Le phishing est une technique frauduleuse utilisée par des personnes malveillantes sur internet, dans le but de soutirer différentes informations personnelles comme les données bancaires, les logins, les mots de passe, et parfois même de l’argent. Pour les entreprises, ce genre de manœuvre peut entraîner de lourdes conséquences, comme la fuite de données sensibles telles que des fichiers clients, des brevets, ou des informations bancaires. Ils peuvent également usurper votre identité pour arnaquer d’autres personnes, ce qui est préjudiciable pour l’image de votre société. Il est alors important de s’en protéger au mieux. Comment se protéger des risques de phishing ?

Comment se déroule le phishing ?

Le phishing est une attaque très courante sur internet, ciblant aussi bien des particuliers que des entreprises. Les cybercriminels prétendent par exemple être un organisme ou une grande société pour envoyer des mails à leurs cibles. Leur objectif est de se faire passer pour un expéditeur de confiance en demandant à leur cible des actions spécifiques comme :

• cliquer sur un lien renvoyant vers un faux site officiel,
• télécharger une pièce jointe,
• répondre à un mail, etc.

Ces actions ont pour objectif d’obtenir des informations bancaires, de soutirer de l’argent ou encore d’intégrer des logiciels malveillants dans votre système informatique. C’est l’un des styles de hacks les plus répandus, étant donné qu’il requiert peu de compétences pour être mis en œuvre.

Il leur suffit de collecter quelques données sur la personne pour pouvoir s’adresser facilement à elle, ce qui est facilité par le nombre important d’informations disponibles sur internet, grâce aux réseaux sociaux par exemple. Ils s’informent le plus possible sur leurs futures victimes afin de leur envoyer le message le plus crédible possible.

Une enquête Sophos de 2019 a démontré qu’une entreprise sur deux a déjà été victime d’hameçonnage, d’où la nécessité de prendre des mesures strictes. Des entreprises de toutes tailles et exerçant dans tous les domaines d’activité sont concernées.

La nécessité de sensibiliser et de former ses collaborateurs face au phishing

C’est à travers vos collaborateurs que les hackers tenteront de s’attaquer à votre entreprise. La première chose à faire est alors de les sensibiliser et de les former.

Les tests de phishing

Vous pouvez commencer par faire réaliser un test de phishing, conçu par des spécialistes en hameçonnage. Il s’agit de simulations rapides d’attaques réalistes, réalisées sur vos équipes, pour connaître leurs réflexes de sécurité. Vous pouvez les réaliser régulièrement dans l’objectif d’améliorer vos process.

Les attaques actuelles étant toujours plus modernes et complexes, ce type de tests permet de simuler tous types de manœuvres frauduleuses, en allant des faux e-mails jusqu’aux faux sites internet qui peuvent mettre à mal votre activité. De nombreux domaines d’attaque sont disponibles sur ce type de plateformes, vous permettant de parer à toute situation.

Les avantages de cette formation

Grâce à ce type de test, vous pouvez connaître le score de sécurité de votre entreprise et l’améliorer constamment, en entraînant régulièrement vos employés. La plateforme vous fait ensuite remonter des données comportementales, vous permettant de prendre les mesures nécessaires dans la sensibilisation et la formation de vos collaborateurs. Vous pouvez par exemple les aider à apprendre les bonnes pratiques de cybersécurité :

• ne jamais envoyer des données sensibles par mail,
• se méfier des offres alléchantes (gain au loto, envoi d’argent ou de cadeaux, etc.),
• ne pas utiliser de réseau Wi-fi public,
• supprimer tout e-mail d’hameçonnage,
• vérifier les informations douteuses sur un site sécurisé.

Vous avez la possibilité d’utiliser ce type de campagne uniquement avec les collaborateurs à risque, avec certaines équipes ou départements, ou encore surveiller des groupes précis.

Il s’agit d’un gain de temps incroyable, vous permettant de prendre un test préconfiguré ou de personnaliser le vôtre, selon vos besoins.

Pour quel type d’entreprises ?

Les tests de phishing peuvent être utilisés par tous types d’entreprises, des petites structures aux grands groupes. Les TPE et PME y trouveront une solution clé en main, facile à utiliser pour entraîner une équipe à taille humaine. Les ETI et grands comptes pourront entraîner de grands effectifs en réalisant des simulations réalistes en quelques clics seulement. Enfin, les cabinets et pentesteurs y verront l’opportunité d’améliorer leur capacité d’audit et de sensibilisation.

Comment procéder ?

On peut trouver les tests de phishing directement sur des plateformes spécialisées en ligne. Il suffit de créer un compte en quelques minutes pour pouvoir lancer votre première campagne.

Utilisation d’outils de protection contre le phishing

Si la prévention reste la meilleure chose à faire, vous pouvez également vous armer de différents logiciels pour vous prémunir des tentatives de phishing au sein de votre entreprise.

• Les logiciels anti-phishing : certains logiciels permettent de repérer les mails frauduleux pour vous en protéger. Ils peuvent également identifier les comportements à risque de vos collaborateurs et dans la mise en place d’actions pour les sensibiliser.

• Les antivirus : un antivirus fiable et à jour vous protègera aussi en partie contre les tentatives de phishing, lorsque l’un de vos employés a téléchargé un PDF douteux par exemple.

• Les gestionnaires de mots de passe : pour votre sécurité, il est toujours conseillé d’utiliser un mot de passe différent pour chaque plateforme que vous utilisez. En revanche, il n’est pas facile de tous vous les rappeler, d’où l’utilité d’utiliser un gestionnaire de mots de passe.

Faites intervenir votre service informatique pour qu’il prenne les dispositions nécessaires.

Signalement des tentatives de phishing

Parmi les bons réflexes à avoir, vous devriez également signaler les tentatives de phishing.

• lorsqu’elles ont lieu au niveau de votre messagerie par exemple, vous avez la possibilité d’utiliser les onglets « courriers indésirables » et « tentatives d’hameçonnage », pour vous protéger à l’avenir,
• vous pouvez également signaler ces tentatives sur le site Signal spam, ou internet-signalement.gouv.fr, afin que les autorités prennent des mesures contre ces cybercriminels.

Si vous avez déjà été victime de ces tentatives de phishing, n’hésitez pas à changer rapidement tous vos mots de passe, à signaler la situation au service informatique de votre société, à vous rapprocher des organismes concernés (votre banque pour faire opposition par exemple), mais aussi à déposer une plainte si l’attaque est potentiellement grave.