Ne mordez pas à l’hameçon : Reconnaître et prévenir les attaques par hameçonnage - ITSAP.00.101

• Harponnage : Attaque personnalisée qui vous cible directement. Le message peut contenir des détails vous concernant, comme vos champs d’intérêt, vos récentes activités en ligne ou de récents achats.
• Chasse à la baleine (Whaling) : Attaque personnalisée qui vise les cadres supérieurs. Un fraudeur choisit ces cibles pour tirer avantage de leur niveau d’autorité et d’un possible accès à l’information la plus sensible.
• Hameçonnage par message texte : Attaque par hameçonnage menée au moyen de messages texte (textos). Un fraudeur peut se faire passer pour quelqu’un que vous connaissez ou le représentant d’un service que vous utilisez, comme un fournisseur de services Internet ou cellulaires, afin de vous demander ou de vous offrir une mise à jour ou un paiement.
• Hameçonnage par code QR (Quishing) : Attaque par hameçonnage ayant recours à des codes QR (Quick Response) qu’un fraudeur envoie généralement par courriel. La victime lit le code QR, ce qui la redirige vers un site Web malveillant. L’hameçonnage par code QR peut contourner le mécanisme de sécurité mis en place pour analyser les pièces jointes et les liens malveillants.
• Hameçonnage vocal (Vishing) : Fraudes et arnaques par téléphone qui visent à inciter les gens à divulguer des renseignements sensibles. Un fraudeur peut utiliser un système de voix sur protocole IP (VoIP pour Voice Over Internet Protocol) pour changer l’identification de l’appelant afin de vous faire croire qu’il s’agit d’un appel légitime.

Protégez votre information et votre infrastructure :

• Avant de cliquer sur les liens, assurez-vous qu’ils sont légitimes. Passez sur le lien pour voir si l’expéditeur et le site Web correspondent bien à l’information attendue.
• Évitez d’envoyer de l’information sensible par courriel ou par texto.
• Sauvegardez l’information de manière à toujours en avoir une copie.
• Appliquez les mises à jour logicielles et les correctifs.
• Filtrez les pourriels (courriels indésirables envoyés en bloc).
• Bloquez les adresses IP, les noms de domaines et les types de fichiers que l’on sait malveillants.
• Appelez l’expéditeur pour vérifier sa légitimité (par exemple, si vous recevez un appel d’un conseiller de votre institution financière, raccrochez et rappelez-le).
• Utilisez un logiciel anti-hameçonnage conforme au protocole DMARC (Domain-based Message Authentication, Reporting and Conformance).
• Limitez la quantité d’information personnelle que vous divulguez en ligne (par exemple, les numéros de téléphone et de postes des employés).
• Mettez en place des protocoles et des procédures que vos employés pourront adopter pour vérifier les communications suspectes à l’interne. Ces procédures devraient fournir au personnel un moyen facile de signaler les attaques par hameçonnage.
• Mettez à jour le plan d’intervention en cas d’incident de votre organisation de manière à ce qu’il fasse mention de la façon d’intervenir si vous faites l’objet d’une attaque par hameçonnage.
• Utilisez l’authentification multifacteur sur tous les systèmes, en particulier sur les comptes de médias d'entreprise partagés.

La formation et la sensibilisation peuvent faire toute la différence :

Les utilisateurs de votre organisation devraient savoir à quel point il est important de protéger leur information personnelle et celle de l’organisation. Ceux qui ne savent pas reconnaître les signes précurseurs d’une attaque par piratage psychologique pourraient divulguer de l’information ou infecter involontairement les dispositifs du réseau. Miser sur la sensibilisation et la formation des employés sur les questions de respect de la vie privée (traitement de l’information personnelle) et de cybersécurité permet de réduire le risque d’une attaque par hameçonnage fructueuse. Procéder à des simulations d’hameçonnage internes aidera également vos employés à mieux comprendre comment détecter et prévenir les attaques par hameçonnage dans un environnement sécurisé.

Il pourrait y avoir anguille sous roche si :

• vous ne reconnaissez pas le nom, l’adresse courriel ou le numéro de téléphone de l’expéditeur (ce qui est fréquent dans le cas de l’hameçonnage);
• vous remarquez plusieurs fautes d’orthographe et de grammaire;
• l’expéditeur vous demande de fournir de l’information personnelle ou confidentielle, ou d’ouvrir une session par l’entremise du lien fourni;
• la demande de l’expéditeur est urgente et vous devez respecter une échéance;
• l’offre semble trop belle pour être vraie;
• l’interlocuteur parle d’un ton robotique ou son débit est inhabituel;
• l’appel est de piètre qualité.