Le whaling : protéger les hauts dirigeants des attaques ciblées

Les attaques de whaling reprennent les techniques d’hameçonnage et visent les « gros poissons » de l’organisation (d’où leur nom, la chasse à la baleine). Elles s’appuient sur la tromperie, la manipulation et des techniques semblables pour amener des cadres supérieurs à faire ce que l’attaquant souhaite. Par exemple, les fraudeurs peuvent se faire passer pour le PDG d’une autre entreprise cherchant à conclure une entente moyennant un paiement important.

Ces personnes sont des cibles idéales pour les cybercriminels, car elles ont vraisemblablement le pouvoir d’autoriser des transferts de fonds ou de poser d’autres gestes profitables à l’attaquant. De plus, tromper le PDG ou un autre haut dirigeant réduit le risque que quelqu’un remette en question une transaction inhabituelle.

Les attaques de whaling sont de plus en plus répandues, car elles peuvent rapporter gros à un cybercriminel. Cet article explique le fonctionnement de ces attaques, présente des exemples marquants et décrit les pratiques exemplaires pour s’en prémunir.

Le whaling : définition et caractéristiques

Une attaque de whaling est une attaque par hameçonnage visant les cadres de haut niveau d’une organisation. L’attaquant emploie des techniques d’ingénierie sociale personnalisées en fonction de la cible visée afin de rendre l’attaque plus plausible et d’amener la cible à poser un geste précis.
Ces attaques sont souvent taillées sur mesure pour le dirigeant ciblé. Par exemple, un attaquant qui s’en prend à un PDG peut se faire passer pour le représentant d’une autre organisation désireuse de conclure une entente. Il aura fait des recherches sur le PDG et son entreprise, puis adapté son prétexte et le contenu de ses messages d’hameçonnage afin de maximiser les chances que la cible croie à la supercherie et agisse pour conclure l’entente.

Harponnage, whaling et hameçonnage

Le whaling est une forme d’attaque par hameçonnage. Plus précisément, il s’agit d’un type de harponnage. La principale différence entre ces trois types d’attaques tient au nombre de cibles potentielles.

Dans une attaque d’hameçonnage générale, l’attaquant utilise un prétexte susceptible de s’appliquer à un vaste public. Bien que ces attaques aient une plus faible probabilité de réussite, le nombre considérable de cibles potentielles fait que l’attaquant parviendra à ses fins dans certains cas. Par exemple, de nombreux courriels d’hameçonnage se font passer pour Netflix ou une organisation semblable et tentent d’amener les utilisateurs à saisir leurs identifiants sur un site frauduleux.

Les attaques de harponnage utilisent des prétextes adaptés à une cible précise. En personnalisant l’attaque pour une personne ou un petit groupe, l’attaquant en accroît la crédibilité et les chances de succès. Souvent, les harponneurs se font passer pour le PDG de l’entreprise ou pour d’autres hauts dirigeants et demandent à un employé d’exécuter une action qui profite à l’attaquant.

Dans une attaque de whaling, la cible est un cadre de haut niveau au sein d’une organisation, par exemple un membre de la haute direction. Ces attaques reposent souvent sur des recherches poussées et peuvent exiger davantage d’efforts et d’échanges entre l’attaquant et sa cible. Ce travail supplémentaire peut en valoir la peine, compte tenu du gain potentiel plus élevé.

Le fonctionnement des attaques de whaling

Une attaque de whaling réussie est une opération en plusieurs étapes. Les principales sont les suivantes :

Sélection de la cible : Les attaques de whaling exigent beaucoup d’efforts de la part du cybercriminel qui les mène : le gain potentiel doit donc être substantiel. L’attaquant cherchera une cible qui rend l’attaque rentable. Par exemple, le PDG d’une grande organisation sera mieux placé pour verser une somme importante à l’attaquant que le dirigeant d’une petite entreprise.

Reconnaissance : Les attaques de whaling sont hautement personnalisées en fonction de la cible visée. Le cybercriminel effectuera des recherches approfondies sur le dirigeant et son entreprise afin de déterminer un prétexte susceptible de réussir et d’obtenir le résultat souhaité. Par exemple, l’attaquant peut se faire passer pour un fournisseur offrant des services ou des produits que l’entreprise est susceptible de vouloir, ou pour un fournisseur qui n’aurait pas été payé pour des services rendus.

