Le phishing: l'art de piéger les utilisateurs en ligne

Bob est un attaquant chevronné, un maître dans l'art de piéger les utilisateurs en ligne. Son objectif est simple : obtenir des informations confidentielles et exploiter les faiblesses des utilisateurs pour mener des activités malveillantes et se faire un peu (voire beaucoup) d’argent. Le phishing est l'une des méthodes les plus courantes qu’il utilise pour atteindre son objectif. Cette technique est très facile à mettre en œuvre et très efficace pour tromper les gens en ligne. Plus de 80 % des événements malveillants sont le résultat d'attaques de phishing, donc il sait ce qu’il fait.

Qu’est-ce que le phishing ?

Le phishing est une technique de fraude qui consiste généralement à créer des e-mails et des sites web qui imitent à l’identique ceux des entreprises ou des organisations légitimes dans le but de collecter des informations confidentielles. Cependant, il existe plusieurs autres types d’attaques de phishing comme :

Le smishing : les attaquants envoient des SMS frauduleux pour inciter les utilisateurs à cliquer sur des liens ou à divulguer des informations confidentielles.
Le phishing par téléphone : les attaquants appellent les utilisateurs en se faisant passer pour des représentants d'une entreprise ou d'une organisation légitime et tentent de collecter des informations confidentielles.
Le spear-phishing : une forme de phishing ciblé où les fraudeurs utilisent des informations personnelles sur les utilisateurs pour personnaliser leurs attaques et les rendre plus crédibles.
Le whaling : une forme de phishing ciblé où les fraudeurs ciblent des personnes occupant des postes de haut niveau, tels que des PDG ou des directeurs financiers, pour obtenir des informations financières ou d'entreprise confidentielles.

Peu importe le type, le but est toujours le même : tromper l’utilisateur et collecter des données confidentielles, telles que des noms d'utilisateur, des mots de passe, des numéros de carte de crédit et des informations financières. De plus, aucune compétence n’est requise, à l'exception d’avoir quelques connaissances en web et en social engineering pour pouvoir en apprendre davantage sur les cibles et personnaliser les messages en fonction.

Comment procède-t-il ?

Bob a mis en place une routine simple pour mener à bien ses attaques. Tout d'abord, il détermine son objectif. En fonction de ce dernier, il adapte son processus. S'il souhaite porter atteinte à une entreprise spécifique ou vendre les données collectées sur le marché noir, il utilise des méthodes différentes. Ensuite, Bob effectue une analyse de sa cible en examinant les tendances actuelles et les besoins de la masse. S'il souhaite cibler une entreprise particulière, il utilise la discipline de l'OSINT (Open Source Intelligence), qui consiste à rechercher des informations sur des individus en utilisant uniquement les sources publiques en ligne. Cela permet d'identifier les personnes les plus susceptibles de posséder des données intéressantes et de communiquer avec elles.

Une fois toutes les informations pertinentes collectées, Bob élabore un plan d'attaque. Il commence par rédiger des e-mails de phishing et créer un site web frauduleux qu'il héberge ensuite sur un serveur avec un nom de domaine similaire à l’original pour qu’il soit plus difficile d’observer une différence. Pour envoyer massivement ses e-mails, Bob utilise des plateformes existantes telles que Gosphing, Evil URL ou King Phisher. Il ajoute toutes ses listes d'e-mails et installe un tracker sur son site web et ses e-mails. Grâce à cet outil, il peut suivre l'avancement de son attaque en temps réel. Il peut voir qui a cliqué, où, quand, comment, avec quel système d'exploitation, à quelle heure et à quelle fréquence. Cette information est très utile pour ajuster l'attaque et en maximiser l'efficacité. Enfin, Bob n'a plus qu'à attendre les résultats de son attaque. Cependant, dans certains cas, cela ne suffit pas. Bob peut aller plus loin en ajoutant dans ses e-mails un logiciel malveillant qui aura pour but d'infecter l'ordinateur de l'utilisateur en arrière-plan, lui donnant ainsi accès à toutes les informations personnelles de la victime. Un cas plus rare, mais toujours possible.

Qu’est-ce qui motive Bob ? Que fait-il des données ?

La principale motivation de Bob est l’argent facile. Après avoir collecté un maximum d'informations confidentielles, il peut utiliser les informations de connexion pour accéder aux comptes bancaires des victimes et y effectuer des transactions frauduleuses. Il peut également se faire passer pour ses victimes en utilisant leurs informations personnelles pour commettre des crimes en leur nom. Mais le plus lucratif, restera toujours la vente des informations sur le marché noir. Les informations personnelles, y compris les numéros de carte de crédit et les adresses e-mail, sont vendues à des prix exorbitants sur ces marchés clandestins… et ça Bob l’a bien compris. Les conséquences pour ses victimes peuvent être terribles. L'usurpation d'identité peut également avoir des conséquences néfastes pour les victimes, comme le refus de prêts bancaires ou la détérioration de leur cote de crédit. De plus, les conséquences psychologiques de la violation de la vie privée peuvent être dévastatrices.

Malheureusement, Bob n'est pas un cas isolé. Il existe de nombreuses personnes mal intentionnées qui utilisent des méthodes similaires pour obtenir des informations confidentielles, il est donc important de se protéger contre de telles menaces.

Comment faire pour se protéger des attaques de Bob ?

Si vous ne voulez pas vous faire subtiliser vos données, protégez-vous ! Voici quelques conseils à adopter:

Ne cliquez pas sur les liens provenant de sources non-fiables ou inconnues.
Utilisez des mots de passe forts et uniques pour chaque compte.
Évitez de divulguer des informations sensibles via des e-mails ou des messages instantanés.
Utilisez des logiciels de sécurité pour protéger votre ordinateur et vos informations personnelles.

Il est également possible et fortement conseillé de signaler ces attaques afin de limiter leur propagation. Sur Parhos, il est possible de signaler tous types de contenus illicites dont les sites web frauduleux. Pour signaler les sms et appels frauduleux il est recommandé de le faire au 33700 ou directement sur ce site. En restant vigilants et en appliquant des bonnes pratiques de sécurité, les utilisateurs en ligne peuvent se protéger contre ces attaques et minimiser les risques de compromission de leurs informations personnelles.

Qu'est-il arrivé à Bob ?

La légende raconte que Bob a continué ses activités de phishing jusqu'à ce qu'il soit finalement arrêté par les autorités. Il a été condamné à une peine de prison, mais a trouvé un moyen de pirater le système informatique de la prison et de s'évader. Depuis, on dit qu'il se cache dans un endroit secret en ligne, où il continue probablement à mener des activités malveillantes.