Vous êtes sur la page 1sur 3

Spear phishing (harponnage) : conseils

pour se protger
Variante du phishing (hameonnage), le spear phising (harponnage)
est un type d'attaque utilis par les cybercriminels qui ciblent
particulirement les utilisateurs d'entreprises. Reposant sur des
procds d'ingnierie sociale, cette mthode est utilise pour drober
des donnes sensibles aux professionnels, travers des attaques par
mail trs personnalises. Quelles en sont les principales
caractristiques. Comment s'en prmunir ?
Qu'est-ce que le spear phishing ?
Diffrences entre phishing et spear phishing
Des modus operandi diffrents
Deux objectifs gnralement diffrents
Attaques de type spear phishing : caractristiques
Se protger contre les attaques de type spear phishing : conseils

Qu'est-ce que le spear phishing ?


Le spear phishing (ou harponnage) est une technique cybercriminelle s'appuyant sur des
procds d'ingnierie sociale, qui est une variante du phishing. Le vecteur d'attaque est le mme
dans les deux cas : le message lectronique. Un e-mail d'apparence lgitime (contenu et
expditeur) est envoy un utilisateur avec une invitation : - ouvrir une pice-jointe contenant
un malware ou cliquer sur un lien pointant vers un page web contenant un programme
malveillant. Ces deux actions sont destines infecter l'ordinateur, en gnral l'insu de
l'utilisateur. - cliquer sur un lien menant un formulaire en ligne afin de soutirer des
informations confidentielles ou sensibles.

Diffrences entre phishing et spear phishing


Des modus operandi diffrents
Les modalits de l'attaque diffrent entre hameonnage et harponnage :
Le phishing repose sur l'envoi massif (randomis) de messages lectroniques trompeurs

un maximum d'utilisateurs.
Le harponnage consiste en une attaque cible sur un utilisateur ou un groupe restreint
d'utilisateurs, avec des informations trs prcises et personnalises susceptibles de
tromper la vigilance du/des destinataire(s).

Deux objectifs gnralement diffrents


Les objectifs diffrent galement quelque peu :
Le phishing est un scam visant le plus souvent subtiliser des informations bancaires, ou
usurper l'identit d'une victime avec un mobile financier. Il cible plutt les particuliers.
Le spear phishing, plus ingnieux, cible particulirement les petites et moyennes
entreprises ou TPE, et les plus grandes organisations. L'objectif est multiple :
- Soutirer des informations sensibles du point de vue de la proprit intellectuelle - Subtiliser des
informations forte valeur ajoute et/ou sensibles (ex : donnes clients, bancaires). - Espionner
la concurrence sur des projets en cours de dveloppement.

Attaques de type spear phishing : caractristiques


Le site Esecurityplanet (voir ici) a dress un inventaire de diffrents types d'attaque reposant sur
le spear phishing. Voici trois caractristiques notables :
Mail contenant une pice-jointe pouvant contenir les mots en intitul : DHL ou
notification (23% des cas), livraison (12%), ou encore facturation . Ce type d'attaque
tend diminuer, du fait de l'efficacit des filtres antispams
E-mail contenant un lien cliquable pointant vers une page web infecte : le programme
malveillant est susceptible d'exploiter une faille de scurit au niveau du PC/systme
d'information. C'est la tendance actuelle.
Message susceptible d'veiller l'intrt/de jouer avec les motions du destinataire. En objet
: fermeture imminente d'un compte , rception d'un colis en attente .
Lire galement : Cybercriminalit : le "spear phishing", principal vecteur d'attaques cibles ?

Se protger contre les attaques de type spear phishing :


conseils
Dans l'entreprise :
Privilgier des solutions antispams intgrant des fonctionnalits de sandboxing (bac
sable), qui permettent de crer un environnement scuris, entre les applications et le
disque dur, et prvenir ainsi l'installation de programmes malveillants.
Sensibiliser les employs de l'entreprise aux caractristiques du spear phishing. Simuler
de temps en temps des attaques factices pour tester leur vigilance.
Les employs doivent adopter les bons rflexes : > Rester vigilants mme s'ils se sentent
protgs par des antivirus et des firewall. Les outils ne font pas tout car l'ingniosit des

attaquants est sans limite. > Savoir reprer un email suspect. Quelques bonnes questions se
poser : > Est-ce que je connais l'expditeur ? Si non, attention. Si oui, est-il crdible qu'il m'crive
cet email ? > Le contenu du mail est-il suspect ? L'objet du mail est-il normal ? Le contenu est-il
en adquation avec l'expditeur ? Y'a-t-il une signature (sinon, c'est un indice de suspiscion
surtout si l'expditeur habituel en a une) > Contient-il une pice jointe ? dans ce cas, vrifiez
attentivement qu'on peut l'ouvrir sans risque. > Si l'employ pense tre face un mail de spear
phishing, il ne doit pas l'ouvrir, ne doit ouvrir la pice jointe, ne pas y rpondre.
Restreindre l'accs distance au rseau de l'entreprise.
Encadrer l'utilisation des messageries personnelles au travail. Les webmails personnels
sont particulirement cibles par le spear phishing.
Imposer des mots de passe complexes pour les accs pros : voir comment choisir,
scuriser et grer ses mots de passe.
A titre personnel
Mieux matriser son identit numrique : en limitant les informations publiques partages
sur les rseaux sociaux. Les spear phishers recueillent frquemment des donnes
personnelles en ligne pour personnaliser leurs attaques (ex : date de naissance, centres
d'intrts). Faites un benchmark des traces que vous laissez sur Google.
Ne jamais cliquer sur des URL raccourcies. De manire gnrale, examiner attentivement
les URL contenues dans les emails douteux.
Ralis sous la direction de Jean-Franois
PILLOU, fondateur de CommentCaMarche.net.
Ce document intitul Spear phishing (harponnage) : conseils pour se protger issu de CommentCaMarche
(www.commentcamarche.net) est mis disposition sous les termes de la licence Creative Commons. Vous pouvez
copier, modifier des copies de cette page, dans les conditions fixes par la licence, tant que cette note apparat
clairement.