Hameçonnage ciblé (spear phishing)
Forme personnalisée d'hameçonnage visant une personne ou une organisation précise après reconnaissance, et principale porte d'entrée des attaques.
L'hameçonnage ciblé, ou spear phishing, est une variante sophistiquée de l'hameçonnage classique. Là où l'hameçonnage de masse envoie le même message frauduleux à un très grand nombre de destinataires en espérant que quelques-uns mordront, l'hameçonnage ciblé s'adresse à une personne ou à une organisation précise, après un travail de reconnaissance permettant de personnaliser le message, de citer des noms réels, des projets en cours ou des relations professionnelles, afin de le rendre crédible. Sa variante visant spécifiquement les dirigeants est parfois appelée harponnage de baleine, ou whaling. Cette personnalisation en fait une arme redoutablement efficace, et l'hameçonnage ciblé figure année après année parmi les premiers vecteurs d'accès initial des attaquants, qu'il serve à dérober des identifiants, à installer un logiciel malveillant ou à amorcer une fraude au virement. Pour l'assurance, il est au croisement de plusieurs garanties, car il peut conduire aussi bien à un rançongiciel qu'à une fraude financière. Les meilleures parades combinent la sensibilisation continue des collaborateurs, qui restent le maillon visé, l'authentification multifacteur, qui limite l'exploitation d'identifiants volés, et le filtrage technique des messages.
Cas d'école : un attaquant étudie le profil public d'une directrice financière, puis lui adresse un courriel imitant un avocat impliqué dans une acquisition réelle de l'entreprise. La précision des détails désarme la méfiance et ouvre la voie à une fraude au virement.
spear phishing, hameçonnage ciblé, harponnage, whaling
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.