Hameçonnage sur les réseaux sociaux : tactiques d'attaque et stratégies d'atténuation

Les scams existaient bien avant Internet. Les criminels utilisaient des appels téléphoniques et des techniques en personne pour voler des données de carte bancaire ou d'autres informations sensibles à des fins lucratives. Cependant, suite à la transformation numérique généralisée et à la dépendance accrue à Internet pour faire des affaires, en particulier pour les services bancaires en ligne et le commerce électronique, les scammers ont changé d'approche et se servent désormais du numérique comme principal vecteur d'attaque.

Les attaques par e-mail nous viennent généralement à l'esprit lorsque nous parlons d'hameçonnage. Cependant, la prolifération des plateformes de réseaux sociaux ces dernières années, avec des statistiques révélant que 63,9 % de la population mondiale les utilise, a incité les cybercriminels à lancer des attaques d'hameçonnage via ces sites. Cette évolution a créé un nouveau sous-type d'attaques par hameçonnage : l'hameçonnage sur les réseaux sociaux.

Qu'est-ce que l'hameçonnage sur les réseaux sociaux ?

L'hameçonnage sur les réseaux sociaux est une variante de l'hameçonnage qui exploite les plateformes de réseaux sociaux telles que Facebook, Instagram, X ou LinkedIn. Ces attaques se produisent généralement par le biais de fonctionnalités de messagerie telles que Facebook Messenger ou Instagram Direct Messages, ou par le biais de liens d'hameçonnage partagés dans des publications et des commentaires publics. Les pirates visent à voler les informations sensibles des utilisateurs, telles que les informations de compte ou de carte bancaires, ou à accéder à leurs comptes de réseaux sociaux (par exemple, via des pages d'hameçonnage imitant la page de connexion du site).

L'hameçonnage sur les réseaux sociaux est devenu une préoccupation croissante dans le monde entier en raison de l'importance de la base d'utilisateurs sur les plateformes sociales. Cet article abordera les différentes techniques d'hameçonnage sur les réseaux sociaux employées par les hackers et proposera des solutions pour contrer ce type d'attaque. Avant de commencer, examinons brièvement les différentes phases des attaques d'hameçonnage sur les réseaux sociaux.

Elles se déroulent généralement en trois phases :

1. Reconnaissance : collecte d'informations sur la cible par le biais de techniques de renseignement open source (OSINT), du social engineering ou d'outils de balayage automatisés. Cette phase consiste à cartographier les connexions, les intérêts et les comportements de la cible afin de concevoir des attaques personnalisées.
2. Création du leurre : développement de leurres convaincants tels que des messages urgents, des offres promotionnelles ou des interactions de profil qui incitent les utilisateurs à cliquer sur des liens d'hameçonnage ou à télécharger des logiciels malicieux pour infecter leur appareil informatique.
3. Exécution : manipulation des utilisateurs pour qu'ils effectuent des actions spécifiques telles que la saisie de leurs identifiants de compte sur des pages de connexion frauduleuses, l'installation de malwares dissimulés sous des applications légitimes ou l'octroi d'autorisations de compte à des applications malicieuses.

Techniques d'attaque par hameçonnage sur les réseaux sociaux 

L'hameçonnage sur les réseaux sociaux peut être réalisé à l'aide de différentes techniques. Voici les plus courantes :

Fausses demandes d'amis

Les fausses demandes d'amis sont une tactique fréquemment employée par les cybercriminels pour accéder aux informations personnelles des utilisateurs ciblés, propager des malwares ou commettre des scams. Ces demandes proviennent souvent de profils légitimes, mais sont soit fabriquées, soit créées à l'aide de la technologie d'IA deepfake pour gagner rapidement la confiance de l'utilisateur ciblé. Un profil fabriqué typique peut présenter l'une des caractéristiques suivantes :

• Usurpation de l'identité de personnalités officielles, telles que des représentants des forces de l'ordre demandant votre coopération pour résoudre une affaire urgente ou des dirigeants de votre entreprise sollicitant votre aide pendant vos vacances pour une affaire urgente.
• Se faire passer pour des célébrités bien connues, telles que des mannequins, des blogueurs de voyage ou des professionnels dans des secteurs prestigieux comme des photographes renommés
• Usurpation du profil d'autres personnes. Ainsi, un hacker peut voler des photos personnelles d'une personne ainsi que ses images publiées sur diverses plateformes de réseaux sociaux pour créer un profil détaillé en utilisant son nom et essayer de communiquer avec la cible sous cette fausse identité.
• Exploitation de l'actualité, par exemple lors de crises politiques ou de catastrophes naturelles, en se faisant passer pour des journalistes, des travailleurs humanitaires ou des coordinateurs d'intervention d'urgence à la recherche d'une aide ou d'informations urgentes.
• Création d'intérêts romantiques fictifs qui partagent des centres d'intérêt, des expériences et des antécédents similaires à ceux de la cible.

