Phishing et suites d'un e-mail piégé

Le phishing, ou hameçonnage, est un message qui se fait passer pour une personne ou une organisation de confiance afin que vous cliquiez sur un lien, ouvriez un fichier, saisissiez un mot de passe ou envoyiez de l'argent. Il arrive surtout par e-mail, mais aussi par SMS, appel téléphonique, messagerie instantanée et QR code. Le but est généralement l'un de trois : vos identifiants, un point d'appui sur votre ordinateur ou un paiement vers le mauvais compte. Il fonctionne parce qu'il s'appuie sur un contexte réel : un colis attendu, un document partagé, une facture impayée, un message du patron. Il reste l'une des premières étapes les plus fréquentes des intrusions, d'où une défense en plusieurs couches : filtrage des e-mails, authentification multifacteur (MFA), salariés qui signalent vite les messages suspects et règles de paiement qui ne reposent pas sur un seul e-mail. Un capteur réseau ne lit pas votre messagerie ; il aide ensuite, si un clic entraîne un trafic inhabituel depuis l'appareil.

Regardez moins les fautes d'orthographe, rares dans le phishing moderne, et davantage ce que le message vous demande de faire. Signaux d'alerte : une pression pour agir tout de suite, une demande de connexion, de paiement, de changement de coordonnées bancaires ou d'ouverture d'un fichier inattendu, une adresse d'expéditeur légèrement différente de la vraie, une adresse de réponse qui mène ailleurs, et un lien dont la vraie destination, visible au survol de la souris, ne correspond pas à l'entreprise annoncée. Un message d'un collègue connu peut aussi être du phishing si sa boîte a été piratée : une demande inhabituelle justifie donc une vérification par un autre canal, par exemple un appel à un numéro que vous avez déjà. Dans le doute, ne cliquez pas et signalez le message au service informatique. Une fausse alerte coûte une minute ; une vraie attaque ignorée peut coûter bien plus.

Prévenez le service informatique immédiatement, même si rien ne semble s'être passé : la rapidité compte plus que la gêne. Ensuite, avec lui : si vous avez saisi un mot de passe sur la page ouverte, changez-le depuis un autre appareil de confiance et fermez toutes les sessions actives du compte. Si un fichier s'est téléchargé ou ouvert, déconnectez l'ordinateur du réseau, en débranchant le câble ou en coupant le Wi-Fi, mais laissez-le allumé pour qu'il puisse être examiné. Notez l'heure, le message et le lien afin que l'informatique le bloque pour tout le monde et vérifie qui d'autre l'a reçu. Si vous avez seulement ouvert la page sans rien saisir, le risque est plus faible, mais l'appareil doit tout de même être vérifié avec les outils de sécurité. Les jours suivants, soyez attentif aux demandes de connexion inattendues, aux demandes MFA que vous n'avez pas déclenchées et aux réponses à des e-mails que vous n'avez jamais envoyés.

Considérez le compte comme compromis et agissez dans les minutes qui suivent. Changez le mot de passe depuis un appareil de confiance et, si vous utilisiez le même ailleurs, changez-le aussi là-bas. Demandez à l'informatique de déconnecter le compte de toutes les sessions et de révoquer ses jetons d'accès, car beaucoup de kits de phishing volent la session ouverte elle-même : un nouveau mot de passe seul peut ne pas exclure l'attaquant. L'informatique doit ensuite vérifier le journal de connexions à la recherche d'accès depuis des lieux inhabituels, contrôler les méthodes MFA pour repérer un téléphone ou une application ajoutés par l'attaquant, et chercher de nouvelles règles de boîte aux lettres qui transfèrent ou masquent des e-mails. Si le compte a des droits d'administrateur ou accès aux systèmes financiers, relevez la priorité. Ici, l'identité passe en premier. La surveillance réseau aide ensuite, en guettant l'activité qui suit souvent un identifiant volé, comme un accès à distance aux serveurs internes.

