Augmentation des attaques de phishing : rapport 2024 de ThreatLabz sur le phishing

Les menaces de phishing ont atteint des niveaux de sophistication sans précédent au cours de l’année écoulée, sous l’effet de la prolifération des outils d’IA générative. Transformant la façon dont les cybercriminels opèrent, les progrès de l’IA révolutionnent et remodèlent le paysage des menaces de phishing. De plus, cette technologie a démocratisé la capacité d’orchestrer des campagnes de phishing complexes, permettant ainsi même aux débutants de mener plus facilement que jamais des attaques de phishing complexes et crédibles. Plus précisément, cette évolution permet aux cybercriminels débutants d’initier sans peine des escroqueries personnalisées très convaincantes. En conséquence, les entreprises sont désormais confrontées à une myriade de nouveaux défis pour protéger leurs données et leurs systèmes contre l’assaut croissant des attaques de phishing.

En réponse, l’équipe Zscaler ThreatLabz a publié le rapport 2024 sur le phishing. Ce rapport analyse plus de 2 milliards de transactions de phishing effectuées en 2023, trouvées dans Zscaler Cloud, pour permettre aux entreprises de mieux comprendre l’évolution rapide du paysage du phishing. Fournissant un aperçu des dernières tendances et tactiques utilisées par les cybercriminels, le rapport met en évidence les campagnes de phishing actives, expose les modèles émergents et identifie les principales cibles par région, secteur d’activité, marque imitée, etc. Illustrées par des exemples concrets, les conclusions de ThreatLabz sur le phishing soulignent l’importance d’appliquer une vigilance constante et des stratégies de sécurité Zero Trust. Les conseils proposés ont pour but d’aider les entreprises à renforcer leurs défenses contre ces techniques de phishing en constante évolution.

Téléchargez le rapport 2024 de Zscaler ThreatLabz sur le phishing pour acquérir les connaissances nécessaires pour lutter de manière proactive contre la vague montante de nouvelles menaces de phishing.

6 conclusions clés concernant le phishing

Les conclusions suivantes représentent un sous-ensemble des principales tendances du phishing, qui mettent en lumière l’évolution des tactiques de phishing.

Principales tendances en matière de phishing

• Les attaques de phishing ont augmenté de 58,2 % en 2023 par rapport à l’année précédente, reflétant la sophistication et le rayon d’action croissants des acteurs malveillants.
• Le phishing vocal (vishing) et les attaques de phishing deepfake sont en hausse car les hackers exploitent désormais des outils d’IA générative pour amplifier leurs tactiques d’ingénierie sociale.
• Les attaques de phishing de type AiTM (Adversary-in-the-Middle ou attaques par interception) persistent et les attaques de type BitB (Browser-in-the-Browser ou navigateur dans le navigateur) émergent comme des menaces croissantes.  

Principales cibles du phishing

• Les États-Unis, le Royaume-Uni, l’Inde, le Canada et l’Allemagne sont les cinq principaux pays ciblés par les attaques de phishing.
  
   
• Le secteur de la finance et des assurances a subi 27,8 % de l’ensemble des attaques de phishing, ce qui représente la plus forte concentration parmi les secteurs d’activité et une augmentation de 393 % d’une année sur l’autre.
  
   
• Microsoft reste la marque la plus imitée, avec 43,1 % des tentatives de phishing la ciblant.
  
   

Vous trouverez d’autres informations sur chacune de ces conclusions et bien plus encore dans le rapport.

Gros plan sur les menaces de phishing basées sur l’IA

L’IA générative (ou GenAI) s’est incontestablement avérée un facteur de transformation en augmentant la productivité des entreprises. Le revers de la médaille de cette transformation est toutefois une vérité menaçante : l’IA transforme également les acteurs malveillants novices ou moyens en ingénieurs sociaux qualifiés et en hackers de phishing sophistiqués.

En automatisant et en personnalisant divers composants du processus d’attaque, l’IA accélère et affine les attaques de phishing, les rendant plus sophistiquées et difficiles à détecter.

• L’IA générative analyse rapidement les données publiques, telles que les informations concernant les entreprises et les dirigeants, ce qui permet aux acteurs malveillants de gagner du temps lors de leurs activités de reconnaissance et de mener des attaques ciblées plus précises.
• Les chatbots LLM élaborent des communications et des e-mails de phishing précis et crédibles en éliminant les fautes d’orthographe et de grammaire. 
• L’IA générative peut générer rapidement des pages de phishing convaincantes. Le rapport ThreatLabz révèle la manière dont ChatGPT a créé une page de connexion de phishing en moins de 10 invites et fournit des indicateurs clés à surveiller pour identifier une page de phishing. 

L’IA a brouillé la limite entre les contenus authentiques et frauduleux, ce qui accroît la difficulté de discerner les schémas de phishing des pages Web et des communications numériques légitimes.

