Spear Phishing : définition, fonctionnement et protection

Qu’est-ce que le spear phishing ?

Le spear phishing, traduit par harponnage ou hameçonnage ciblé en français, est une technique d’ingénierie sociale reposant sur l’usurpation d’identité. Si elle se nomme ainsi, c’est parce qu’elle consiste à piéger une personne ou une organisation précise via des communications frauduleuses.

Pour paraître crédibles et faire mordre à l’hameçon leur cible, les cybercriminels personnalisent au maximum leurs messages. Ils utilisent des informations réelles et très précises (usurpation de l’identité de collègues, informations confidentielles…) que seuls des employés, proches ou des tiers de confiance pourraient connaître.

Ces informations peuvent être extraites de fuites de données, récoltées via les réseaux sociaux, ou dénichées à l’aide d’outils d’OSINT comme les Google Dorks.

Quelle est la différence entre phishing et spear phishing ?

Le spear phishing est simplement un type de phishing. Tous deux s’appuient sur l’usurpation d’identité pour piéger leurs victimes, mais là où le harponnage s’en prend à des personnes précises, le phishing peut être plus généraliste :

• Le phishing classique s’apparente à un pêcheur qui lance un filet dans l’océan : il espère attraper un maximum de poissons, peu importe lesquels.
• Le spear phishing est un chasseur sous-marin qui, à l’aide de son harpon, vise un poisson en particulier.

Quelle est la différence entre spearphishing et whaling ?

Le whaling est une sous-catégorie du spear phishing, qui cible les grands dirigeants et les cadres supérieurs (PDG, CFO, etc.). Les attaquants essaient de gagner leur confiance, quitte à établir une « relation » sur le long terme, pour ensuite leur soutirer des informations sensibles ou les inciter à valider des transferts d’argent sans qu’ils ne se méfient.

L’attaque par harponnage est-elle dangereuse ?

En personnalisant au maximum leurs communications, les cybercriminels savent que vous tomberez plus facilement dans le piège. C’est en cela que l’attaque par harponnage est particulièrement dangereuse, car elle exploite des faiblesses humaines. Face à un email contenant des informations précises voire confidentielles à votre sujet, vous baissez votre garde. Après tout, qui, hormis un collègue, un proche ou un tiers de confiance, pourrait savoir tout cela ?

Les statistiques du spear phishing

Selon la plateforme de cybersécurité Barracuda, le spear phishing ne représente que 0,1 % des attaques par phishing. Et pourtant, elles sont responsables de 66 % des cyberattaques basées sur les mails réussies. Un ratio effrayant, qui montre à lui seul à quel point le harponnage peut être dangereux.

Mais ce n’est pas tout :

• En 2022 dans le monde, près de 50 % des organisations ont été victimes de phishing ciblé.  
• Chaque jour, une entreprise reçoit en moyenne 5 mails piégés très personnalisés.

Une menace importante donc, contre laquelle il est très important de se prémunir.

Qui est visé par le spear phishing ?

En général, le spear phishing s’intéresse aux :

• Entreprises, et particulièrement aux départements financiers, aux ressources humaines ou encore aux services informatiques.
• Hauts dirigeants, comme les PDG, les directeurs financiers et les autres cadres supérieurs.
• Institutions gouvernementales, notamment celles qui gèrent des informations sensibles.
• Célébrités ou personnes influentes, pour par exemple leur extorquer de l’argent.
• Particuliers, les cybercriminels pouvant se faire passer pour un faux conseiller bancaire afin de leur soutirer leurs informations de connexion. Ils peuvent aussi imiter des plateformes de confiance, comme Amazon, et envoyer de faux liens de confirmation de commande. Un simple clic peut alors déclencher le téléchargement d’un malware.

Quelles sont les conséquences des attaques par harponnage ?

Le harponnage peut avoir des conséquences désastreuses pour ses victimes :

• Pertes financières : fraudes financières en cas de vol d’identifiants, transferts d'argent frauduleux et coûts liés à la réponse à l'incident.
• Vol de données sensibles : informations clients, secrets commerciaux…
• Atteinte à la réputation : perte de confiance des clients, partenaires et investisseurs.
• Perturbations opérationnelles : le spear phishing peut également avoir pour but l’installation d’un malware ou d’un ransomware, qui pourrait interrompre votre activité.
• Conséquences légales : en cas de fuites de données qui étaient soumises au RGPD, des poursuites et des sanctions sont possibles.

Comment fonctionne le spear phishing ?

Pour pouvoir être efficaces, les attaques de spear phishing suivent un schéma bien précis :

1. Reconnaissance : l’attaquant collecte d’abord un maximum d’informations sur sa cible (via les réseaux sociaux, les fuites de données, grâce à des outils d’OSINT…).
2. Création d’un leurre : grâce aux informations récoltées, un leurre personnalisé et ultra-réaliste est créé ; objectif : réussir à faire croire qu’il provient d’une source de confiance. Selon le but de l’attaque, ce leurre peut paraître alarmiste pour créer un sentiment d’urgence et pousser à l’action.
3. Envoi du message : le message frauduleux est envoyé à sa victime.
4. Répétition (étape optionnelle) : l’envoi de communications frauduleuses peut se répéter dans le temps pour établir une relation de confiance et piéger plus facilement sa victime par la suite.
5. Compromission : si la victime tombe dans le piège, le cybercriminel peut alors la manipuler pour obtenir des informations critiques, l’inciter à effectuer un virement frauduleux, ou encore à cliquer sur un lien permettant le téléchargement d’un malware.