Commencez par l'identité : réinitialiser le mot de passe, révoquer les sessions, vérifier le journal de connexions et les méthodes MFA. Cherchez ensuite sur le réseau des signes que l'identifiant a servi à aller plus loin. Questions utiles : l'appareil ou le compte du salarié s'est-il connecté à des serveurs qu'il n'utilise jamais, comme les serveurs de fichiers, le contrôleur de domaine ou les systèmes financiers ? Des sessions de bureau à distance ou d'administration à distance ont-elles démarré depuis une machine inhabituelle ? Un appareil a-t-il commencé des connexions régulières et cadencées vers une adresse extérieure inconnue, ce qui peut signaler un canal de contrôle à distance ? Des volumes de données inhabituels sont-ils sortis du réseau ? Dans NetSenX, l'historique des alertes et la carte du réseau montrent ces schémas dans toutes les offres : beaconing, scan interne, mouvement latéral et volumes sortants inhabituels. Si rien n'apparaît dans les jours suivant le clic, c'est rassurant mais pas une preuve, car les boîtes mail cloud et les applications SaaS se joignent par internet et cette activité ne traverse jamais votre réseau.

Un outil réseau ne peut pas nettoyer un appareil : c'est le rôle de votre protection des postes et, dans le doute, d'une réinstallation. Ordre pratique : déconnectez l'appareil du réseau mais laissez-le allumé, pour que l'informatique puisse recueillir des preuves si nécessaire. Lancez une analyse complète avec votre outil EDR (endpoint detection and response) ou antivirus, et vérifiez les nouveaux programmes, extensions de navigateur, tâches planifiées et éléments de démarrage. Si quelque chose de suspect s'est exécuté, ou si l'appareil appartient à un administrateur ou à quelqu'un de la comptabilité, le choix le plus sûr est de l'effacer et de le réinstaller à partir d'une image saine, puis de restaurer les fichiers depuis la sauvegarde, plutôt que de se fier à un nettoyage. Avant de le reconnecter, changez les mots de passe de l'utilisateur depuis un autre appareil. Une fois revenu, surveillez son comportement réseau pendant quelques semaines : NetSenX peut montrer s'il reprend des connexions sortantes régulières ou un trafic inhabituel.

En général en quelques étapes prévisibles. Le fichier ou le lien malveillant leur ouvre un canal de contrôle à distance vers leur propre serveur, visible sous forme de connexions sortantes régulières. Ils explorent ensuite : quels serveurs, partages et comptes existent, souvent en scannant le réseau interne ou en interrogeant l'annuaire. Puis ils récupèrent d'autres identifiants, dans la mémoire du portable, dans les mots de passe enregistrés du navigateur ou sur d'autres systèmes, et s'en servent pour se connecter à d'autres machines avec des outils d'administration ordinaires comme le bureau à distance, PowerShell à distance ou les partages de fichiers. De là, ils visent le contrôleur de domaine, les sauvegardes et les stockages de données. Chaque étape laisse une trace réseau : nouvelles connexions entre machines internes qui se parlent rarement, scans, protocoles d'administration venant d'un portable ordinaire, données qui partent vers des endroits inhabituels. Ce sont ces traces que surveille la détection et réponse réseau (NDR), et c'est pourquoi un clic sur du phishing ne doit pas forcément finir en intrusion complète.

Oui. Un message signalé permet à l'informatique de supprimer le même e-mail de toutes les autres boîtes, de bloquer l'expéditeur et le lien, et de prévenir le collègue qui aurait cliqué demain. Le phishing arrive généralement chez beaucoup de personnes de la même entreprise en même temps : un signalement précoce peut en protéger des dizaines. Rendez le signalement simple : un bouton dans la messagerie ou une seule adresse de transfert, et un rapide merci à chaque fois, fausses alertes comprises. Ne sanctionnez jamais un signalement, même quand la personne avoue avoir cliqué : la peur d'être blâmé transforme une correction de cinq minutes en incident de trois semaines. Mesurez le succès au nombre de personnes qui signalent et à leur rapidité, pas seulement au faible nombre de clics. Les signalements montrent aussi quels leurres atteignent le personnel, ce qui aide à ajuster les filtres et la formation.