Rédaction de messages trompeurs : Une fois ses recherches terminées, l’attaquant peut rédiger un courriel d’hameçonnage personnalisé et convaincant. Ces courriels allient la connaissance de la cible à la manipulation psychologique afin de maximiser la probabilité que celle-ci fasse ce que l’attaquant veut, par exemple lui envoyer de l’argent ou des données sensibles.

Exemples d’attaques de whaling

Le whaling est un vecteur d’attaque courant qui peut avoir des conséquences importantes pour une organisation. Voici quelques exemples d’attaques de whaling très médiatisées :

Levitas Capital : En 2020, un cofondateur de Levitas Capital, un fonds de couverture australien, est tombé dans le piège d’une attaque de whaling qui a installé un maliciel sur le réseau de l’entreprise. L’attaque comprenait un faux lien Zoom et une tentative de soutirer 8,7 millions de dollars à l’entreprise au moyen de factures frauduleuses. Même si les attaquants n’ont réussi à dérober que 800 dollars, l’atteinte à la réputation a mené à la fermeture de l’entreprise après qu’elle eut perdu son plus important client.

Mattel : En 2016, Mattel a été victime d’une attaque par hameçonnage qui combinait le whaling et la fraude du président. L’attaquant, se faisant passer pour le PDG, a écrit à une dirigeante des finances pour lui demander d’effectuer un paiement. Trois millions de dollars ont été virés dans un compte bancaire chinois, mais, par chance, l’entreprise a pu geler et récupérer les fonds, le lendemain étant un jour férié bancaire en Chine.

Il ne s’agit là que de quelques exemples des répercussions possibles d’une attaque de whaling réussie. L’objectif consiste souvent à soutirer de l’argent ou des données à l’organisation, et le fait que les cibles occupent des postes élevés fait en sorte que les pertes peuvent être substantielles.

Cas d’usage du whaling

Les attaques de whaling visent les cadres de haut niveau d’une organisation. Les cybercriminels peuvent les mener pour atteindre différents objectifs, notamment :

L’espionnage industriel : Les cadres supérieurs orientent la vision stratégique de l’organisation et peuvent être disposés à communiquer des renseignements sensibles à des partenaires et à des fournisseurs. Les cybercriminels en profitent pour dérober de la propriété intellectuelle ou d’autres données d’entreprise sensibles aux dirigeants au moyen de courriels ciblés et trompeurs.

La fraude financière : La fraude financière est un objectif courant des attaques de whaling, car un dirigeant peut être amené à effectuer un paiement pour régler une facture ou conclure une entente. Les attaques de whaling peuvent coûter des millions, comme l’ont démontré le cas de FACC et de nombreuses autres attaques réussies.

L’atteinte à la réputation : Les attaques de whaling peuvent également viser à nuire à la réputation du dirigeant ou à celle de la marque de l’entreprise. Par exemple, si un dirigeant est amené par la ruse à transmettre des données sensibles ou à verser un paiement à un attaquant, le cybercriminel peut divulguer cette information et embarrasser à la fois le dirigeant et l’entreprise.

Se protéger contre le whaling

Les attaques de whaling visent les personnes les plus influentes d’une organisation, ce qui signifie qu’elles peuvent avoir des conséquences importantes si elles réussissent. Voici quelques mesures que les organisations peuvent prendre pour se défendre :

Une authentification forte : Les attaques de whaling peuvent viser à accéder aux comptes en ligne des dirigeants au moyen d’identifiants compromis. Ces comptes peuvent ensuite servir à soutirer des données ou de l’argent à l’organisation. La mise en place d’une authentification forte — notamment le recours à l’authentification multifactorielle (MFA) — complique l’utilisation d’identifiants volés par un attaquant.

La sensibilisation à la cybersécurité : Les dirigeants constituent souvent une cible de choix pour les cyberattaques, et ils comptent aussi parmi les personnes les plus réfractaires à la formation en cybersécurité. Offrir une formation ciblée sur les menaces auxquelles ils sont le plus susceptibles d’être exposés — y compris les attaques de whaling — permet d’en maximiser l’efficacité et de s’assurer qu’ils connaissent cette menace et les tactiques courantes qui y sont associées.

