Le hameçonnage et l'ingénierie sociale occupent une place importante dans le rapport d'enquête sur les violations de données de Verizon 2021

Si vous ne l'avez pas encore lu, Verizon a publié son rapport 2022 sur les enquêtes relatives aux violations de données, à la fois intelligent et convaincant. Nous avons pensé jeter un coup d'œil à l'enquête du rapport sur le phishing, qui a été en hausse pendant la pandémie et est mentionné plus de 50 fois dans le rapport.

Le phishing reste l'une des principales variétés d'action dans les brèches, et ce depuis deux ans. Cependant, non content de se reposer sur ses lauriers, il a utilisé la quarantaine pour augmenter sa fréquence et être présent dans 36 % des brèches (contre 25 % l'année dernière). Cette augmentation correspond à nos attentes, compte tenu de la ruée initiale vers le phishing et les appâts de phishing liés à COVID-19 lorsque les ordres de rester à la maison sont entrés en vigueur dans le monde entier.

Rapport Verizon 2021 sur les enquêtes relatives aux violations de données

Les chercheurs de Verizon ont découvert 29 207 incidents de sécurité dans 88 pays, dont 5 258 ont été confirmés comme des violations de données. Voici les chiffres détaillés sur les violations de données :

• Le hameçonnage est présent dans 36 % des violations, soit 11 % de plus que l'année dernière.
• Les rançongiciels apparaissent dans 10 % des violations, soit plus du double par rapport à l'année dernière.
• 85 % des violations impliquent un élément humain
• 61 % des violations concernent des données d'identification.

Phishing suivi d'un appel téléphonique

Lors de l'événement Cyber Trends 2021 de la Global Cyber Alliance, Phillip Larbey, directeur général de Verizon, Investigative Response & Threat Intelligence, a présenté des données tirées du rapport et a fourni un contexte et un éclairage. L'une d'entre elles portait sur la tendance d'une campagne de phishing suivie d'un appel téléphonique. Lors de l'appel frauduleux, le phisher incite le destinataire à ouvrir l'e-mail. Compte tenu de l'immédiateté et de la pression exercée par une autre personne lui demandant de cliquer sur le courriel hameçon en temps réel, la victime clique très souvent ; la charge utile pernicieuse est alors diffusée sur le réseau. Cette tactique d'escroquerie par câble inaugure une nouvelle forme d'hameçonnage par harponnage qui intègre un courriel ET un appel téléphonique ciblés et socialement conçus.

Compromission d'e-mails d'entreprises

Dans la section consacrée à l'ingénierie sociale du 2021 Data Breach Investigation Report, Verizon indique que "le phishing est responsable de la grande majorité des brèches dans ce modèle, les serveurs de messagerie basés sur le cloud étant une cible de choix. Les Business Email Compromises (BECs) étaient la deuxième forme la plus courante d'ingénierie sociale. Ce scénario d'attaque reflète l'ascension fulgurante des fausses déclarations, dont le nombre d'incidents sociaux était 15 fois plus élevé que l'année dernière." Dans 58 % des attaques étudiées dans le rapport qui ont réussi à détourner des fonds, la "perte moyenne était de 30 000 dollars, 95 % des BEC ayant coûté entre 250 et 984 855 dollars."

Vol de justificatifs = gros paiement

Le vol de justificatifs d'identité par le biais de l'ingénierie sociale et du phishing reste une priorité pour les cybercriminels. "Les justificatifs d'identité sont le beignet glacé des types de données", explique Verizon. Grâce à ces informations de connexion aux courriels, aux réseaux et aux applications détournées, les acteurs de la menace peuvent s'infiltrer davantage dans les réseaux et les systèmes pour exécuter des tactiques BEC, installer des logiciels malveillants et des ransomwares, voler des informations personnellement identifiables et piller la propriété intellectuelle et les informations confidentielles.

"Étant donné la prévalence des attaques de phishing, c'est là que les informations d'identification entrent fréquemment en jeu", indique le rapport. "Les données personnelles sont également une cible de choix, car elles comprennent des éléments de données tels que les numéros de sécurité sociale/d'assurance associés à d'autres éléments d'information qui permettent aux criminels de commettre d'autres fraudes financières."

L'administration publique dans le collimateur

Le secteur de l'administration publique est dans la ligne de mire des hameçonneurs. "Les acteurs capables de concevoir un courriel de hameçonnage crédible s'emparent des justificatifs d'identité à un rythme alarmant dans ce secteur", selon Verizon. "Le modèle d'ingénierie sociale est responsable de plus de 69 % des brèches dans ce secteur vertical. Il est clair que ce secteur est un trou de miel préféré des adeptes du phishing. Les actions sociales étaient presque exclusivement du Phishing avec l'email comme vecteur. Le prétexte est rarement utilisé, et pourquoi se donner la peine d'inventer un scénario alors qu'un simple phishing suffit pour faire le travail ?

Les services publics tombent dans le piège de l'ingénierie sociale

Et nous serions négligents si nous ne parlions pas un instant du secteur des services publics. La catégorie de recherche de Verizon dans laquelle se trouvent les services publics comprend également les mines, les carrières et l'extraction de pétrole et de gaz. L'ingénierie sociale est à nouveau très présente "avec des campagnes de phishing soutenues contre certaines organisations". L'ingénierie sociale est à l'origine de 86 % des violations dans ce secteur vertical, suivie par les intrusions dans les systèmes et les attaques d'applications Web de base". Au moment de la publication de ce résumé, les détails de l'atroce attaque de Colonial Pipeline n'avaient pas encore fait surface ; au vu des statistiques du rapport, on peut s'interroger sur les vecteurs d'attaque que sont l'ingénierie sociale et le phishing.

Comment DMARC et dmarcian peuvent aider

DMARC entre en jeu en aidant à protéger les domaines Internet contre les criminels qui utilisent l'ingénierie sociale et les attaques de phishing. DMARC finit par être le ciment qui permet aux organisations de gérer le courrier électronique comme un service basé sur un domaine. L'utilité de DMARC en tant que technologie anti-spoofing découle d'une innovation bien plus importante : au lieu d'essayer de filtrer les e-mails malveillants, pourquoi ne pas fournir aux opérateurs un moyen d'identifier facilement les e-mails légitimes ? En fait, la promesse de DMARC est d'augmenter le modèle de sécurité du courrier électronique "filtrer le mauvais" avec un modèle "filtrer le bon".

La mission de dmarcian est de voir l'adoption universelle de DMARC. Nous défendons cette technologie et la faisons progresser en aidant les organisations de toutes formes et de toutes tailles à la déployer. Nous avons appris qu'un déploiement DMARC correctement structuré peut jeter les bases d'une présence en ligne digne de confiance pour une organisation.

Nous sommes là pour vous aider à évaluer le catalogue de domaines d'une organisation et à mettre en œuvre et gérer DMARC sur le long terme. Vous pouvez vous inscrire pour un essai gratuit où notre équipe d'accueil et d'assistance vous aidera tout au long du processus.

Vous voulez poursuivre la conversation ? Rendez-vous sur le forum dmarcien.