Elle réduit les dégâts mais n'empêche pas le phishing à elle seule, et ne doit pas être votre unique défense. Une bonne formation montre à quoi ressemblent les leurres actuels, fait du signalement un réflexe et dit clairement qu'une erreur signalée tôt est un bon résultat. Des sessions courtes et régulières fonctionnent mieux qu'un long cours annuel. Les simulations de phishing peuvent aider si elles servent à s'entraîner, pas à humilier : partagez les résultats sous forme de tendances par équipe, faites suivre un clic d'une leçon de deux minutes plutôt que d'un reproche, et prévenez le personnel que des simulations ont lieu. Certains cliqueront toujours, car un bon leurre est conçu pour ressembler au travail ordinaire. Associez donc la formation à des mesures qui ne dépendent pas d'un jugement parfait : filtrage des e-mails, authentification multifacteur résistante au phishing, vérification des paiements par téléphone et surveillance qui remarque qu'un appareil compromis se comporte autrement.

Le spear phishing, ou harponnage, est un phishing visant une personne ou un petit groupe, rédigé avec des détails qui le rendent crédible : nom, fonction, projets en cours, fournisseurs ou collègues. Les attaquants recueillent ces informations sur le site de l'entreprise, LinkedIn, les communiqués de presse, d'anciennes fuites de données ou une boîte mail qu'ils contrôlent déjà. Un message à un comptable peut citer un vrai fournisseur et un vrai numéro de facture ; un message à un administrateur informatique peut ressembler à une alerte d'un outil que l'entreprise utilise vraiment. Quand la cible est un dirigeant, on parle parfois de whaling. Comme ces messages sont sur mesure, les filtres en arrêtent moins et le personnel les repère plus difficilement. Les meilleures défenses sont des procédures : vérifier les demandes inhabituelles par un second canal, limiter ce que vous publiez sur les rôles internes et les processus de paiement, et équiper en priorité d'une MFA résistante au phishing les personnes qui ont accès à l'argent ou à des droits d'administration.

C'est du phishing par d'autres canaux. Le smishing utilise des SMS, souvent sur des colis, des banques, des remboursements d'impôts ou un compte bloqué, avec un lien vers une fausse page de connexion. Le vishing utilise des appels : quelqu'un se fait passer pour le support informatique, la banque, un fournisseur ou un responsable et convainc la personne de lire un code, d'installer un outil d'assistance à distance ou de valider un paiement. Le vishing est devenu une porte d'entrée courante, car un interlocuteur convaincant contourne des contrôles qui arrêtent les e-mails, par exemple en demandant au support de réinitialiser le mot de passe d'un salarié ou d'enregistrer un nouvel appareil MFA. Défenses utiles : une règle selon laquelle l'informatique ne demande jamais de mot de passe ni de code par téléphone, une procédure du support qui vérifie l'identité avant toute réinitialisation, et l'habitude de rappeler un numéro connu. Un capteur réseau n'entend pas les appels, mais il montre les nouveaux services extérieurs avec lesquels un appareil commence ensuite à communiquer.

Le phishing par QR code, parfois appelé quishing, cache le lien malveillant dans un QR code : dans une pièce jointe, sur un courrier imprimé, sur un horodateur ou sur une fausse affiche au bureau. Il fonctionne pour deux raisons. Les filtres de messagerie vérifient les liens mais lisent souvent mal un lien contenu dans une image, et les gens scannent le code avec leur téléphone, généralement hors de la protection de l'entreprise et qui n'affiche qu'un court aperçu de l'adresse. La page qui s'ouvre demande en général un identifiant Microsoft 365 ou un autre accès professionnel, ou des données de carte. Traitez un QR code qui vous demande de vous connecter comme n'importe quel lien : vérifiez l'adresse avant de saisir quoi que ce soit, et si un message vous presse de scanner un code pour garder votre compte actif ou lire un document, demandez d'abord à l'informatique. Pour l'entreprise, une MFA résistante au phishing limite les dégâts quand un mot de passe est saisi sur un téléphone.

La compromission d'e-mail professionnel, ou BEC, est une fraude dans laquelle des criminels utilisent l'e-mail pour pousser une entreprise à les payer ou à livrer des données sensibles. Soit ils s'introduisent dans une vraie boîte, souvent après un identifiant volé par phishing, soit ils l'imitent avec une adresse ressemblante. Variantes typiques : le faux dirigeant qui exige un virement urgent et confidentiel, le fournisseur dont les coordonnées bancaires changent soudain, la demande de verser le salaire d'un employé sur un nouveau compte, et l'avocat chargé d'une opération secrète. La BEC n'utilise souvent ni logiciel malveillant ni lien, seulement un message convaincant au bon moment, d'où le nombre de cas qui échappent aux filtres techniques. C'est l'une des formes de cybercriminalité les plus coûteuses : l'Internet Crime Complaint Center du FBI a recensé environ 2,8 milliards de dollars de pertes liées à la BEC pour 2024. La meilleure défense est un processus de paiement qui exige une vérification par téléphone, à un numéro connu, avant tout changement de coordonnées bancaires ou virement inhabituel.