Des solutions de sécurité du courriel : Les outils de filtrage du courriel et de lutte contre l’hameçonnage peuvent repérer et bloquer les tentatives de whaling avant qu’elles n’atteignent la boîte de réception des dirigeants. Les solutions antihameçonnage faisant appel à l’IA et au traitement automatique du langage naturel (TALN) peuvent détecter et signaler les contenus de courriel susceptibles d’être associés à une attaque par hameçonnage.

Des plans d’intervention en cas d’incident : Même avec la meilleure préparation et les meilleures mesures de prévention, des cyberattaques peuvent réussir. Disposer de plans d’intervention permet de réagir plus rapidement aux attaques de whaling réussies, ce qui réduit les coûts et les dommages potentiels pour l’organisation.

Pratiques exemplaires pour prévenir le whaling

Contre le whaling — et les autres menaces d’ingénierie sociale —, la meilleure défense est proactive et préventive. Voici quelques pratiques exemplaires pour prévenir ces attaques :

Réaliser des audits de sécurité réguliers : Des tests de sécurité réguliers permettent de valider l’efficacité des défenses antiwhaling d’une organisation. Par exemple, une organisation peut envoyer de faux courriels de whaling pour vérifier s’ils atteignent la boîte de réception des dirigeants.

Établir une chaîne de communication claire : Une communication claire et rapide est essentielle lors de tout incident de sécurité. Établir les canaux de communication à l’avance contribue à assurer une intervention coordonnée et efficace.

Favoriser une culture du scepticisme : Le whaling et les attaques semblables reposent sur la ruse et la tromperie. Encourager les dirigeants et les autres employés à faire preuve de scepticisme à l’égard des courriels et des autres messages réduit le risque qu’ils tombent dans le piège.

Offrir des mécanismes de signalement conviviaux : Signaler les attaques d’hameçonnage soupçonnées alerte les équipes de sécurité et leur permet d’intervenir si quelqu’un d’autre se fait prendre. Rendre ces mécanismes de signalement conviviaux augmente la probabilité que les utilisateurs déclarent les tentatives d’attaque.

Tendances futures et état de préparation

L’arrivée d’outils d’IA générative comme ChatGPT a eu une incidence considérable sur les attaques d’hameçonnage et d’ingénierie sociale. Souvent, l’une des principales limites de ces attaques tient au fait que les fautes de grammaire aident les cibles à distinguer les courriels authentiques des tentatives d’hameçonnage.

Grâce à l’IA générative, les hameçonneurs peuvent rédiger des courriels beaucoup plus soignés, et plus rapidement. Cela rend leurs attaques plus crédibles, leur permet d’exercer des manipulations psychologiques plus sophistiquées et les aide à passer à grande échelle en misant sur l’automatisation.

À mesure que l’IA générative gagnera en maturité, les attaques de whaling risquent de devenir plus sophistiquées et plus difficiles à contrer. Ce facteur, combiné à l’innovation constante des attaquants qui cherchent à échapper à la détection et aux défenses, contribue à un paysage de menaces d’hameçonnage en perpétuelle évolution.

Une attaque de whaling réussie peut coûter cher à une organisation, et une entreprise ne peut jamais tenir pour acquis que les défenses efficaces aujourd’hui le seront encore demain. Les organisations doivent s’adapter continuellement à l’évolution de la menace et prendre les moyens de bloquer, de détecter et de contrer de façon proactive les attaques de whaling potentielles.

Conclusion

Les attaques de whaling visent directement le sommet de la hiérarchie en ciblant les hauts dirigeants au moyen d’attaques d’hameçonnage personnalisées. Elles peuvent être conçues pour soutirer de l’argent ou des données aux organisations.

Se protéger contre le whaling exige une approche proactive de défense en profondeur. Les organisations devraient sensibiliser leurs employés aux risques et déployer des solutions de sécurité conçues pour repérer et bloquer les tentatives d’attaque.

Il est également de bonne pratique de mettre en place des solutions permettant d’atténuer les effets potentiels de ces attaques, comme la compromission d’identifiants. KelvinZero aide à prévenir le vol d’identifiants grâce à un passeport biométrique universel résistant à l’hameçonnage. Communiquez avec nous pour savoir comment votre organisation peut authentifier en toute confiance ses dirigeants et ses employés tout en se protégeant contre le whaling et les menaces semblables.

Howard Poston



Howard Poston est rédacteur, auteur et concepteur de cours possédant une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, compte dix ans d’expérience en cybersécurité et plus de cinq ans d’expérience comme consultant indépendant.