Campagnes de phishing : quels sont les sites les plus utilisés ?
Ces dernières années, les campagnes de phishing n'ont jamais cessé de gagner en popularité. Malheureusement, elles font des milliers de victimes chaque année, autant chez les particuliers que chez les professionnels, avec parfois d'énormes conséquences. Mais, alors, quels sont les sites les plus utilisés pour mener ces campagnes de phishing ?
Rappel : qu'est-ce que le phishing ?
Avant de vous lister les sites les plus utilisés, je dirais même les plus copiés, dans le cadre de campagnes de phishing, il est bon de rappeler en quelques mots ce qu'est le phishing.
Tout d'abord, on peut traduire phishing par hameçonnage. L'objectif étant de tromper la vigilance de l'utilisateur dans le but de récupérer des informations personnelles à son sujet, bien souvent des identifiants de connexion ou des numéros de carte bancaire, et dans la majorité des cas la campagne de phishing s'effectue par des envois d'e-mails en masse. Dans certains cas, le phishing peut être utilisé pour distribuer des malwares.
Prenons un cas de figure : un pirate imagine un e-mail, par exemple "Vous avez reçu un paiement sur PayPal". Cet e-mail ressemblera le plus possible à un e-mail officiel de PayPal (pour maximiser les chances de vous tromper) et contiendra un lien pour vous inciter à vous connecter sur PayPal. Sauf que là, vous n'êtes pas redirigé vers le site PayPal mais vers une copie (plus ou moins bien réalisée) du site officiel : si vous vous connectez avec votre compte PayPal, les informations saisies au sein du formulaire de connexion tomberont directement entre les mains du pirate. Ensuite, le mal est fait : le pirate peut accéder à votre compte PayPal.
En entreprise, il est indispensable de sensibiliser les utilisateurs, car ce sont eux qui vont recevoir les e-mails. Clairement, les utilisateurs représentent la première barrière dans votre chaîne de sécurité. D'une part, il y a la sensibilisation théorique où vous pouvez leur rappeler les bonnes pratiques et les points sur lesquels être vigilant. D'autre part, il y a l'entraînement, la pratique disons, où l'on va utiliser un simulateur permettant de créer une campagne de phishing : sans réel danger, mais très intéressant pour évaluer le niveau de vos utilisateurs. Dans ce cas, on pourra parler d'apprentissage par l'expérience.
Pour aller plus loin et éviter au maximum que ces e-mails parviennent jusqu'à la boîte aux lettres des utilisateurs, on peut renforcer la sécurité de son service de messagerie. Dans ce domaine, il y a un acteur incontournable sur le marché : Mailinblack. Par exemple, lorsqu'une personne externe envoie un e-mail à l'un de vos utilisateurs pour la première fois, l'expéditeur reçoit un e-mail de la part de la solution Mailinblack : il faut remplir un captcha pour s'authentifier et valider l'envoi de l'e-mail. Autant vous dire que cela va freiner les robots qui envoient les e-mails en masse dans le cadre des campagnes de phishing.
Top 10 des sites pour les campagnes de phishing
Voici le Top 10 publié par l'éditeur Webroot au sujet des campagnes de phishing.
- Position 1 : eBay - 13,2 %
- Position 2 : Apple - 10,2 %
- Position 3 : Microsoft - 9,5 %
- Position 4 : Facebook - 8,8 %
- Position 5 : Google - 8,6 %
- Position 6 : Steam - 7,9 %
- Position 7 : Yahoo - 5,4 %
- Position 8 : Amazon - 4,7 %
- Position 9 : Netflix - 3 %
- Position 10 : PayPal - 3 %
En aucun cas il ne faut croire que cette liste est exhaustive : il s'agit seulement d'un top 10, mais une quantité importante de sites sont copiés dans le cadre de campagnes de phishing. D'autant plus que si l'on s'intéresse uniquement à la France, d'autres noms vont ressortir fréquemment : La Poste, FranceConnect, EDF, Free, etc. Les banques sont très souvent ciblées également.
Microsoft est également très présent en France, avec notamment des campagnes de phishing qui ciblent directement Office 365 : vous recevez un lien par e-mail où l'on vous demande de vous connecter pour télécharger un fichier, que ce soi-disant, on vous a envoyé.
Si vous pensez être la cible d'une campagne de phishing, vous pouvez relayer les informations sur le site Phishing Initiative, proposée par Orange Cyberdefense. Soyez prudent ! 🙂
