Attaque
Hameçonnage
Aussi appeléPhishingSpear phishingSmishingVishing
En résumé
Une technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action. C’est l’un des moyens d’accès initial les plus courants.
Hameçonnage, en détail
L’hameçonnage de masse envoie le même message à de nombreux destinataires en comptant sur un faible taux de réussite. Le spear phishing cible une personne ou une fonction précise, avec un message construit à partir d’informations publiques : le contexte professionnel, un fournisseur réel, un projet en cours. Le smishing passe par SMS, le vishing par téléphone ; les codes QR piégés déplacent le lien hors de portée des filtres de messagerie.
Les kits modernes agissent comme un intermédiaire entre la victime et le vrai site : la page factice relaie en temps réel les identifiants et le code de l’authentification multifacteur : définition, puis récupère la session ouverte. Les codes à usage unique reçus par SMS ou saisis à la main n’arrêtent donc pas ces attaques. Seules les méthodes liées au site légitime, comme les clés FIDO2 ou les passkeys, résistent à ce principe. La défense combine des mesures techniques (authentification résistante à l’hameçonnage, filtrage de messagerie, protocoles SPF : définition, DKIM et DMARC contre l’usurpation de votre domaine), des procédures (vérification par un second canal avant tout virement ou changement de coordonnées bancaires) et la sensibilisation, qui vise des réflexes de signalement plutôt que l’infaillibilité des utilisateurs.
Qu’est-ce que cela change pour vous ?
Vous ne pouvez pas empêcher qu’un collaborateur clique un jour sur un message piégé. L’enjeu est que ce clic n’ouvre pas à lui seul un accès exploitable : authentification résistante, droits limités et signalement rapide y contribuent.
Exemple illustratif (fictif)
Imaginons qu’une société de services reçoive un message imitant une notification de partage de document, qui renvoie vers une fausse page de connexion à la messagerie. Si le code à usage unique saisi par la victime est relayé en direct, l’attaquant ouvre une session valide.
La confusion fréquente
Faire reposer la défense sur la vigilance des utilisateurs seule, ou croire qu’une authentification multifacteur par SMS ou par code arrête l’hameçonnage. Les attaques par relais en temps réel contournent ces méthodes.
Comment le détecter chez vous ?
- Sensibilisation : la prestationDes équipes qui savent quoi faire devant un message douteux.
- Ingénierie sociale : la prestationMesurer ce qu’un inconnu obtient avec un bon prétexte et un peu d’aplomb.
Aller plus loin
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- AttaqueIngénierie sociale : définitionL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action.
- AttaqueRançongiciel : définitionUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution.
- DéfenseZero trust : définitionUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- MéthodeSimulation de phishing : définitionUn exercice où une organisation envoie à ses salariés de faux messages d’hameçonnage, dans un cadre convenu, pour mesurer leur réaction et entraîner le réflexe de signalement.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début