Arnaques par SMS : une tendance croissante

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Il est fort probable que toute personne possédant un téléphone portable ait déjà reçu un SMS inattendu d'un numéro inconnu contenant un lien sur lequel cliquer. Depuis le 1er avril 2021, ces messages indésirables et potentiellement dangereux ont été multipliés par six. Cliquer sur un de ces liens, c'est risquer de fournir à des pirates informatiques des informations précieuses qu'ils pourraient utiliser pour vider votre compte bancaire, usurper votre identité , voire vous géolocaliser. Ce type d' attaque d'ingénierie sociale est appelé « smishing », une forme d'hameçonnage par SMS. Les appâts sont souvent évidents : compléments alimentaires énergisants, gains en argent offerts par de grandes enseignes, ou bonbons gélifiés au CBD aux saveurs inédites. D'autres sont plus subtils, se faisant passer pour des résultats de test COVID, des notifications d'expédition ou des alertes de paiement en ligne non aboutis. Dans tous les cas, ces attaques sont dangereuses et de plus en plus prisées par les cybercriminels.

Attaques par smishing

La grande majorité des attaques de phishing visent à dérober les données personnelles de consommateurs peu méfiants par e-mail. Cependant, les cybercriminels exploitent de plus en plus les consommateurs distraits, qui se déplacent rarement sans leur smartphone, pour leur soutirer leurs identifiants et mots de passe, leurs informations de carte de crédit ou autres informations financières, voire l'accès à leurs réseaux d'entreprise. Les images ci-dessous illustrent comment ils tentent de piéger les utilisateurs peu méfiants : 

La Commission fédérale du commerce (FTC) indique que les SMS frauduleux ont coûté 131 millions de dollars aux consommateurs américains l'an dernier, contre 86 millions en 2020, et représentaient 21 % de toutes les fraudes déclarées. Plus récemment, Proofpoint a constaté une multiplication par cinq des attaques de logiciels malveillants sur appareils mobiles en Europe à partir de février. Ces attaques incluaient des tentatives de smishing, ainsi que des attaques où des logiciels malveillants étaient envoyés directement aux appareils via une application malveillante. Ce phénomène pourrait-il être lié à la guerre en Ukraine qui a débuté à cette période ? CyberHoot le soupçonne, mais ne peut le prouver.

Les chercheurs de Proofpoint constatent que le smishing est devenu la méthode d'attaque privilégiée des cybercriminels cherchant à compromettre les appareils mobiles, notamment les iPhones d'Apple. Récemment, Pegasus , l'un des logiciels espions les plus puissants jamais conçus, a réussi à s'infiltrer dans les téléphones de nombreux responsables gouvernementaux, journalistes et militants des droits de l'homme après qu'ils aient cliqué sur un lien malveillant dans un SMS ou un courriel.

Que pouvez-vous faire?

En général, il est déconseillé de répondre aux SMS de personnes que vous ne connaissez pas. C'est la meilleure façon de rester en sécurité. C'est particulièrement vrai lorsque le SMS provient d'un numéro de téléphone qui n'en a pas l'air, comme « 5000 » ou « 452-981 ». Cela indique qu'il s'agit en fait d'un simple e-mail. Prenez les précautions de base nécessaires lorsque vous utilisez votre téléphone, comme :

• Supprimez les messages demandant des informations personnelles et ne cliquez jamais sur les liens Vous utilisez votre téléphone à moins de connaître la personne qui vous contacte. Même si vous recevez un SMS contenant un lien d'un ami, pensez à vérifier qu'il a bien envoyé le lien avant de cliquer dessus.
• Si vous êtes un abonné AT&T, T-Mobile, Verizon, Sprint ou Bell, vous pouvez signaler les SMS indésirables à votre opérateur en copiant le message original et en le transférant au numéro 7726 (SPAM), gratuitement.
• Pour bloquer les messages de spam — mais pas tous les SMS entrants de vos proches — appelez le service client de votre opérateur (généralement le 611) et indiquez-lui de « bloquer tous les SMS qui vous sont envoyés par e-mail » et de « bloquer tous les MMS qui vous sont envoyés par e-mail ». Vous pouvez également vous connecter à votre compte en ligne et activer ces blocages.
• N'installez jamais d'applications à partir de messages texte. Toutes les applications que vous installez sur votre appareil doivent provenir directement de l'App Store officiel. Ces programmes sont soumis à des tests rigoureux avant d'être autorisés sur le marché. Si vous avez le moindre doute sur la sécurité d'un SMS, ne l'ouvrez surtout pas.
• Ignorez les messages texte vous demandant de mettre à jour les paramètres ou de vous désabonner d'un service Vous n'êtes pas inscrit. Ne répondez même pas par STOP, car cela indiquerait au pirate que vous êtes réellement là et il intensifierait ses attaques.
• Bloquez les numéros de téléphone à partir desquels vous recevez des attaques de smishing Pour éviter toute nouvelle tentative. Pour préserver votre sommeil, activez vos paramètres de sommeil pour bloquer tous les messages la nuit pendant vos heures de sommeil habituelles.

N'oubliez pas : un seul SMS malveillant peut compromettre vos données, votre téléphone et votre sécurité personnelle. Avec un peu de bon sens et de prudence, vous pouvez éviter d'être victime d'une attaque par smishing.

Recommandations supplémentaires en matière de cybersécurité

De plus, les recommandations ci-dessous vous aideront, vous et votre entreprise, à vous protéger contre les différentes menaces auxquelles vous pouvez être confrontés au quotidien. Toutes les suggestions mentionnées ci-dessous peuvent être mises en œuvre en faisant appel aux services de développement du programme vCISO de CyberHoot.

1. Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
2. Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
3. Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
4. Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes et déployez la protection DNS. antivirus, et anti-malware sur tous vos terminaux.
5. À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels se connectant à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS, etc.) ou en interdisant totalement leur utilisation.
6. Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
7. Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.

Toutes ces recommandations sont intégrées au produit CyberHoot et aux services vCISO de CyberHoot. Avec CyberHoot, vous pouvez gérer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous à nos services dès aujourd'hui. À défaut, continuez à vous former en vous abonnant à nos newsletters mensuelles sur la cybersécurité pour rester informé des dernières actualités.

Pour en savoir plus sur le Smishing et le Vishing, regardez cette courte vidéo de 3 minutes :

Sources:

CNET

Lectures supplémentaires : 

Le smishing, le nouveau phishing

Attaque par smishing dans le recensement britannique

Attaque par smishing PayPal