Il est important de noter que les hackers adaptent souvent leurs faux profils de réseaux sociaux aux valeurs ou aux croyances de la communauté ciblée. Par exemple, lorsqu'ils se font passer pour quelqu'un sur LinkedIn, ils peuvent se présenter comme conseiller financier lorsqu'ils tentent de cibler quelqu'un dans le secteur bancaire. Ces profils affichent souvent des preuves sociales sophistiquées, notamment des recommandations et des historiques d'activités fabriqués de toutes pièces, conçus spécifiquement pour établir leur crédibilité.

Messages directs

Les attaques par hameçonnage sur les réseaux sociaux exploitent généralement les messages directs (MD) des plateformes de réseaux sociaux pour inciter les utilisateurs à révéler des informations sensibles ou à télécharger des programmes malicieux. Un MD malicieux peut présenter l'une des caractéristiques suivantes :

• Demandes d'authentification urgentes : l'expéditeur se fait souvent passer pour l'un des amis de la cible ou un autre contact de confiance. Par exemple, un utilisateur peut recevoir un message prétendant provenir de son ami qui a besoin d'aide pour accéder à son compte verrouillé et demander un code de vérification envoyé au numéro de téléphone cible. Le pirate peut avoir cloné le compte ou l'avoir compromis et utilisé l'urgence pour faire pression sur la cible afin qu'elle donne son code de vérification d'authentification à deux facteurs (2FA).
• Alertes de sécurité de la plateforme : messages semblant provenir de l'équipe d'assistance du réseau social, informant l'utilisateur de problèmes de sécurité de son compte qui nécessitent une action immédiate. Par exemple : « Des activités suspectes ont été détectées sur votre compte. Cliquez ici pour le sécuriser maintenant. » ou « Votre compte sera définitivement supprimé sous 24 heures si vous ne vérifiez pas votre identité ici. » Les liens intégrés dans ces messages dirigent les utilisateurs vers des pages de connexion d'hameçonnage conçues pour voler leurs identifiants de compte ou les inciter à installer un malware de vol d'informations.
• Notifications de prix : messages promettant des récompenses, des offres exclusives à durée limitée ou des prix pour convaincre les utilisateurs de cliquer sur des liens malicieux. Exemples : « Vous avez gagné une carte cadeau de 300 $ ! Cliquez ici pour réclamer votre prix. » ou « Accès VIP exclusif accordé : réclamez votre abonnement premium dès maintenant. » Ces offres conduisent généralement l'utilisateur vers des pages de collecte d'identifiants ou des sites de distribution de malwares.

Publications ou commentaires d'hameçonnage 

Les publications ou commentaires d'hameçonnage sont un autre type d'hameçonnage sur les réseaux sociaux. Ils semblent légitimes à première vue et utilisent diverses tactiques pour convaincre les utilisateurs de cliquer sur des liens intégrés, tels que :

• Des pièges au contenu engageant : les cybercriminels créent des contenus attrayants pour susciter l'interaction des utilisateurs. Par exemple, un message peut afficher « Regardez cette vidéo amusante d'un chat qui essaie de danser ! » avec une URL raccourcie masquant sa véritable destination. En cliquant dessus, les utilisateurs sont dirigés vers une page de connexion frauduleuse (imitant des plateformes comme YouTube) leur demandant de saisir leurs identifiants de compte ou d'installer un malware déguisé en lecteur vidéo. Ces deux méthodes visent à voler les identifiants de compte des utilisateurs ou à installer des malwares de collecte de données.
• Les titres à sensation : des messages au contenu dramatique ou exclusif conçus pour attiser la curiosité des utilisateurs. Il peut s'agir de scandales supposés impliquant des célébrités (« Telle célébrité impliquée dans un scandale choquant : images exclusives ! ») ou d'informations de dernière minute (« Vous ne croirez jamais ce qui s'est passé aujourd'hui à New York ! »). Ces titres contournent la vigilance habituelle des utilisateurs en matière de sécurité en déclenchant des réactions émotionnelles immédiates.
• Les comptes professionnels compromis : les pirates détournent des comptes professionnels légitimes sur les réseaux sociaux pour exploiter les relations de confiance établies avec les abonnés. Ainsi, la page Facebook d'un détaillant de sport piraté peut annoncer une distribution gratuite de chaussures, en ne demandant que le paiement des frais d'expédition. Le processus de paiement dirige les utilisateurs vers des pages de paiement frauduleuses conçues pour voler les informations de leur carte bancaire. Ces attaques sont particulièrement efficaces car elles exploitent la réputation et les abonnés de l'entreprise.