Pour l'essentiel non, et mieux vaut le savoir d'emblée. Dans la fraude au président, un e-mail, un appel ou un message de chat qui semble venir d'un dirigeant pousse un salarié à effectuer un paiement. Les messages transitent par le cloud de votre fournisseur de messagerie et le paiement par la banque en ligne, deux flux qui paraissent parfaitement normaux sur le réseau. Un outil de détection réseau comme NetSenX ne lit pas le contenu des e-mails et ne peut pas distinguer un vrai ordre de paiement d'un faux. Ce qui arrête la fraude au président, ce sont les procédures : aucun paiement sur la seule foi d'un message, un rappel à un numéro issu de vos propres dossiers, une double validation des virements au-delà d'un montant fixé, et l'autorisation explicite pour le personnel de différer toute demande présentée comme urgente et confidentielle. La surveillance réseau aide dans un cas : quand la fraude commence par une boîte mail piratée et que l'attaquant atteint aussi les systèmes de l'entreprise.

Oui, et c'est l'une des formes les plus efficaces, car tous les contrôles techniques passent : l'adresse est réelle, la signature est réelle, et le message peut même répondre dans une conversation existante. Cela arrive quand la boîte du collègue a été piratée, souvent après un identifiant volé par phishing, et que l'attaquant s'en sert pour envoyer de nouveaux leurres à tout son carnet d'adresses, en interne comme aux clients et fournisseurs. Les signaux d'alerte sont dans le contenu, pas dans l'expéditeur : une demande inhabituelle, un document partagé inattendu, un ton qui ne colle pas, ou un message envoyé à une heure étrange. En cas de doute, ne répondez pas à l'e-mail : contactez le collègue autrement et prévenez l'informatique. Celle-ci doit alors traiter le compte de l'expéditeur comme compromis : le réinitialiser, révoquer ses sessions, vérifier ses règles de boîte et savoir qui d'autre en a reçu des messages.

Vérifiez par un canal autre que celui de la demande. Appelez le fournisseur à un numéro que vous avez déjà dans vos dossiers, tiré du contrat ou d'une facture antérieure, jamais celui indiqué dans le nouveau message, et confirmez le changement avec une personne que vous connaissez là-bas. Beaucoup d'entreprises exigent aussi une seconde validation en comptabilité avant de modifier les données du fournisseur, et signalent le premier paiement vers le nouveau compte pour un contrôle supplémentaire. Soyez particulièrement prudent quand la demande s'accompagne d'urgence, d'un nouvel interlocuteur, d'une banque dans un autre pays ou d'une explication du type audit ou changement de banque. Cette fraude fonctionne même quand l'e-mail vient réellement de l'adresse du fournisseur, car sa boîte peut avoir été piratée. La surveillance réseau ne peut pas juger une telle demande ; c'est le rappel téléphonique qui le fait.

Appelez immédiatement votre banque et demandez le rappel du virement ; demandez-lui de contacter la banque destinataire pour qu'elle gèle les fonds. La rapidité décide de l'issue : l'argent qui n'a pas encore été transféré ailleurs peut parfois être bloqué dans les premières heures ou les premiers jours, beaucoup plus rarement ensuite. Portez ensuite plainte auprès de la police, conservez chaque e-mail avec ses en-têtes complets et informez votre assureur cyber si vous en avez un, car beaucoup de contrats ne couvrent ce type de fraude que sous des conditions et des délais précis. Déterminez comment le fraudeur connaissait les détails : un domaine ressemblant, votre propre boîte ou celle du fournisseur ? Si l'un de vos comptes a servi, traitez-le comme un incident : le réinitialiser, révoquer ses sessions, vérifier ses règles de boîte et qui d'autre a été contacté. Enfin, prévenez le vrai fournisseur, qui est peut-être la partie compromise, et renforcez la règle de rappel pour tout changement de coordonnées bancaires.

