Technique d'attaque par courriel ou message frauduleux visant à obtenir des identifiants ou à installer un logiciel malveillant, et premier vecteur d'intrusion dans les sinistres cyber.
L'hameçonnage, ou phishing, est une technique d'attaque reposant sur la tromperie : l'attaquant envoie un message frauduleux qui imite une communication légitime pour inciter la victime à divulguer ses identifiants, à cliquer sur un lien malveillant ou à exécuter une pièce jointe infectée. C'est le vecteur d'intrusion le plus fréquemment identifié dans les analyses post-sinistre cyber, loin devant l'exploitation directe de vulnérabilités techniques. Plusieurs variantes se distinguent par leur degré de ciblage. Le phishing de masse expédie des millions de messages génériques, en misant sur le volume pour obtenir quelques victimes. Le spear-phishing est personnalisé pour un individu ou une organisation précise, en s'appuyant sur des informations publiques (LinkedIn, site de l'entreprise) pour accroître la vraisemblance. Le whaling vise spécifiquement les dirigeants à fort accès, dont la compromission est particulièrement précieuse pour un attaquant. Le smishing et le vishing exploitent respectivement les SMS et les appels téléphoniques plutôt que les courriels. Pour l'assureur cyber, la prévalence du phishing comme point d'entrée signifie que la sensibilisation des employés et le filtrage des messageries sont des contrôles de souscription fondamentaux, aux côtés de l'authentification multi-facteurs qui limite les dommages en cas de vol d'identifiants.
Une campagne de spear-phishing ciblant les équipes financières d'une PME industrielle envoie un courriel imitant une demande de la direction générale pour valider un virement urgent. Un employé clique sur le lien, saisit ses identifiants Active Directory, et l'attaquant exploite le compte pour déployer un rançongiciel 72 heures plus tard.
phishing, hameçonnage, spear-phishing, whaling, smishing, vishing