Comment le spear phishing est-il diffusé ?

Le spear phishing se diffuse principalement via :

• Emails frauduleux : canal le plus courant, où les cybercriminels se font généralement passer pour des collègues, des supérieurs, des partenaires ou des tiers de confiance.
• Appels téléphoniques (on parle alors de vishing) : souvent combiné à l’email dans le cadre d'arnaques au président, le but est de maximiser l’impact et d’accroître la pression sur ses cibles pour les piéger plus facilement.
• Messages sur les réseaux sociaux professionnels : les cybercriminels créent de faux profils et les utilisent pour contacter leurs cibles et commencer à établir une relation de confiance.
• SMS frauduleux (on parle alors de smishing) : utilisés pour établir une relation informelle, qui incitera la victime à baisser sa garde ; cela peut fonctionner si vous ne connaissez pas le véritable numéro de la personne dont l’identité est usurpée et que les messages sont suffisamment personnalisés.

Quelles sont les variantes du spearphishing ?

Le spear phishing est particulièrement flexible, et il peut ainsi prendre plusieurs formes :

• Whaling, qui cible uniquement les hauts dirigeants pour tenter de leur extorquer des sommes importantes.
• BEC (Business Email Compromise), qui consiste à usurper un email professionnel pour pouvoir détourner des fonds.
• Clone phishing, où un email légitime est copié à l’identique, mais que les liens originaux sont remplacés par des liens malveillants.
• Smishing ciblé diffusé via SMS.
• Vishing (ou voice phishing), qui vient souvent compléter le phishing ciblé pour mettre un peu plus la pression sur ses victimes afin de mieux les faire craquer.

Cas concrets de phishing ciblé

Pour que vous compreniez bien à quel point le spear phishing peut être dangereux, arrêtons-nous quelques instants sur un cas bien connu : celui de l’arnaque au conseiller bancaire.

1. Un jour, vous recevez un email de votre conseiller bancaire. Une activité suspecte a été détectée sur votre compte, et il veut éclaircir cela avec vous.
2. Si vous ignorez ce mail, quelques minutes ou heures plus tard, vous pourriez recevoir un appel de ce prétendu conseiller, qui insiste bien sur les risques que vous encourrez. Pour régler ce problème, il pourrait alors vous demander vos informations bancaires, voire votre code de connexion personnelle.
3. Vous suivez ses instructions, croyant agir dans votre intérêt, alors que vous êtes en train de partager des informations confidentielles avec un cybercriminel.

Cette méthode est redoutablement efficace, car elle regroupe de nombreux éléments pensés pour vous faire craquer :

• Un mail qui semble officiel.  
• Une personnalisation poussée.  
• Un contenu alarmiste, d’autant plus que la menace touche ici un sujet sensible : votre argent.  
• Un appel d’un « conseiller » qui vient augmenter votre pression et qui vous incite à agir dans l’urgence.

Comment éviter de tomber dans le piège alors ? En téléphonant au numéro officiel de votre banque dès que vous recevez un mail alarmant de sa part pour en vérifier l’authenticité.

Comment se protéger efficacement contre le spear phishing ?

Pour contrer le spear phishing et vous en protéger, vous devez apprendre à le repérer et à réagir face à lui.

Checklist pour repérer une attaque de spear phishing

Plusieurs éléments devraient vous mettre la puce à l’oreille et vous aider à ne pas tomber dans le piège tendu par le spear phishing :

• Expéditeur suspect : prenez l’habitude de vérifier systématiquement l’adresse email de votre expéditeur pour repérer des incohérences (faute d’orthographe, lettre manquante ou supplémentaire, adresse finissant avec la mauvaise extension…).
• Tonalité urgente : méfiez-vous des messages pressants, qui vous demandent d’agir sans vous laisser le temps de réfléchir.
• Fautes d’orthographe et formulation étrange : si faire des fautes est humain, de trop nombreuses erreurs ou l’utilisation de formulations que votre interlocuteur n’a pas l’habitude d’employer devrait vous inquiéter.
• Demande inhabituelle : votre interlocuteur vous demande des informations confidentielles, ou souhaite que vous réalisiez un virement frauduleux ? Appelez-le à son numéro habituel pour vérifier si la demande est légitime et provient bien du prétendu expéditeur du mail.
• Mention « Envoyé via mobile » : certains cybercriminels ajoutent cette mention, car en cas d’urgence, nous sommes plus susceptibles d’envoyer un email depuis notre smartphone pour ne pas perdre plus de temps. L’utilisation d’un mobile plutôt que d’un ordinateur peut alors justifier les fautes inhabituelles, le ton urgent, et l’utilisation d’une adresse personnelle plutôt que professionnelle.

Quelles sont les bonnes pratiques pour éviter une attaque par hameçonnage ciblé ?

