Qu’est-ce qu’une attaque par faux-semblant et comment pouvez-vous vous protéger ?

Quiconque possède un téléphone et peut recevoir des appels est susceptible d’être victime d’une attaque par faux-semblant. Des attaquants utilisant des prétextes peuvent vous appeler sous de faux prétextes, comme faire semblant de faire partie du service technique d’une entreprise ou d’une autre équipe ayant accès à des mots de passe, pour vous manipuler et obtenir des informations. Ces attaquants peuvent vendre ou utiliser ces données à mauvais escient, vous devez donc protéger activement vos informations.

Alors qu’est-ce que la prévention ? Comment pouvez-vous vous protéger?

Qu’est-ce que le faux-semblant ?

Le faux-semblant, une forme d’ingénierie sociale, se produit lorsqu’un pirate informatique utilise des moyens trompeurs pour tenter d’accéder à un système, un réseau ou toute autre information. L’attaquant évoque un faux scénario, connu sous le nom de prétexte, se faisant passer pour quelqu’un d’expérimenté, comme un personnel informatique, un responsable des ressources humaines ou même un agent du gouvernement. Cette attaque peut se produire en ligne et en personne.

Le faux-semblant a commencé au Royaume-Uni au début des années 2000 lorsque des journalistes à la recherche de scoops juteux sur des célébrités ont utilisé des mesures extrêmes pour les espionner. La concurrence entre les marques d’information était féroce, amenant les journalistes à inventer de nouvelles façons d’obtenir des informations privées.

Tout d’abord, c’était aussi simple que d’espionner la messagerie vocale de la célébrité ciblée. Les messages vocaux étaient accompagnés d’un code PIN par défaut que de nombreux utilisateurs n’ont pas pris la peine de modifier, et les journalistes l’ont exploité. Si le code PIN par défaut avait été modifié, certains allaient jusqu’à appeler leurs cibles et se faire passer pour des techniciens de la compagnie de téléphone. Ils obtiendraient les codes PIN de la messagerie vocale et auraient accès aux informations qui y sont cachées.

Généralement, les scénarios de faux-semblant donnent l’impression qu’ils nécessitent beaucoup d’urgence ou de sympathie de la part de la victime potentielle. Les attaquants peuvent utiliser des e-mails, des appels téléphoniques ou des SMS pour entrer en contact avec leurs cibles.

Éléments d’une attaque par faux-semblant

Dans un scénario de faux-semblant, il y a deux éléments principaux : le « personnage » joué par l’escroc et la « situation plausible » destinée à tromper la cible en lui faisant croire que le personnage a droit à l’information qu’il recherche.

Imaginez que vous essayez de traiter une transaction et qu’elle n’aboutisse pas. Vous ne recevez pas la pizza que vous avez commandée et la boutique en ligne est fermée. Quelle déception ! Mais ce n’est pas tout. Quelques minutes plus tard, par une erreur inexplicable, vous découvrez que votre compte a été débité.

Peu de temps après, l’attaquant appelle et se met en scène, se faisant passer pour un agent du service client de votre banque. Parce que vous attendez un appel, vous tombez dans cette situation plausible et donnez les informations de votre carte de crédit.

Comment fonctionne le faux-semblant ?

Le faux-semblant profite des faiblesses de la vérification d’identité. Lors des transactions vocales, l’identification physique est presque impossible, les institutions ont donc recours à d’autres méthodes pour identifier leurs clients.

Ces méthodes incluent la demande de vérification de la date de naissance, du plus proche parent, du nombre d’enfants, de l’adresse de contact, du nom de jeune fille de la mère ou du numéro de compte. La plupart de ces informations peuvent être obtenues en ligne à partir des comptes de médias sociaux de la cible. Les faux-semblants utilisent ces informations pour « prouver » l’authenticité de leur personnage.

Les escrocs utilisent vos informations personnelles pour vous amener à révéler des informations plus sensibles qu’ils peuvent utiliser. Obtenir ces informations personnelles nécessite une recherche minutieuse, car plus les données obtenues sont précises, plus vous serez obligé de donner des informations encore plus précieuses.

