Qu'est-ce que le Phishing ?

Le phishing, ou hameçonnage, est une cyberattaque visant à tromper un individu pour qu'il partage ses informations sensibles. C'est un enjeu majeur pour les entreprises qui doivent protéger leurs données, celles de leurs clients, ainsi que leur intégrité financière et leur réputation.

C'est quoi une tentative de phishing ?

Une tentative de phishing est une cyberattaque durant laquelle un individu malveillant tente de récupérer des informations sensibles telles que des mots de passe, des données bancaires ou des données personnelles. Pour y parvenir, le cybercriminel a généralement recours à l’usurpation d’identité : il se fait passer pour une personne, une entreprise, une administration ou une autre organisation.

Les entreprises sont des cibles privilégiées pour le phishing, en raison de la quantité et de la valeur des données qu'elles manipulent. Lorsqu’elle est ciblée, cette attaque peut avoir un objectif plus complexe qu’un simple détournement de fonds: vol de données sensibles à des fins de chantage, exploitation des ressources de l'entreprise, atteinte à la réputation, escroquerie, etc.

Les tentatives de hameçonnage se manifestent souvent par des emails incitant le destinataire à effectuer une action spécifique et à se rendre parfois sur un site web de phishing. Il est donc crucial pour votre entreprise de former vos collaborateurs à reconnaître ces tentatives.

Quels sont les différents types d'attaques de phishing ?

On distingue plusieurs types de phishing, en fonction de la méthode d’action et de l’objectif :

• Le phishing classique, qui vise des individus peu ou pas ciblés, à travers des courriers électroniques semblant provenir d'organismes légitimes (fournisseur d'énergie, opérateur de téléphonie, etc.) ;
• Le spear phishing, une forme ciblée de phishing s'adressant à des individus ou des entreprises spécifiques. Ici, l’attaquant se fait passer pour l’un des contacts de la personne ou de la structure ;
• Le whaling, de faux messages qui visent les cadres supérieurs d’une société pour obtenir des gains financiers importants ou des informations sensibles ;
• Le smishing, qui utilise les SMS pour diffuser des liens ou des informations trompeuses.

Comment se protéger d'une attaque par phishing ?

Pour se protéger du hameçonnage, votre entreprise peut mettre en place des solutions de sécurité informatique, comme des filtres anti-phishing et des systèmes de détection d'intrusion.

La formation des équipes joue également un rôle clé, car elle permet d’identifier plus facilement les tentatives de phishing et d’adopter des comportements sécuritaires, comme le fait de de savoir identifier des messages frauduleux et de ne jamais cliquer sur une pièce jointe ou un lien non identifié .

Le plus important reste d’adopter une communication très claire sur la politique de sécurité, et de faire en sorte que chaque collaborateur connaisse les procédures à suivre en cas d'e-mail douteux. De plus, il est recommandé d'utiliser des outils de gestion de mots de passe et de mettre régulièrement à jour les logiciels et systèmes d'exploitation.

Le recours à des simulations d'attaques de phishing peut également aider votre entreprise à évaluer son niveau de préparation et à identifier les points faibles de sa défense.

Quels sont les recours en cas de phishing ?

En cas de tentative de phishing, plusieurs options de signalement s'offrent à vous selon le type d'attaque :

Pour les emails frauduleux

• Transmettez le message suspect à Signal Spam (www.signal-spam.fr), la plateforme officielle française de lutte contre les courriers indésirables
• Ne supprimez pas l'email : conservez-le comme preuve
• Évitez de cliquer sur les liens ou d'ouvrir les pièces jointes

Pour les SMS frauduleux

• Transférez le SMS suspect au 33700, le numéro gratuit de signalement
• Dans un second SMS, envoyez le numéro de téléphone de l'expéditeur
• Ce service est accessible 24h/24 et permet le blocage rapide des numéros malveillants

Pour les sites frauduleux

• Dans le cas d'un site de phishing usurpant l’identité d’une société, signalez l'URL du site de phishing sur Phishing Initiative (www.phishing-initiative.fr )
• Cette plateforme analyse et bloque l'accès aux sites malveillants
• Vous contribuez ainsi à protéger d'autres utilisateurs
  

Pour une protection renforcée, vous pouvez également :

• Vous renseigner sur les démarches à suivre sur www.cybermalveillance.gouv.fr
• Contacter Info Escroqueries au 0 805 805 817 (numéro gratuit)
• Signaler l'attaque sur la plateforme gouvernementale PHAROS
• Déclarer les actes malveillants auprès du responsable de la sécurité informatique de votre entreprise (RSSI, DSI par exemple)

Si votre entreprise a été piégée par une action de hameçonnage et a communiqué des éléments sensibles, vous devez réagir très rapidement :

• Conservez toutes les preuves et déposez plainte au commissariat de police ou à la gendarmerie. La collecte de données par un moyen frauduleux est un délit passible de 5 ans de prison et de 300 000 euros d'amende (article 226-18 du Code pénal) ;
• Contactez votre banque pour faire opposition si des coordonnées bancaires ont été divulguées ;
• Contactez un fournisseur de services en cybersécurité pour prendre des mesures de protection ;
• Si les données de vos clients ou partenaires ont été divulguées, effectuez un signalement au CNIL et communiquez rapidement avec les personnes et entités concernées.

Bouygues Telecom Pro Keyyo vous accompagne dans votre projet télécoms.
Découvrez la Box Pro incluant des solutions de cybersécurité pour les entreprises.