Les donn\u00e9es du simulateur de phishing de Kaspersky Security Awareness Platform montrent que les travailleurs ont tendance \u00e0 ne pas remarquer les pi\u00e8ges cach\u00e9s dans des emails portant sur des th\u00e9matiques corporate, ou dans des notifications de probl\u00e8mes de livraison. Pr\u00e8s d\u2019un salari\u00e9 sur 5 (16% \u00e0 18%) a cliqu\u00e9 sur le lien contenu dans des mod\u00e8les d\u2019emails imitant ces attaques de phishing.<\/p>\n
Selon\u00a0des estimations<\/a>, pr\u00e8s de 91% de toutes les cyberattaques commencent par un email de phishing, et les techniques de phishing sont impliqu\u00e9es dans 32% de toutes les failles de donn\u00e9es \u00e0 succ\u00e8s.<\/p>\n Pour apporter des informations compl\u00e9mentaires sur cette menace, Kaspersky a analys\u00e9 les donn\u00e9es collect\u00e9es dans un simulateur de phishing, fournies volontairement par les utilisateurs. Int\u00e9gr\u00e9 dans Kaspersky Security Awareness Plateform<\/a>, cet outil aide les entreprises \u00e0 v\u00e9rifier que leurs \u00e9quipes peuvent distinguer un email de phishing d\u2019un email authentique, afin de ne pas exposer les donn\u00e9es de l\u2019entreprise \u00e0 des risques. L’administrateur choisit parmi l’ensemble des mod\u00e8les, imitant les sc\u00e9narios de phishing courants, ou cr\u00e9e un mod\u00e8le personnalis\u00e9, puis l’envoie aux collaborateurs sans les avertir au pr\u00e9alable et suit les r\u00e9sultats. Malheureusement, les r\u00e9sultats indiquent qu\u2019un grand nombre d\u2019employ\u00e9s tombent dans le pi\u00e8ge, cliquent sur le lien pr\u00e9sent dans l\u2019email, mettant alors en avant la n\u00e9cessit\u00e9 de formations compl\u00e9mentaires de sensibilisation \u00e0 la cybers\u00e9curit\u00e9.<\/p>\n Selon de r\u00e9centes campagnes de simulation de phishing,\u00a0les 5 types d\u2019emails de phishing les plus efficaces sont\u00a0:<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Objet\u00a0: Erreur de tentative d\u2019envoi \u2013 malheureusement, notre coursier n\u2019a pas pu livrer votre article. Exp\u00e9diteur\u00a0: Service de livraison de colis. Taux de conversion de clics\u00a0: 18,5%<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Objet\u00a0: Emails non transmis pour cause de serveurs mails surcharg\u00e9s. Exp\u00e9diteur\u00a0: L\u2019\u00e9quipe support de Google. Taux de conversion de clics\u00a0: 18%<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Objet\u00a0: Enqu\u00eate en ligne aupr\u00e8s des employ\u00e9s\u00a0: ce que vous aimeriez am\u00e9liorer au sein de l\u2019entreprise. Exp\u00e9diteur\u00a0: d\u00e9partement RH.\u00a0Taux de conversion de clics\u00a0: 18%<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Objet\u00a0: Rappel\u00a0: nouveau dress-code interne. Exp\u00e9diteur\u00a0: ressources humaines. Taux de conversions de clics\u00a0: 17,5%<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Objet\u00a0: Attention \u00e0 tous les salari\u00e9s\u00a0: nouveau plan d\u2019\u00e9vacuation du b\u00e2timent. Exp\u00e9diteur\u00a0: d\u00e9partement s\u00e9curit\u00e9. Taux de conversion de clics\u00a0: 16%<\/p>\n \u00a0Parmi les autres emails ayant engendr\u00e9 un fort taux de clics, on retrouve\u00a0: des confirmations de r\u00e9servation envoy\u00e9s de la part de services de r\u00e9servation (11%), une notification \u00e0 propos d\u2019une commande (11%) et une annonce de jeu concours IKEA (10%).