Les attaques de phishing — lors desquelles des pirates tentent de recueillir des informations personnelles au moyen d’e-mails et de liens trompeurs — continuent de toucher les organisations de toutes tailles.
Il est bien établi que le phishing, en tant que vecteur d’attaque, a explosé au cours des dernières années. SlashNext a indiqué qu’au cours des six premiers mois de 2022, plus de 255 millions d’attaques avaient été recensées, soit une hausse de 61 % du taux d’attaques de phishing par rapport à 2021.
Ce qui est souvent négligé, c’est le coût total pour une entreprise. De telles attaques exigent beaucoup de temps et d’énergie de la part des équipes informatiques et de sécurité qui consacrent, en moyenne, environ 28 minutes au traitement d’un seul e-mail de phishing, pour un coût d’environ 31 dollars par message.
Ces conclusions sont tirées d’un nouveau rapport réalisé par IRONSCALES et Osterman Research, qui a interrogé 252 professionnels de l’informatique et de la sécurité aux États-Unis. Le rapport, The Business Cost of Phishing, a révélé que les équipes informatiques et de sécurité consacrent généralement chaque semaine un tiers de leur temps à traiter les menaces de phishing. Pour 70 % des organisations, le traitement d’un seul e-mail de phishing prend de 16 à 60 minutes.
À lire aussi : The Successful CISO: How to Build Stakeholder Trust
Gérer le phishing : comme chercher une aiguille dans une botte de foin
Lorsque l’attaque se produit, le service informatique recherche le message et en lit les en-têtes, explique Ian Thomas, VP du marketing produit chez IRONSCALES. « S’il y a une pièce jointe, il la fait passer dans un bac à sable pour vérifier si elle est malveillante. Une fois que le service informatique comprend qu’il s’agit de phishing, il le recherche dans d’autres boîtes aux lettres — potentiellement des centaines. Lorsqu’il le trouve, tous les messages doivent être retirés. Cela nécessite beaucoup d’investigation et prend environ une demi-heure à chaque fois. »
En plus de consacrer beaucoup de temps aux activités liées au phishing, les organisations doivent verser un salaire plus élevé à chaque professionnel de l’informatique ou de la sécurité qui s’occupe du phishing. Selon les données, une organisation comptant cinq professionnels de l’informatique et de la sécurité dépense actuellement 228 630 dollars par an en salaires et avantages pour gérer le phishing. Une organisation comptant 10 professionnels de l’informatique et de la sécurité dépense 457 260 dollars par an, tandis qu’une organisation comptant 25 professionnels de l’informatique et de la sécurité dépense actuellement 1 143 150 dollars par an.
Attaques de phishing : un défi croissant
Le phishing est une forme de cyberattaque de plus en plus sophistiquée, qui se répand et échappe de mieux en mieux à la détection. La plupart des professionnels de l’informatique et de la sécurité interrogés dans le cadre du rapport s’attendent à ce que le volume des attaques de phishing augmente au cours des 12 prochains mois. À mesure que les attaques deviennent plus complexes et plus dommageables, les organisations consacreront davantage de temps et d’argent à leur atténuation.
Quatre-vingts pour cent des organisations estiment que la dynamique du phishing s’est détériorée ou est restée inchangée au cours de l’année écoulée. Cette dynamique englobe le nombre d’attaques de phishing, leur sophistication et leur capacité à contourner les mécanismes de détection actuels.
Par exemple, les pirates utilisent des techniques adaptatives ou des attaques polymorphes qui modifient légèrement chaque message de phishing, ce qui réduit la probabilité qu’un message soit signalé comme une escroquerie par phishing.
À lire aussi : Secure Access Service Edge: Big Benefits, Big Challenges
Cibler les utilisateurs finaux vulnérables
La méthode la plus courante pour mener des attaques de phishing consiste à tromper le destinataire d’un e-mail afin de lui faire croire que le message reçu provient d’une source fiable, comme une banque, un ami ou un collègue.
Les pirates peuvent obtenir des identifiants de compte à partir de précédents messages de phishing ou acheter ces identifiants sur le dark web. Les messages sont envoyés depuis l’infrastructure de messagerie de l’organisation elle-même, ce qui signifie qu’ils sont susceptibles de contourner les systèmes de détection.
Toute plateforme de messagerie permettant une communication bidirectionnelle est désormais une cible pour les attaques de phishing, affirme Thomas. Les plateformes de réseaux sociaux comme Facebook, LinkedIn et Instagram sont les plus courantes, mais les utilisateurs de Webex et de Zoom sont également exposés. Des pirates qui disposent des identifiants d’un employé peuvent prendre le contrôle d’un compte légitime et se faire passer pour son titulaire auprès de ses contacts, qui reçoivent directement des liens et des pièces jointes de phishing dans ces applications.
À lire aussi : Meilleurs scanners de sites web
Les réseaux sociaux dans le viseur
Le rapport a identifié une tendance préoccupante : les attaques de phishing se propagent au-delà des e-mails. Selon les répondants, ils observent des attaques de phishing dans des applications de messagerie comme :
- WhatsApp, Telegram et Snapchat (57 %)
- Les plateformes de partage de fichiers dans le cloud comme Dropbox et Google Drive (50 %)
- Les services de messagerie textuelle (49 %)
- Les réseaux sociaux et les messages directs (44 %)
- Les plateformes de visioconférence comme Zoom, Webex et Google Meet (43 %)
- Les plateformes de collaboration comme Microsoft Teams et Slack (40 %)
Le nombre d’attaques de phishing ne devrait faire qu’augmenter au cours des 12 prochains mois. Les organisations doivent donc se préparer en repensant leurs stratégies de cybersécurité afin d’y intégrer des solutions plus robustes, capables de détecter et de bloquer les attaques de phishing — y compris les menaces polymorphes et imbriquées avancées — et de protéger leurs applications de communication et de collaboration, et pas seulement leur messagerie électronique.
Dans le rapport, IRONSCALES recommande de sensibiliser les employés au moyen d’enquêtes et de supports de formation, afin qu’ils puissent identifier les escroqueries par phishing. Les organisations peuvent utiliser des simulations de phishing et des exercices de formation pour aider les employés à comprendre les différentes techniques de phishing. Pour les organisations appliquant une politique d’utilisation des appareils personnels (BYOD), celle-ci devrait être révisée afin d’y inclure des consignes sur les escroqueries par phishing par SMS.
IRONSCALES recommande également d’appliquer le principe du moindre privilège afin de réduire la surface d’attaque. Même si le compte d’un employé est compromis, ses accès seront limités à ses seules fonctions et responsabilités professionnelles. La mise en œuvre de ces mesures importantes peut aider les organisations à sensibiliser leurs employés et à atténuer les attaques potentielles.