Techniques de phishing

Table des matières

1. Introduction
2. L’ingénierie sociale en termes de sécurité de l’information
2.1 Une manipulation psychologique
2.2 Principales méthodes d’approche
2.3 Principales formes d’approche
3. Le phishing : une méthode d’ingénierie sociale
3.1 Origine
3.2 Explications
3.3 Techniques de phishing
3.3.1 Courrier électronique et spam
3.3.2 Messagerie instantanée
3.3.3 Manipulation de lien
3.3.4 Phishing par QR-Code
3.3.5 Phishing par moteur de recherche
3.3.6 Phishing par logiciel malveillant
3.3.7 Phishing par téléphone
3.3.8 Phishing par SMS
3.3.9 Tabnabbing
3.3.10 Evil Twin
3.3.11 Key Loggers
3.3.12 Vol de session
3.3.13 Reconfiguration du système
3.3.14 Injection de contenu
3.3.15 Attaque de l’homme du milieu
3.3.16 Pharming
3.4 Formes spécifiques de phishing
3.4.1 Spear phishing
3.4.2 Whaling
3.5 Les méthodes utilisées par les attaquants
3.5.1 Le partage d’information
3.5.2 Scénario d’attaque possible
4. Les victimes du phishing
4.1.1 Les conséquences d’une attaque réussie
4.1.2 Ce que font les attaquants des données récoltées
4.1.3 Les démarches à entreprendre suite à une attaque
5. Les mesures de protection contre le phishing
5.1.1 Mesures comportementales
5.1.1.1 Se tenir informé au sujet des techniques de phishing
5.1.1.2 Rester méfiant quant aux liens hypertextes et QR-Code
5.1.1.3 Vérifier si le site internet visité est sécurisé
5.1.1.4 Se méfier des pop-up
5.1.1.5 Ne jamais divulguer de renseignements personnels
5.1.1.6 Se connecter régulièrement à ses comptes en ligne
5.1.1.7 Vérifier le message reçu avec précaution
5.1.1.8 Consulter ses relevés de compte régulièrement
5.1.1.9 Ne jamais télécharger des fichiers de sources peu fiables
5.1.2 Mesures techniques
5.1.2.1 Utiliser un logiciel antivirus à jour
5.1.2.2 Garder son navigateur à jour
5.1.2.3 Activer le filtre anti-spam de son client de courrier électronique
5.1.2.4 Utiliser des pare-feu
5.1.2.5 Activer le filtre anti-phishing des navigateurs
5.1.2.6 Installer une barre d’outil anti-phishing
5.1.2.6.1 WOT
5.1.2.6.2 TrafficLight de Bitdefender
5.1.2.6.3 Link Extend
5.1.2.6.4 McAfee Site Advisor
5.1.2.6.5 AVG Link Scanner
5.1.2.6.6 Netcraft Toolbar
5.1.2.6.7 PhishTank SiteChecker
5.1.2.6.8 Web Security Guard
5.1.2.7 Vérifier la réputation d’un site internet à partir de son URL
5.1.2.7.1 PhishTank
5.1.2.7.2 Google Safe Browsing Diagnostic
5.1.2.7.3 Norton Safe Web
5.1.2.7.4 Is It Phishing
5.1.2.7.5 Scan URL
5.1.2.7.6 URL Void
5.1.2.7.7 Sucuri Site Check
5.1.2.7.8 Online Link Scan
6. Les moyens de lutte mis en oeuvre
6.1 En Suisse
6.1.1 MELANI
6.1.1.1 MELANI Check Tool
6.1.2 SCOCI
6.1.2.1 Statistique d’annonces reçues
6.2 En Europe
6.2.1 EC3
6.2.2 Phishing Initiative
6.3 Dans le monde
6.3.1 Anti-Phishing Working Group
7. Les bases légales suisses
7.1 Code pénal suisse
7.1.1 Infraction contre le patrimoine
7.1.1.1 Article 143 : Soustraction des données
7.1.1.2 Article 143 bis : Accès indu à un système informatique
7.1.1.3 Article 144 : Dommage à la propriété
7.1.1.4 Article 144 bis : Détérioration des données
7.1.1.5 Article 147 : Utilisation frauduleuse d’un ordinateur
7.1.2 Faux dans les titres
7.1.2.1 Article 251 : Faux dans les titres
7.1.3 Infraction contre le domaine secret ou le domaine privé
7.1.3.1 Article 179 novies : Soustraction de données personnelles
7.2 Loi fédérale sur la protection des marques
7.2.1 Dispositions pénales
7.2.1.1 Article 62 : Usage frauduleux
7.3 L’usurpation d’identité
8. Cas réels
8.1 Courriers électroniques au nom d’entités de confiance
8.1.1 Paypal
8.1.2 Apple
8.1.3 Ricardo.ch
8.1.4 Groupe des Banques Cantonales
8.1.5 UBS
8.1.6 Cembra Money Bank
8.1.7 PostFinance
8.1.8 UPC Cablecom
8.1.9 Office fédéral de l’énergie (OFEN)
8.1.10 Département fédéral de l’intérieur (DFI)
8.2 Phishing par Whatsapp
8.2.1 Faux sondage et abonnement piège au nom d’H&M
9. Conclusion
Bibliographie