L’hameçon auquel il ne faut vraiment pas mordre (en anglais)

Exposer les utilisateurs aux dernières attaques par Social Engineering est un élément clé de tout programme de formation de sensibilisation à la sécurité. La formation de sensibilisation à la sécurité Barracuda propose à ses clients des modèles de simulation de phishing concrets pour évaluer la faculté de leurs employés à identifier les attaques de spear-phishing et déterminer la probabilité qu’ils interagissent avec elles.  La formation de sensibilisation à la sécurité a suivi pendant des années les données de taux de clics liées à ces modèles de simulation. Une tendance claire s’est dégagée parmi les utilisateurs issus de divers secteurs d’activité : les e-mails qui se font passer pour des services ou des applications internes sont les plus susceptibles de déclencher une interaction avec l’utilisateur.

L’Ice Phishing (émulation de la communication interne) connaît un grand succès car les employés sont généralement inondés tous les jours par ce type d’e-mails. (demandes de réinitialisation de mot de passe, alertes de stockage, notifications des RH et mises à jour de tickets d’assistance par exemple). La fréquence et le volume de ces e-mails amènent les gens à cliquer sans les analyser attentivement. Les attaques d’Ice Phishing peuvent également reposer sur des déclencheurs émotionnels tels que « vous avez atteint votre limite de stockage d’e-mails » ou « votre navigation est en violation avec la politique de la société ». Les réactions émotionnelles telles que la colère, la peur ou la frustration ont tendance à susciter de nombreux clics, quel que soit le type d’e-mail.

Parmi les centaines de modèles de simulation de phishing que nous fournissons, 9 sur 10 relèvent de l’Ice Phishing :

Nom du modèle / Description	Taux de clic	Ice Phish ?
FAX Internet	50 %	Oui
Confirmation de salaire	43 %	Oui
Mise à jour de la politique de voyage	40 %	Oui
Mises à jour RH sur les congés	31 %	Oui
Mise à jour de la politique de voyage	30 %	Oui
Nouvel annuaire de l’entreprise	30 %	Oui
Document MFP (imprimante multi-fonction)	29 %	Oui
Partage de fichier Google	28 %	Non
Document MFP (imprimante multi-fonction), v2	28 %	Oui
Tâche d’impression trouvée	28 %	Oui

Pour détecter ce type d’attaques, le destinataire doit donc effectuer une analyse approfondie. Toutefois, des contrôles techniques peuvent y contribuer. Vous pouvez, par exemple, placer des bannières d’avertissement sur les e-mails externes en utilisant une fonction telle que l’avertissement d’expéditeur externe de la passerelle Barracuda Email Security Gateway.

Les contrôles procéduraux peuvent également contribuer à atténuer les risques liés à l'ice phishing. Une importante institution médicale avec laquelle nous avons travaillé exige désormais que toute communication interne dirige les utilisateurs vers l’Intranet et déconseille vivement tout lien vers des sites externes. Plus important encore, les utilisateurs ont été sensibilisés au danger des attaques d’ice phishing.

Il devient encore plus difficile d’identifier ces attaques lorsque des pirates exploitent l’ice-phishing en interne, après un piratage d'un compte. Consultez notre récent rapport sur le phishing latéral pour en savoir plus sur les mesures à prendre pour éviter qu’un compte ne soit piraté.

Combattez les menaces à la sécurité grâce à une formation de sensibilisation à la sécurité.