Partez du principe que tout message récent de ce fournisseur peut être faux tant qu'il n'est pas confirmé. Suspendez brièvement les paiements vers lui et confirmez ses coordonnées bancaires par téléphone, à un numéro que vous avez déjà. Prévenez la comptabilité et toutes les personnes en contact avec lui, et demandez à l'informatique de chercher dans vos boîtes les messages de cette adresse sur la période concernée, surtout ceux qui contiennent des liens, des pièces jointes ou des instructions de paiement, puis de les supprimer ou de les mettre en quarantaine. Si quelqu'un a cliqué sur un lien ou saisi un mot de passe, appliquez vos étapes de réponse au phishing. Demandez au fournisseur quand la compromission a commencé et ce qu'il sait, et gardez une trace écrite : la sécurité de la chaîne d'approvisionnement fait partie des mesures de gestion des risques que NIS2 attend des entreprises concernées. Vérifiez si quelqu'un chez vous a répondu en envoyant des données sensibles. Côté réseau, regardez si les appareils des personnes qui ont ouvert ces messages montrent de nouvelles connexions sortantes ou une activité inhabituelle.

Parce que la fraude à la facture se joue dans des échanges et des décisions, pas dans le trafic réseau. La fausse facture arrive comme un e-mail ordinaire dans une boîte cloud ; la personne qui la paie utilise la banque en ligne comme tous les jours ; et aucun logiciel malveillant n'a besoin de s'exécuter. Du point de vue du réseau, tout est normal. Un outil de détection et réponse réseau (NDR) observe le comportement des appareils : quelles machines parlent à quelles autres, les contacts réguliers avec des serveurs extérieurs, le scan interne, les volumes de données inhabituels. Il ne lit pas le texte des e-mails et ne peut pas savoir qu'un numéro de compte est faux. Ce n'est pas une faiblesse à cacher mais une limite à prévoir. La fraude à la facture est arrêtée par les contrôles de paiement, l'authentification des e-mails de votre domaine et des personnes autorisées à s'arrêter pour rappeler. Le NDR devient utile seulement quand la fraude commence par une intrusion, par exemple une boîte piratée qui sert à pénétrer d'autres systèmes.

Commencez par comprendre comment il procède, car la réponse diffère. Si les messages portent votre propre domaine sans passer par vos serveurs de messagerie, il vous faut l'authentification des e-mails : SPF, DKIM et une politique DMARC stricte, pour que les serveurs destinataires rejettent les faux. S'ils viennent d'un domaine ressemblant, avec une lettre changée par exemple, vous pouvez déposer une plainte pour abus auprès du bureau d'enregistrement et de l'hébergeur, et envisager d'enregistrer vous-même les variantes les plus évidentes. S'ils viennent de votre vraie boîte, celle-ci est compromise et vous avez un incident à traiter : la réinitialiser, révoquer ses sessions, vérifier ses règles. Dans tous les cas, prévenez vos clients par un canal qu'ils connaissent, en leur disant que vos coordonnées bancaires ne changent jamais par e-mail et comment vérifier ; portez plainte ; conservez les exemplaires avec leurs en-têtes complets. Les services comptables de vos clients apprécieront un avertissement clair.

Publiez trois enregistrements DNS qui permettent aux serveurs destinataires de vérifier vos e-mails. SPF liste les serveurs autorisés à envoyer pour votre domaine. DKIM ajoute une signature cryptographique à chaque message sortant. DMARC indique aux destinataires quoi faire d'un message qui échoue à ces contrôles et vous envoie des rapports sur qui envoie en votre nom. Commencez DMARC avec la politique none, qui se contente de rapporter, et lisez les rapports pendant quelques semaines pour repérer chaque expéditeur légitime : fournisseur de messagerie, outil de newsletter, logiciel de facturation et CRM. Ajoutez-les à SPF et DKIM, puis passez à quarantine et enfin à reject. Depuis 2024, Google et Yahoo exigent DMARC des expéditeurs de masse, ce qui protège aussi la délivrabilité de vos e-mails. Cela arrête les falsifications exactes de votre domaine, pas les domaines ressemblants, qui demandent une surveillance et des demandes de retrait.