Mieux vaut prévenir que guérir ! En adoptant ces bonnes pratiques, vous réduisez considérablement le risque d’être victime d’une attaque par hameçonnage ciblé :

• Sensibilisez vos employés et vos proches aux risques encourus et aux méthodes employées par les cybercriminels.
• Utilisez l’authentification multifactorielle dès qu’elle est proposée, car elle empêcherait 99,99 % des connexions malveillantes, même en cas de vol d’identifiants.
• Vérifiez systématiquement les demandes sensibles via un second canal de communication, et/ou auprès d’une autre personne concernée.
• Ne cliquez jamais sur les liens suspects, et vérifiez toujours les liens contenus dans vos mails avant de les consulter.
• Méfiez-vous des communications au contenu alarmant, et évitez de répondre ou d’agir dans l’urgence.

Que faire en cas d’attaque par harponnage ?

1. Déconnecter immédiatement l’appareil compromis pour éviter que la menace ne se propage.
2. Changez les mots de passe ou les identifiants que vous avez pu dévoiler aux attaquants.
3. Contactez votre service informatique (pour les entreprises), ainsi que votre établissement bancaire en cas de fraude financière.
4. Notifiez les parties concernées si des données personnelles ont été compromises, et informez-les des risques encourus suite à cet incident.
5. Évaluez les dommages et prévenez votre assurance cyber-risques si vous en disposez d’une. Sachez par ailleurs que cybermalveillance.gouv.fr vous propose un dispositif sur son site pour évaluer l’ampleur des dégâts et vous conseiller au cas par cas.
6. Portez plainte auprès de la police ou de la gendarmerie, et prévenez la CNIL en cas d’atteinte aux données personnelles.
7. Décortiquez l’attaque dont vous avez été victime et tirez-en des leçons pour renforcer la sécurité de vos systèmes.

Comment protéger les entreprises et les particuliers contre les cyberattaques ?

Ces dernières années, avec l’essor de l’IA et du télétravail, la menace représentée par le spear phishing n’a cessé de croître. Aujourd’hui, les cybercriminels disposent d’outils de plus en plus sophistiqués pour mettre au point de redoutables pièges d’ingénierie sociale. Plus que jamais, les entreprises ont donc besoin de professionnels qualifiés et capables de les protéger de ce risque.

Pour répondre à cette demande croissante, les métiers de la cybersécurité attirent de plus en plus. Si vous cherchez à vous spécialiser ou à vous reconvertir, ils représentent donc une opportunité intéressante, mais pour laquelle vous devrez d’abord vous former.

Chez Jedha, nous vous proposons justement une formation en cybersécurité certifiante et complète, conçue pour vous fournir toutes les compétences nécessaires pour lutter contre la cybercriminalité. À son issue, en plus d’obtenir un diplôme de niveau bac+4 reconnu par l’État, vous saurez également :

• Détecter et prévenir les cyberattaques  
• Utiliser des outils de sécurité avancés  
• Mettre en place des stratégies de réponse aux incidents efficaces

Envie d’en savoir plus ? Découvrez cette formation et nos bootcamps dans notre syllabus, et venez échanger avec nous lors de notre prochaine Soirée Portes Ouvertes en ligne !

Questions fréquentes à propos du spear phishing

Quels sont les exemples connus de spear phishing ?

• Google et Facebook (de 2013 à 2015) : pendant près de deux ans, un escroc lituanien nommé Evaldas Rimasauskas s’est fait passer pour l’un des fournisseurs de Google et Facebook. Il leur envoyait de fausses factures, que les géants de la tech payaient sans se poser de questions car ils pensaient traiter avec leur véritable fournisseur.  
• Piège de cadres de Wall Street (2014) : un groupe de hackers a utilisé le harponnage pour soutirer des informations à des cadres financiers de Wall Street. Les pirates leur envoyaient des messages à partir de comptes usurpant l'identité de collaborateurs et évoquaient des affaires en cours, incitant leurs victimes à parler sans se rendre compte qu’on était en train de les prendre au piège.

Comment les cybercriminels exploitent-ils les réseaux sociaux ?

Les cybercriminels exploitent les réseaux sociaux pour perfectionner leurs attaques basées sur l’ingénierie sociale. Ils y récupèrent notamment des informations très précises sur leurs cibles (poste occupé, collègues, habitudes, centres d’intérêt…) afin de créer des leurres ultra crédibles pour mieux les faire tomber dans leur piège.

Quel rôle joue l’intelligence artificielle dans ces attaques ?

L’IA permet d’automatiser la personnalisation des messages et de générer des mails encore plus convaincants et ciblés. Mais elle peut également vous aider à mieux détecter les tentatives de harponnage, et ainsi à mieux vous en protéger.

Qu’est-ce que l’arnaque au QR code ?

Le Quishing (QR code phishing) est une arnaque où des cybercriminels utilisent des QR codes piégés pour rediriger leurs victimes vers des sites malveillants. Une fois scanné, le QR code peut mener à une page imitant un service officiel (banque, messagerie, paiement…) afin de voler des identifiants, des données bancaires ou installer un malware.