Au troisième trimestre 2020, les pirates ont utilisé le smartworking à leur avantage, bombardant les boîtes de réception d'e-mails de phishing pour voler l'identité des utilisateurs
Le smartworking à domicile est une source de distraction et d'insouciance, et les cybercriminels le savent et en profitent : Le phishing est en plein essor au troisième trimestre 2020, selon les dernières données de Check Point Research. Dans la plupart des cas, explique la société de cybersécurité, il s'agit d'attaques par "usurpation d'identité" : des courriels de phishing dans lesquels les attaquants tentent de voler le compte de la victime en lui demandant de saisir ses données de connexion sur un faux écran qui imite l'écran original de Microsoft ou de Google. Si l'utilisateur tombe dans le panneau, son compte est verrouillé en quelques minutes à la suite d'une usurpation d'identité, car les attaquants changent immédiatement le mot de passe. Avec ce compte, les criminels sont ensuite en mesure d'accéder à de nombreux autres comptes, car le compte Microsoft ou Google est souvent utilisé pour accéder à différents services en ligne.
Phishing et vol d'identité : des données alarmantes
Au troisième trimestre 2020, l'email était la plateforme la plus populaire pour les attaques d'usurpation d'identité, représentant un pourcentage stupéfiant de 44 % du total des attaques. Les comptes Microsoft ont été les plus ciblés par les tentatives de phishing (19% du total), suivis par les comptes Google (9% du total).
Une fois qu'un cybercriminel a obtenu un compte Microsoft, il peut également accéder aux profils Skype, Teams, Microsoft 365 de l'utilisateur. S'il obtient un compte Google, il a accès à Gmail et à toute la suite Google Workspace. Sans parler de tous les sites auxquels l'utilisateur accède avec le compte principal. Enfin, grâce à l'accès direct à la boîte aux lettres, il est également possible de rechercher les éventuelles données d'accès d'autres sites.
Comment se défendre contre le vol d'identité
Tout commence par un courriel, c'est donc dans la boîte de réception des courriels que doit commencer la stratégie de défense contre le phishing. La première règle est de choisir un bon service de courrier électronique doté d'un puissant filtre anti-spam et anti-hameçonnage. Ensuite, si un message n'est pas filtré, c'est à l'utilisateur de faire sa part en étant toujours méfiant lorsqu'on lui demande de saisir ses identifiants.
Vérifier l'expéditeur du message est la première étape, éviter de cliquer sur les liens et d'ouvrir les pièces jointes est la seconde. L'installation d'une bonne suite antivirus est également importante, et l'activation de l'authentification à deux facteurs peut nous sauver in extremis si le pirate a déjà pénétré dans notre compte.