DMARC, pour Domain-based Message Authentication, Reporting and Conformance, est une règle publiée qui indique aux autres serveurs de messagerie comment traiter les messages se réclamant de votre domaine. Elle s'appuie sur deux contrôles plus anciens : SPF, qui dit quels serveurs peuvent envoyer pour le domaine, et DKIM, qui signe les messages. Un message passe DMARC quand au moins l'un de ces contrôles réussit et correspond au domaine de la ligne De, celui que le lecteur voit réellement. La politique peut être none (simple rapport), quarantine (échecs envoyés en spam) ou reject (refus). DMARC vous envoie aussi des rapports agrégés listant chaque source qui a envoyé en votre nom, et c'est souvent la première fois qu'une entreprise voit tous ses expéditeurs oubliés. Seul, il n'arrête pas le phishing en général, car les attaquants utilisent simplement un autre domaine ressemblant. Mais il ferme la porte la plus facile : l'usurpation exacte de votre propre adresse.

La fatigue MFA, aussi appelée push bombing, est une attaque contre les comptes qui utilisent des notifications push pour l'authentification multifacteur. L'attaquant a déjà le mot de passe, souvent grâce au phishing ou à une fuite, et déclenche des tentatives de connexion à répétition, si bien que le téléphone de l'utilisateur demande sans cesse une validation, parfois en pleine nuit. La personne finit par valider pour que cela s'arrête, ou un interlocuteur se présentant comme l'informatique l'en convainc. Défenses : passer les validations push à la correspondance de nombres, où l'utilisateur doit saisir un nombre affiché à l'écran de connexion, ce que Microsoft Authenticator applique désormais par défaut ; limiter le nombre de demandes par période ; permettre de signaler une demande inattendue d'un geste ; et faire passer les comptes à risque à des méthodes résistantes au phishing comme les clés de sécurité ou les passkeys. Dites clairement au personnel qu'une demande MFA qu'il n'a pas déclenchée signifie que quelqu'un a son mot de passe, et qu'il doit la refuser et appeler l'informatique.

Oui, certains types de MFA peuvent être contournés, d'où l'importance du type choisi. Dans une attaque de l'homme du milieu, la page de phishing s'interpose entre vous et la vraie page de connexion : elle transmet en temps réel votre mot de passe et votre code à usage unique ou votre validation push au vrai service, puis garde le cookie de session que le service renvoie. Avec ce cookie, l'attaquant est connecté sans avoir besoin à nouveau du mot de passe ni de la MFA. Les codes SMS, les codes d'application d'authentification et les simples validations push y sont tous exposés. La MFA résistante au phishing, c'est-à-dire les clés de sécurité FIDO2 et les passkeys, ne l'est pas, car la clé vérifie l'adresse du site et refuse de répondre à un faux. Une MFA, quelle qu'elle soit, reste bien meilleure que rien. Étapes pratiques : équiper d'abord les administrateurs et la comptabilité de passkeys ou de clés de sécurité, activer des règles de connexion qui signalent les appareils et lieux inhabituels, et révoquer les sessions, pas seulement les mots de passe, après tout incident de phishing.

Pas toujours. Les attaquants qui prennent le contrôle d'une boîte mettent souvent en place des moyens de rester qui survivent à un nouveau mot de passe. Vérifiez et supprimez tout ceci : les sessions actives et jetons d'actualisation, qu'il faut révoquer explicitement ; les méthodes MFA enregistrées par l'attaquant, comme un nouveau numéro ou une application d'authentification ; les règles de boîte qui transfèrent les e-mails vers une adresse externe, déplacent les messages sur les factures ou la sécurité vers un dossier discret, ou suppriment les réponses ; le transfert automatique réglé dans les paramètres ; les mots de passe d'application et applications tierces connectées ayant accès au courrier ; et les accès délégués à un autre compte. Regardez ensuite ce qui a été fait pendant ce temps : messages envoyés, fichiers partagés, contacts exportés. Dans Microsoft 365 et Google Workspace, le journal d'audit montre ces changements horodatés. Notez ce que vous trouvez, car cela détermine qui doit être prévenu et si l'incident doit être notifié.

