Centré sur l'erreur humaine, l'hameçonnage (ou phishing en anglais) est l’une des principales menaces à la cybersécurité de cette ère informatique, et cela ne semble pas prêt de s’arrêter. Rappelons tout d’abord qu’il s’agit d’une pratique frauduleuse consistant à envoyer des e-mails prétendant provenir d'entreprises réputées afin d'inciter des individus à révéler des informations personnelles, telles que des mots de passe et des numéros de carte de crédit. Comme pour tout autre type de fraude, l'auteur peut causer des dommages importants tant pour les particuliers que pour les entreprises.

Dans un rapport publié par IBM, il ressort que le coût moyen d'une violation subie par les entreprises est de 4,24 millions de dollars par incident, atteignant ainsi un niveau record durant la crise sanitaire. Pour CISCO, au moins une personne a cliqué sur un lien de phishing dans environ 86% des organisations. Les données du géant américain de l’informatique suggèrent que ce type d’attaque représente environ 90% des violations de données.

Les données dévoilées par Check Point Research confirment l’engouement des cybercriminels pour les entreprises. Ces dernières ont été témoins de 50% d'attaques supplémentaires par semaine en 2021 par rapport à 2020. À un niveau fondamental, les entreprises sont fondées sur la confiance. Par conséquent, lorsqu'une attaque de phishing entraîne, par exemple, la divulgation publique de données confidentielles, elle ternit irrémédiablement la réputation d'une organisation. Il suffit de considérer les gros titres récents : «Violation des données de British Airways : les pirates russes vendent 245.000 détails de carte de crédit» et «Uber a dissimulé un piratage massif qui a exposé les données de 57 millions d'utilisateurs et de conducteurs».

Les attaques varient selon les régions

Les principaux sujets d'e-mails d’hameçonnage ont également été scrutés, en comparant ceux des États-Unis à ceux de la région EMEA. «Lorsque l’on compare les résultats des e-mails de phishing américains à ceux de la région Europe, Moyen-Orient et Afrique (EMEA), on constate que les sujets des e-mails envoyés aux États-Unis donnent l’impression qu’ils proviennent d’organisations utilisées par les utilisateurs, et qu’ils se concentrent sur les alertes de sécurité liées aux mots de passe, ainsi qu’à la politique interne des entreprises», a déclaré Stu Sjouwerman, PDG de KnowBe4, fournisseur de la plus grande plateforme au monde de formation de sensibilisation à la sécurité et de simulation de phishing. Pour lui, «dans la région EMEA, les principaux sujets sont liés aux tâches quotidiennes des utilisateurs, et les lignes d’objet semblent être plus personnalisées afin d’inciter les utilisateurs à cliquer. Comme prévu, nous avons trouvé des sujets liés aux vacances dans les e-mails de phishing, plus particulièrement liées aux achats».

Les réseaux sociaux représentent désormais 8% de toutes les attaques

Connaissant l'interaction des utilisateurs particuliers ou entreprises avec Internet, les cybercriminels développent invariablement leurs méthodes pour faire mouche auprès de leur cœur de cible. Les analystes de Check Point ont également constaté que les plateformes de réseaux sociaux sont plus souvent usurpées. LinkedIn, par exemple, passe de la huitième à la cinquième position, par rapport à 2020. WhatsApp est de son côté passé de la sixième à la troisième place. Par ailleurs, une étude de l'Anti-Phishing Working Group (APWG) montre que la plus grande catégorie d'hameçonnage cible les utilisateurs de messagerie Web et de logiciels en tant que service (SaaS). Ces types d'attaques sont responsables de 34,7% des tentatives de phishing.