Offres d'emploi frauduleuses

Les scammers se servent de fausses offres d'emploi pour exploiter les demandeurs d'emploi, dans le but de voler l'argent et les informations personnelles des victimes ou d'installer des malwares sur leurs appareils informatiques pour exécuter d'autres actions malicieuses. Voici les tactiques les plus courantes en matière d'offres d'emploi frauduleuses :

• Les messages de recrutement frauduleux : les scammers envoient des messages par e-mail ou via les plateformes de réseaux sociaux, en particulier LinkedIn, pour cibler des victimes potentielles. Ils prétendent représenter des entreprises légitimes tout en offrant des opportunités d'emploi irréalistes. Par exemple, un utilisateur peut recevoir un message disant : « Bonjour ! Nous avons consulté votre profil et sommes impressionnés par votre expérience. Nous souhaitons vous proposer un poste à distance avec un salaire mensuel de 5 000 $. Aucune expérience requise ! » Contrairement à ces scams, les recruteurs légitimes fournissent des descriptions de poste détaillées, des informations sur l'entreprise, des adresses e-mail professionnelles vérifiables et des numéros de contact officiels.
• Les offres de salaires élevés : les scammers exploitent les aspirations financières des demandeurs d'emploi en proposant des rémunérations irréalistes. Par exemple : « Gagnez 5 000 $ par semaine en travaillant depuis le confort de votre domicile, seulement une heure par jour ! » ou « Commencez à gagner 10 000 $ par mois sans aucune expérience requise ! » Ces offres créent un sentiment d'urgence et un enthousiasme qui poussent les victimes à ignorer les signaux d'alerte.
• La collecte d'informations personnelles : les scammers demandent des données sensibles par le biais de formulaires d'hameçonnage sophistiqués ou de communications directes. Ils peuvent exiger des « documents requis pour configurer la paie », notamment les numéros de sécurité sociale, les permis de conduire, les copies de passeport ou les coordonnées bancaires. Certaines escroqueries impliquent des frais initiaux déguisés en frais d'inscription, de vérification des antécédents ou de matériel de formation, qui varient généralement entre 50 et 200 $.
• Les scams de vérification : une nouvelle tactique consiste à demander aux cibles de vérifier leur identité par le biais d'applications ou de sites spécifiques. Ces plateformes contiennent souvent des malwares ou sont conçues pour voler les identifiants d'authentification d'autres comptes, tels que Google ou Facebook. Les scammers peuvent dire : « Téléchargez notre application de vérification sécurisée pour compléter votre demande » ou « Cliquez sur ce lien pour vérifier votre éligibilité à l'emploi ».

Stratégies de défense

Pour se protéger contre les attaques par hameçonnage sur les réseaux sociaux, les utilisateurs doivent mettre en place les mesures de protection suivantes :

• Sécurisation de vos comptes : utilisez l'authentification à deux facteurs (2FA) sur tous vos comptes de réseaux sociaux et créez des mots de passe uniques et complexes pour chacun d'entre eux. Vous pouvez générer des identifiants de connexion en ligne à l'aide d'un gestionnaire de mots de passe. N'oubliez pas de ne partager les codes de vérification avec personne, quelle que soit l'identité prétendue.
• Vérification des connexions : avant d'accepter des demandes d'amis sur les plateformes de réseaux sociaux, vérifiez la légitimité du compte en vérifiant les connexions mutuelles, le nombre d'amis, la date de création du profil (les comptes nouvellement créés sont un gros signal d'alarme) et les tendances d'activité récentes (les comptes peu actifs sont suspects).
• Sécurité des liens : ne cliquez jamais sur des URL raccourcies dans les publications ou les messages des réseaux sociaux. Passez votre souris sur les liens pour avoir un aperçu de leur destination réelle. Vous pouvez utiliser un service tiers pour révéler les URL réelles, tel que CheckShortURL.
• Authentification des messages : vérifiez les messages inattendus de vos amis par le biais de canaux de communication alternatifs, tels que l'e-mail ou le téléphone, surtout s'ils vous demandent d'agir de toute urgence ou de fournir des informations sensibles.
• Communication professionnelle : pour les communications liées au travail, communiquez uniquement par le biais des adresses e-mail officielles de l'entreprise et des plateformes professionnelles vérifiées. Ne payez jamais d'avance pour des opportunités d'emploi et ne partagez jamais d'informations personnelles sensibles par le biais de messages sur les réseaux sociaux.

Alors que les réseaux sociaux continuent de dominer la communication en ligne, les cybercriminels exploitent de plus en plus ces canaux pour mener des attaques par hameçonnage sophistiquées. Vous devez impérativement comprendre ces modes d'attaque et faire preuve d'une vigilance constante pour vous protéger contre l'hameçonnage sur les réseaux sociaux.