Les criminels utilisent désormais des voix, et parfois des vidéos, générées par IA pour se faire passer pour un dirigeant lors d'un appel téléphonique ou vidéo et réclamer un paiement urgent ou des données confidentielles. Quelques minutes d'audio public, tirées d'une conférence ou d'un podcast, peuvent suffire à cloner une voix. Dans une affaire très médiatisée à Hong Kong en 2024, un employé a viré environ 25 millions de dollars après un appel vidéo dont tous les autres participants étaient des deepfakes. Vous ne pouvez pas compter sur le repérage du faux, car la qualité ne cesse de progresser. Protégez plutôt le processus : aucun paiement ni transmission de données sur la seule foi d'un appel, un rappel à un numéro issu de vos propres dossiers, une seconde validation pour les virements au-delà d'un montant fixé, et éventuellement une question de vérification convenue pour les demandes des dirigeants. Dites explicitement au personnel qu'il peut raccrocher et rappeler, même si l'interlocuteur a exactement la voix du patron. La surveillance réseau ne joue aucun rôle ici.

C'est une ruse qui amène la victime à exécuter elle-même la commande de l'attaquant. Un site piraté ou faux affiche ce qui ressemble à un CAPTCHA ou à un message d'erreur, avec des instructions pour prouver que vous êtes humain ou résoudre le problème : appuyer sur une combinaison de touches qui ouvre une fenêtre de commande ou d'exécution, coller, puis appuyer sur Entrée. La page a déjà copié une commande malveillante dans le presse-papiers : la personne lance en fait un script qui télécharge un logiciel malveillant, souvent un voleur d'informations ou un outil d'accès à distance. Comme c'est l'utilisateur qui l'exécute, beaucoup de protections du navigateur et de la messagerie ne voient jamais de fichier à bloquer. Des chercheurs en sécurité, dont Microsoft, signalent une forte hausse de cette technique depuis 2024. Défenses : dire au personnel qu'aucun vrai site ne demande jamais de coller des commandes, limiter qui peut exécuter des scripts sur les postes ordinaires, et tenir la protection des postes à jour. Si cela arrive, traitez l'appareil comme compromis ; sur le réseau, surveillez ses nouvelles connexions sortantes régulières.

Oui, même si les types dangereux ont changé. Depuis 2022, Microsoft Office bloque par défaut les macros dans les fichiers téléchargés depuis internet, ce qui a fermé pour la plupart des entreprises la vieille voie du document Word infecté. Les attaquants sont passés à d'autres formats : archives compressées avec un mot de passe donné dans le texte du message, fichiers d'image disque, fichiers de raccourci, pièces jointes HTML qui construisent une fausse page de connexion ou téléchargent un fichier à l'ouverture, et PDF ne contenant qu'un lien ou un QR code. Règle simple pour le personnel : une pièce jointe inattendue qui demande d'activer le contenu, de saisir un mot de passe, de scanner un code ou d'ouvrir un autre fichier est une raison de s'arrêter et de demander. Pour l'informatique : bloquer les types de pièces jointes peu courants à la passerelle de messagerie, maintenir le blocage des macros et s'assurer que la protection des postes inspecte les fichiers ouverts depuis des archives. Si quelqu'un a ouvert quelque chose de suspect, suivez les mêmes étapes qu'après un clic sur du phishing.

NetSenX voit ce que l'appareil fait ensuite sur le réseau, pas l'e-mail ni le clic lui-même. Il ne lit pas le contenu des messages et ne déchiffre pas le trafic. Ce qu'il peut montrer, dans toutes les offres : un appareil qui commence des connexions régulières et cadencées vers un serveur extérieur qu'il n'avait jamais utilisé (beaconing) ; un appareil qui se met à scanner d'autres machines ; des connexions entre hôtes internes qui signalent un mouvement latéral ; et des volumes inhabituels de données quittant le réseau. Là où l'agent capture les paquets, sous Linux ou via un port miroir (SPAN), les offres à partir de Starter affichent aussi les empreintes TLS, qui aident à repérer des outils ne correspondant pas aux logiciels habituels de l'appareil. Les alertes indiquent la technique MITRE ATT&CK et, à partir de Starter, s'accompagnent de recommandations de réponse. Si le phishing vole seulement un identifiant cloud utilisé ensuite depuis l'ordinateur de l'attaquant, aucun de ces échanges ne touche votre réseau : ce sont les journaux de connexion de votre fournisseur d'identité qu'il faut consulter.