11 manières d’éviter de vous faire piéger par les attaques par hameçonnage

Voici le dernier épisode de notre Cybersecurity Awareness Month qui vous apporte des conseils utiles et de bonnes pratiques pour protéger vos données. Éditions précédentes :

• « See Yourself in Cyber »: le slogan du Cybersecurity Awareness Month 2022 vous invite à agir en faveur de votre cybersécurité
• Les mots de passe doivent être bien plus complexes que 1-2-3-4
• Réussir la mise à jour de vos logiciels et protéger vos informations en 3 étapes
• 4 étapes pour implémenter la MFA afin de protéger vos données

Loin de l’activité plaisir du samedi matin, le phishing – et son proche cousin le spear phishing – est l’une des attaques d’ingénierie sociale les plus ciblées auxquelles les individus et les entreprises peuvent être confrontés. Lisez ce qui suit pour en savoir plus sur ces deux menaces dangereuses, pour savoir si la situation s’améliore, pour savoir comment AvePoint lutte contre le phishing et pour connaître nos conseils pour vous éviter d’être la prise du jour d’un criminel.

Qu’est-ce que le phishing et le spear phishing ?

Phishing : il s’agit de l’un des types d’attaques d’ingénierie sociale les plus populaires. Les escroqueries par phishing sont des campagnes par e-mail, SMS (Smishing) et appels vocaux/messages vocaux (Vishing) qui visent à créer un sentiment d’urgence, de curiosité ou de peur chez les victimes, les incitant à révéler des informations sensibles, à cliquer sur des liens vers des sites Web malveillants ou à ouvrir des pièces jointes contenant des logiciels malveillants.

Spear Phishing : ce type d’attaque est une escroquerie par phishing plus ciblée où les personnes malveillantes choisissent des individus ou des entreprises spécifiques. Ils adaptent leurs messages en fonction des caractéristiques, des postes et des contacts de leurs victimes afin de rendre leurs attaques moins perceptibles. Le spear phishing est une forme plus élaborée d’attaque par phishing dont la réalisation peut prendre des semaines et des mois. Elle est beaucoup plus difficile à détecter et enregistre un meilleur taux de réussite si elle faite avec habileté.

Ces attaques peuvent avoir un impact négatif sur les entreprises, tel que l’interruption des activités et des opérations, l’exposition des données, l’atteinte à la réputation de l’entreprise et de sérieuses implications financières.

Quel est le degré de préjudice ?

Ce n’est pas pour rien si aussi bien la National Cybersecurity Alliance que l’Agence de l’Union européenne pour la cybersécurité ont désigné le phishing comme l’un des domaines prioritaires du Cybersecurity Awareness Month.

D’après une étude récente :

• Quinze milliards de courriers électroniques non sollicitéscirculent chaque jour sur Internet, ce qui signifie que les filtres anti-spam brûlent déjà la chandelle par les deux bouts. Et nous savons tous ce qui arrive quand elle se consume par les deux bouts… On finit par se brûler.
• L’année dernière, 83 % des entreprises ont déclaré avoir subi des attaques de phishing, et cette année, on prévoit six milliards d’attaques supplémentaires.
• En fait, un e-mail sur 99 est une attaque de phishing. Pensez au nombre de courriels que vous recevez en une journée… c’est beaucoup plus fréquent que vous ne le pensez.

Comment AvePoint traite le phishing pour son personnel et ses clients

Je suis membre de l’équipe PSR (Privacy, Security, and Risk) d’AvePoint, qui a une mission simple mais profonde : placer la sécurité au cœur de nos clients et de notre personnel.

Pour notre personnel, nous organisons régulièrement des formations de sensibilisation à la sécurité, postons des articles en interne et des publications sur les réseaux sociaux avec de nouveaux conseils en fonction de l’évolution de l’élaboration de l’ingénierie sociale, et nous organisons régulièrement des exercices de simulation de phishing. Vous remarquerez que tout est axé sur la sensibilisation et l’éducation, qui, d’après 84 % des entreprises basées aux États-Unis, ont permis de réduire le taux de réussite du phishing.

Lorsqu’il s’agit de nos systèmes et de nos clients, nous veillons à ce que notre formation de sensibilisation à la sécurité soit conforme aux normes de référence des accréditations en matière de confidentialité et de sécurité, notamment à l’ISO 27001, au RGPD et au CCPA. Nous nous tenons également au courant des dernières tendances en matière de cybersécurité (comme l’augmentation des attaques par ransomware, le risque lié aux fournisseurs, le télétravail, la cybersécurité mobile, les menaces pour la sécurité du cloud et les attaques par ingénierie sur les réseaux sociaux) et évaluons leur impact sur nos systèmes.

11 conseils pour éviter d’être victime de l’hameçonnage

Comment éviter de se retrouver du mauvais côté d’une attaque d’ingénierie sociale ? Voici quelques pratiques exemplaires que vous pouvez appliquer :

1. Formez les employés à identifier les attaques de phishing, par exemple en évitant de cliquer sur des liens et des pièces jointes malveillants.
2. Procédez à des exercices de simulation de phishing au hasard.
3. Appliquez l’authentification multifactorielle (MFA) sur les applications et systèmes critiques de votre entreprise.
4. Maintenez tous les systèmes et applications à jour avec les derniers correctifs et mises à jour de sécurité.
5. Déployez un filtre web pour bloquer les sites Web malveillants.
6. Chiffrez toutes les données sensibles de l’entreprise.
7. L’accès à distance aux données de l’entreprise doit se faire par le biais du réseau privé virtuel (VPN) de l’entreprise.
8. Effectuez des revues des droits d’accès des utilisateurs (UAR) sur tous les systèmes et applications critiques.
9. Encouragez les employés à avoir un mot de passe et/ou une phrase secrète qui ne doit pas être utilisé(e) pour d’autres comptes. Ce mot de passe ou cette phrase secrète doit être considéré(e) comme la clé du royaume.
10. Analysez et évaluez régulièrement vos processus de sécurité interne pour vous assurer que vos applications et systèmes ne sont pas facilement exploitables.
11. Mettez en place un contact dédié pour que les employés puissent signaler toute activité suspecte.

Chez AvePoint, c’est notre équipe PSR qui s’en charge. Nous sommes prêts à nous assurer que nous sommes à la hauteur de notre mission de placer la sécurité au cœur de nos clients et de nos employés chaque jour.

Pour en savoir plus sur notre manière d’intégrer la confiance comme principe fondamental de nos systèmes et de notre personnel, rendez-vous sur la page AvePoint Trust Center.

Produits AvePoint

Vous cherchez à assurer une protection optimale de vos données ? AvePoint vous propose Cloud Backup qui vous offre une grande tranquillité d’esprit en cas de catastrophe et récupère rapidement le contenu perdu ou corrompu à partir de vos sauvegardes.

---

Tenez-vous à jour des autres articles de notre Cybersecurity Awareness Month en vous abonnant à notre blog.