Les escrocs ont également des sources d’information directes autres que les réseaux sociaux. Ils peuvent usurper le numéro de téléphone ou le nom de domaine de messagerie de l’organisation dont ils se font passer pour ajouter plus de crédibilité à la situation plausible vendue à la cible.

3 techniques de faux-semblant notables

Il existe diverses techniques de faux-semblant que les escrocs et les pirates utilisent pour accéder à des informations sensibles.

1. Vishing et Smishing

Ces techniques sont très similaires. Les attaques de vishing impliquent l’utilisation d’appels vocaux pour persuader une victime de donner les informations dont l’escroc a besoin. Les escroqueries par smishing, quant à elles, utilisent des SMS ou des SMS.

Le vishing a plus de chances de succès car les cibles sont plus susceptibles d’ignorer les messages texte que les appels directs d’un personnel apparemment essentiel.

2. Appâtage

L’appâtage implique l’utilisation d’une grande récompense pour collecter des informations et peut également inclure la simulation d’une source fiable.

L’escroc pourrait prétendre être un avocat en prétendant que vous avez un héritage d’un parent éloigné et aurait besoin de vos informations financières pour traiter la transaction. Le personnel de haut rang d’une organisation cible pourrait également être victime.

Une autre manœuvre courante consiste à déposer une enveloppe contenant une clé USB avec le logo de l’entreprise et un message pour travailler sur un projet urgent. Le lecteur flash serait chargé de logiciels malveillants que les pirates utiliseraient pour accéder aux serveurs de l’entreprise.

3. Logiciels effrayants

Dans cette méthode, les pirates utilisent la peur comme tactique. Un exemple notable est une fenêtre contextuelle sur un site non sécurisé, vous indiquant qu’il y a un virus sur votre appareil, puis vous demandant de télécharger un programme antivirus qui est en fait un logiciel malveillant. Le scareware peut également être distribué à l’aide d’e-mails et de liens dans des messages texte.

Comment se protéger des attaques par faux-semblant

Les attaques par faux-semblant sont si répandues qu’il n’y a presque aucun moyen de les arrêter complètement. Cependant, des mesures peuvent être prises pour les réduire de manière significative.

Une étape est l’analyse des e-mails. Regarder le nom de domaine d’un e-mail peut donner un aperçu s’il est usurpé ou authentique. Cependant, les attaques par faux-semblant peuvent usurper les domaines de messagerie et semblent donc presque identiques à l’original, ce qui rend extrêmement difficile la détection de ces prétextes.

Mais avec l’avancement de la technologie complexe de l’IA, l’analyse des e-mails est devenue plus accessible. L’IA peut désormais repérer les modèles de phishing et rechercher des signes de faux-semblant. Il peut identifier les anomalies dans le trafic et les noms d’affichage des e-mails usurpés, ainsi que les phrases et le texte communs aux attaques par faux semblant.

La formation des utilisateurs est, bien sûr, essentielle. Personne ne devrait vous demander votre mot de passe bancaire, votre code PIN de carte de crédit ou votre numéro de série. Vous devez immédiatement signaler une demande pour l’un de ces éléments aux autorités compétentes. De plus, rappeler à votre famille, vos amis et vos employés de ne pas cliquer sur des liens inconnus et d’éviter de visiter des sites Web non sécurisés pourrait suffire à empêcher l’entrée de logiciels malveillants dans les serveurs de votre entreprise.

Ne tombez pas dans le piège des arnaques au faux-semblant

Pêcher une opération de faux-semblant n’est peut-être pas facile, mais il existe des mesures simples que vous pouvez prendre pour éviter d’être victime. Ne cliquez pas sur les liens des sites Web non sécurisés et ne révélez vos informations de connexion à personne. Il existe des lignes d’assistance client vérifiées sur la plate-forme en ligne de votre banque. Lorsqu’un agent du service client vous contacte, assurez-vous que les numéros correspondent à la ligne officielle.