un attaquant.
• Gelez vos comptes : Les fraudeurs peuvent se servir des renseignements volés pour commettre un vol d’identité. Le gel des comptes contribue à se protéger contre cette menace.
• Lancez un antivirus mobile : Les attaques de smishing peuvent aussi servir à installer un maliciel mobile sur un appareil. Installez et lancez un antivirus mobile réputé afin de repérer et de supprimer les applications malveillantes sur votre appareil.

Prévenir et atténuer le smishing

Les attaques de smishing emploient bon nombre des tactiques de l’hameçonnage traditionnel par courriel. L’attaquant envoie un message non sollicité contenant des liens malveillants qui mènent l’utilisateur vers un site frauduleux. Ces messages cherchent souvent à susciter un sentiment d’urgence et exploitent la mentalité « toujours branché » des utilisateurs d’appareils mobiles ainsi que la capacité des services de raccourcissement de liens à masquer les URL.

Voici quelques pratiques exemplaires pour prévenir et atténuer les attaques d’hameçonnage :

• Activez la protection antipourriel : Certains fournisseurs de services mobiles et fabricants d’appareils offrent un blocage automatisé des pourriels par SMS. L’activer empêche les messages de pourriel ou d’hameçonnage connus d’atteindre la boîte de réception.
• Ne vous fiez pas aux liens reçus par SMS : Il est difficile de déterminer la destination d’un lien dans un message texte, surtout s’il est raccourci. Rendez-vous directement sur le site plutôt que de cliquer sur un lien et de lui faire confiance.
• Utilisez une authentification forte : Activez la MFA avec des facteurs d’authentification robustes afin de réduire la capacité des attaquants à utiliser des identifiants volés.
• Installez un antivirus mobile : Les appareils mobiles peuvent être tout aussi vulnérables aux maliciels que les ordinateurs traditionnels. Installez un antivirus mobile et effectuez des analyses régulières pour repérer et éliminer les applications malveillantes.
• Confirmez par un autre canal : Les messages non sollicités ne sont pas toujours malveillants, mais ils risquent davantage d’être du contenu d’hameçonnage. Vérifier un message par les canaux officiels peut vous éviter de tomber dans le piège du smishing.

Les réponses du secteur, les statistiques et les tendances

Le smishing est devenu une menace majeure pour la sécurité personnelle et professionnelle. En 2022, 76 % des organisations ont déclaré avoir été victimes d’une attaque de smishing. En conséquence, les fournisseurs de services mobiles, les entreprises de cybersécurité et les organismes de réglementation prennent des mesures pour contrer la menace.

Les fournisseurs de services mobiles s’attachent avant tout à empêcher les messages SMS malveillants d’atteindre leurs cibles. Ces organisations offrent couramment des services intégrés de filtrage des pourriels pour bloquer les menaces connues, ainsi que la possibilité pour les utilisateurs de signaler les numéros de téléphone qui envoient des pourriels et des messages de smishing

Les entreprises de cybersécurité proposent des activités de sensibilisation et des outils destinés à réduire les menaces de smishing et leurs répercussions. Elles offrent par exemple des solutions d’authentification renforcée pour réduire le risque de vol d’identifiants, des services de surveillance de l’identité et des outils de sécurité des terminaux pour gérer le risque d’installation de maliciels sur l’appareil d’un utilisateur.

Les organismes de réglementation prennent des mesures pour cibler les fraudeurs et inciter les organisations à protéger adéquatement les données de leurs clients. Les auteurs de smishing reconnus coupables s’exposent à des sanctions judiciaires, et des règlements sur la protection des données comme le RGPD et la CCPA peuvent permettre aux autorités d’imposer des pénalités aux entreprises qui n’appliquent pas les pratiques exemplaires de sécurité en matière de prévention du smishing.

Les implications juridiques et réglementaires>

La menace du smishing comporte aussi des répercussions juridiques et réglementaires potentielles pour les attaquants. Par exemple, certains territoires travaillent à adopter des lois prévoyant des amendes et de possibles peines d’emprisonnement pour les fraudeurs reconnus coupables.

Les entreprises devront elles aussi tenir compte des conséquences juridiques et réglementaires des attaques de smishing si leurs clients en subissent les effets. Par exemple, un fraudeur peut réussir à accéder au compte d’un utilisateur et, de là, à des données et à des fonctionnalités sensibles. Les entreprises peuvent faire l’objet d’un examen réglementaire et de sanctions éventuelles si elles n’ont pas pris de mesures adéquates pour gérer ces risques pour leur clientèle et pour repérer et bloquer les activités frauduleuses soupçonnées sur leurs plateformes.

Conclusion

Le smishing est une forme d’attaque par hameçonnage qui utilise les messages SMS pour livrer du contenu malveillant. Comme l’hameçonnage par courriel, il recourt couramment à l’ingénierie sociale pour amener les utilisateurs à visiter des sites malveillants qui dérobent leurs mots de passe ou installent des maliciels sur leurs appareils.

Comme il s’agit d’une attaque d’ingénierie sociale, la sensibilisation des utilisateurs constitue l’une des meilleures défenses contre le smishing. Former les utilisateurs à reconnaître ces attaques et à y réagir correctement réduit leur risque, tant sur le plan personnel que professionnel.

Une façon pour les organisations de protéger leurs utilisateurs et leurs clients contre le smishing consiste à adopter une authentification multifactorielle forte et résistante à l’hameçonnage.

Chez KZero Passwordless, c’est exactement ce que nous faisons : nous concevons des solutions d’authentification et de confiance de nouvelle génération pour protéger les organisations contre les attaques fondées sur les identifiants, comme le smishing.

Réservez une démonstration dès aujourd’hui pour en apprendre davantage sur Multi-Pass et sur la façon dont nous aidons les entreprises à remplacer les mots de passe de leur personnel et de leur clientèle par une MFA sans mot de passe résistante à l’hameçonnage.

Howard Poston



Howard Poston est rédacteur, auteur et concepteur de cours possédant une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, compte dix ans d’expérience en cybersécurité et plus de cinq ans d’expérience comme consultant indépendant.