<\/p>\n En revanche, les courriels qui menacent le destinataire ou offrent des avantages imm\u00e9diats semblent avoir moins de \u00ab\u00a0succ\u00e8s\u00a0\u00bb. Un mod\u00e8le ayant pour objet \u00ab\u00a0J’ai pirat\u00e9 votre ordinateur et je connais votre historique de recherche\u00a0\u00bb\u00a0<\/em>a obtenu 2 % de clics, tandis que les offres pour obtenir Netflix gratuitement et pour obtenir 1 000 dollars en cliquant sur un lien n’ont tromp\u00e9 que 1 % des employ\u00e9s.<\/p>\n \u00ab\u00a0Les simulations de phishing sont l\u2019un des moyens les plus efficaces pour tester la cyber-r\u00e9silience des salari\u00e9s et \u00e9valuer l\u2019efficacit\u00e9 de leurs formations en cybers\u00e9curit\u00e9. Cependant, certains aspects importants doivent \u00eatre pris en compte lors de la r\u00e9alisation de cette \u00e9valuation pour qu’elle ait un r\u00e9el impact\u00a0\u00bb, commente\u00a0Elena Molchanova, Directrice du Business Developpement pour la Sensibilisation \u00e0 la S\u00e9curit\u00e9 chez Kaspersky<\/strong>. \u00ab\u00a0Puisque les m\u00e9thodes employ\u00e9es par les cybercriminels \u00e9voluent constamment, la simulation doit inclure derni\u00e8res les tendances d\u2019ing\u00e9nierie sociale, ainsi que des sc\u00e9narios de cybercrime communs. C\u2019est tr\u00e8s important que les simulations d\u2019attaque aient lieu r\u00e9guli\u00e8rement et soient compl\u00e9t\u00e9es par des formations appropri\u00e9es \u2013 ainsi, les utilisateurs d\u00e9velopperont des fortes capacit\u00e9s de vigilance qui leur permettront d\u2019\u00e9viter d\u2019\u00eatre victimes d\u2019attaques cibl\u00e9es, aussi appel\u00e9es spear-phishing<\/em>\u00a0\u00bb.<\/p>\n Pour pr\u00e9venir les fuites de donn\u00e9es, et toutes les pertes financi\u00e8res, ou de r\u00e9putation caus\u00e9es par des attaques de phishing (ou hame\u00e7onnage), Kaspersky fait les recommandations suivantes aux entreprises\u00a0:<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Rappelez \u00e0 vos employ\u00e9s\u00a0les signes fondamentaux des e-mails de phishing<\/a>. Un objet dramatique, des erreurs et des fautes de frappe, des adresses d’exp\u00e9diteur incoh\u00e9rentes et des liens suspects ;<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0En cas de doute sur le courriel re\u00e7u, v\u00e9rifiez le format des pi\u00e8ces jointes avant de les ouvrir et l’exactitude des liens avant de cliquer. Pour ce faire, survolez ces \u00e9l\u00e9ments – assurez-vous que l’adresse semble authentique et que les fichiers joints ne sont pas dans un format ex\u00e9cutable\u00a0;<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Signalez toujours les attaques de phishing. Si vous rep\u00e9rez une attaque de phishing, signalez-la \u00e0 votre service de s\u00e9curit\u00e9 informatique et, si possible, \u00e9vitez d’ouvrir le courriel malveillant. Cela permettra \u00e0 votre \u00e9quipe de cybers\u00e9curit\u00e9 de reconfigurer les politiques anti-spam et d’\u00e9viter un incident ;<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Fournissez \u00e0 vos employ\u00e9s des connaissances de base en mati\u00e8re de cybers\u00e9curit\u00e9. L’\u00e9ducation doit viser \u00e0 modifier le comportement des apprenants et leur apprendre \u00e0 faire face aux menaces. En tant que fournisseur majeur de cybers\u00e9curit\u00e9, Kaspersky dispose d’une base d’informations pertinente sur les attaques r\u00e9elles et compl\u00e8te en permanence ses\u00a0formations de sensibilisation \u00e0 la s\u00e9curit\u00e9<\/a>\u00a0en fonction du paysage actuel des menaces.<\/p>\n