Alors que les chercheurs de ThreatLabz suivaient les tendances du phishing tout au long de l’année 2023, plusieurs tactiques d’IA avancées notables ont également émergé. Parmi celles-ci, citons la montée du vishing et du deepfake phishing, des tactiques d’ingénierie sociale de plus en plus privilégiées qui s’appuient sur des outils d’usurpation d’identité optimisés par l’IA.

Informations sur le vishing

Les campagnes avancées de vishing gagnent en popularité à l’échelle mondiale, et sont dans certains cas responsables de pertes financières substantielles. Dans une tentative notable que ThreatLabz a déjouée au cours de l’été 2023, des auteurs de phishing ont utilisé une technologie d’IA pour perpétrer une attaque de vishing en se faisant passer pour le directeur général de Zscaler, Jay Chaudhry. Le rapport détaille la séquence des événements, rappelant aux entreprises et aux employés de rester vigilants face aux escrocs qui pratiquent le vishing. ThreatLabz anticipe une augmentation continue au cours de l’année prochaine des campagnes de phishing vocal ciblées menées par des groupes tels que Scattered Spider. Dans la mesure où ces efforts visent à acquérir les identifiants de connexion des employés, les entreprises doivent impérativement renforcer leurs défenses contre le phishing afin d’empêcher tout accès non autorisé et toute exploitation.

Informations sur les deepfakes

Les attaques de phishing impliquant des deepfakes seront l’une des cybermenaces basées sur l’IA les plus difficiles à gérer. Les auteurs malveillants possèdent désormais la capacité de créer du contenu vidéo qui reproduit avec précision les visages, les voix et les manières. Cette manipulation s’est déjà manifestée de manière inquiétante, comme dans les processus électoraux, où des vidéos deepfake fabriquent de faux récits ou déclarations de personnalités politiques. Ces vidéos peuvent influencer l’opinion publique, désinformer les électeurs et éroder la confiance dans l’intégrité du processus électoral. La société dépendant de plus en plus de la communication numérique et de la consommation de médias, les conséquences politiques et potentiellement néfastes des escroqueries deepfake s’étendront probablement bien au-delà de la portée des applications actuelles. Des escroqueries financières à l’espionnage industriel, la technologie deepfake constitue une menace de taille pour les entreprises, les individus et la société dans son ensemble.

En outre, ThreatLabz a observé une augmentation des escroqueries via les codes QR, des escroqueries dans le domaine du recrutement, des attaques BitB (Browser-in-the-Browser) et des attaques AiTM (Adversary-in-the-Middle). Consultez le rapport pour en savoir plus sur chacune de ces stratégies.

Atténuer le risque lié au phishing avec le Zero Trust

Compte tenu de l’ampleur des menaces révélées par le rapport de cette année, comment les entreprises peuvent-elles se protéger contre les dernières menaces de phishing ? Une solution définitive consiste à établir les bases d’une architecture Zero Trust. Il est crucial d’adapter les stratégies de sécurité aux nouvelles tendances de phishing et d’atténuer les risques associés. La stratégie Zero Trust a fait ses preuves à cet égard.

Le rapport 2024 de Zscaler ThreatLabz sur le phishing fournit des conseils essentiels à cette fin, notamment :

• Combattre l’IA par l’IA : découvrez les capacités de prévention du phishing optimisées par l’IA de Zscaler, indispensables pour lutter contre les menaces pilotées par l’IA, notamment l’exploitation du navigateur à partir de pages de phishing avec Zscaler Browser Isolation. 
• Avantages de l’architecture Zero Trust : découvrez comment Zscaler Zero Trust Exchange prévient le phishing traditionnel et optimisé par l’IA à diverses étapes de la chaîne d’attaque :
  • Prévenir les compromissions : l’inspection TLS/SSL à grande échelle, l’isolation du navigateur basée sur l’IA et les contrôles d’accès basés sur des politiques empêchent l’accès aux sites Web suspects.
  • Éliminer les déplacement latéraux : les utilisateurs se connectent directement aux applications, et non au réseau, tandis que la segmentation des applications optimisée par l’IA limite le rayon d’action d’un incident potentiel.
  • Neutraliser les utilisateurs compromis et les menaces internes : l’inspection inline empêche les tentatives d’exploitation d’applications privées et les capacités de tromperie intégrées détectent les hackers les plus sophistiqués.
  • Arrêter les pertes de données : l’inspection des données en mouvement et au repos empêche tout vol potentiel par un hacker actif.
• Bonnes pratiques de sécurité fondamentales : découvrez les bonnes pratiques fondamentales de sécurité pour améliorer la résilience globale aux attaques de phishing. 
   

Téléchargez dès aujourd’hui votre copie du rapport 2024 de Zscaler ThreatLabz sur le phishing. Les attaques de phishing persisteront et resteront une menace omniprésente pour les entreprises. En comprenant les dernières tendances en matière de phishing, en évaluant les risques associés et en reconnaissant les implications des attaques pilotées par l’IA, votre entreprise sera mieux équipée pour se défendre contre le phishing en 2024 et au-delà.