Les attaques de phishing demeurent l’une des menaces les plus critiques auxquelles les entreprises sont confrontées actuellement. Alors que les entreprises tirent de plus en plus parti de canaux de communication numériques, les cybercriminels exploitent les vulnérabilités des e-mails, des SMS et des communications voix pour mener des attaques de phishing sophistiquées. Ces dernières années, la recrudescence du nombre de télétravailleurs consécutive à la pandémie de COVID-19 a amplifié le risque d’attaques de phishing.
Le dernier rapport sur le phishing de ThreatLabz révèle que les attaques de phishing continuent à progresser, avec un bond de 47,2 % de ces exactions en 2022 par rapport à l’année précédente, le résultat de techniques de plus en plus sophistiquées utilisées par les cybercriminels pour mener leurs attaques à grande échelle. L’enseignement a été le secteur le plus ciblé en 2022, accusant une progression de 576 % des attaques, tandis que le secteur de la grande distribution et de la vente en gros subit un phishing en repli de 67 % par rapport à 2021.
Les marques de Microsoft, notamment OneDrive et Sharepoint, ainsi que la bourse de crypto-monnaie Binance et les services illégaux de streaming, ont été les plus ciblées. Les États-Unis, le Royaume-Uni, les Pays-Bas, la Russie et le Canada ont été les cinq pays les plus ciblés. Le rapport, qui s’appuie sur l’analyse de 280 milliards de transactions quotidiennes et de 8 milliards d’attaques neutralisées par jour, révèle une utilisation croissante de kits de phishing et d’outils d’IA pour lancer des campagnes extrêmement efficaces qui contournent les modèles de sécurité en place, y compris le MFA.
Zscaler ThreatLabz publie chaque année ce rapport pour aider les entreprises à identifier les tactiques d’ingénierie sociale et les logiciels sophistiqués utilisés dans les attaques de phishing. Cette connaissance permet de déjouer des piratages de données particulièrement coûteux. Les résultats soulignent la nécessité pour les entreprises de revoir leur infrastructure de cybersécurité et de prendre des mesures proactives pour maîtriser la menace croissante que représentent les escroqueries par phishing et les techniques qu'elles utilisent.
À titre d’exemple, le rapport de cette année pointe une utilisation plus importante de kits de phishing provenant du marché noir et d’outils d’IA de type chatbot comme ChatGPT, qui permettent aux hackers de concevoir des campagnes de phishing plus ciblées qui manipulent les utilisateurs et les incitent à divulguer leurs identifiants de sécurité. La prévalence croissante de l’IA et des offres PaaS permet aux cybercriminels de compromettre plus facilement leurs cibles et d’accéder à leurs données sensibles à des fins d’extorsion.
Le rapport souligne également une évolution des attaques de phishing qui, au-delà du phishing par SMS (SMiShing), utilisent le phishing par messagerie vocale (Vishing) pour inciter les victimes à exécuter des pièces jointes malveillantes. En outre, des attaques sophistiquées de type AiTM (adversary-in-the-middle) permettent aux hackers de contourner l’authentification multifacteur (MFA).
Pour endiguer ces menaces, les entreprises doivent adopter une architecture Zero Trust qui minimise la surface d’attaque, empêche toute compromission et réduit le rayon d’action en cas de succès de l’attaque. En adoptant une approche Zero Trust, les entreprises s’assurent que chaque utilisateur, application, appareil et réseau est vérifié avant de se voir accorder l’accès à des données sensibles.
Le rapport 2023 fournit également des informations décisionnelles et des conseils d’experts sur la façon dont les entreprises peuvent appliquer les bonnes pratiques de sécurité pour déjouer les attaques de phishing. Il souligne l’importance de sensibiliser les collaborateurs aux risques du phishing, ainsi qu’à la nécessité d’adopter des politiques en faveur de mots de passe forts et l’authentification multifacteur. Par ailleurs, le rapport recommande de déployer une solution de sécurité des e-mails basée sur le cloud qui fait appel à l’IA et à l’apprentissage automatique pour détecter et bloquer les attaques de phishing.
Pour en savoir plus sur les récentes menaces de phishing et sur la manière de protéger votre entreprise, téléchargez sans plus attendre le rapport 2023 de ThreatLabz sur le phishing.
