Phishing Facebook et Cie, explications et contre-mesures

Le mot phishing vient du mot « fishing » signifiant « pêche » en anglais, notamment pour parler de « pêche aux mots de passe ».
Crédits photo : betacontinua

Qu’est-ce que le phishing ou hameçonnage ?

Il s’agit d’une méthode permettant de récupérer des données d’une victime en lui faisant croire qu’elle utilise un site, une application ou un service qu’elle connaît. Dans la majeure partie des cas ces données sont privées et sensibles. Il s’agit d’une technique d’ingénierie sociale exploitant la faille humaine lors d’une attaque.

Évolution des sites de phishing suivant les pays, ici en 2006 :

Et là en 2012 :

Comment ça fonctionne ?

Le support qu’une victime connaît et utilise habituellement est copié à l’identique. Cette copie est uniquement visuelle car elle ne réagit pas de la même manière que le site ou service officiel lorsque la victime entreprend des actions. La victime n’aura bien souvent pas la moindre idée de ce qu’il se passe réellement car l’interface gardera toujours un aspect le plus réaliste possible, les messages d’erreur comme404 NOT FOUND en fond partie, ainsi que les redirections vers les vrais sites.

Comment détecter les tentatives de hameçonnage et s’en prémunir ?

Voici une liste récapitulative :

• Connaître les réelles habitudes des entreprises : Certaines grandes entreprises indiquent clairement ne jamais faire des demandes comme la mise à jour d’informations de sécurité par e-mail.

• Toujours vérifier l’URL du site web en question avant de communiquer des informations sensibles : Le nom du site web que l’internaute est supposé visiter peut être légèrement différent, l’extension peut changer, une lettre peut être ajoutée dans le nom etc.

• Vérifier la présence de fautes d’orthographe : Bien souvent la détection de fautes d’orthographe répétées suffit à déceler une tentative de hameçonnage.

• Vérifier la source : Si un e-mail est reçu demandant d’accéder au site pour exécuter telle action, vérifier que l’expéditeur soit connu. Attention aux adresses mail falsifiées.

• Vérifier sur les moteurs de recherche : Des sites regroupent diverses informations essentielles à connaître sur le phishing mais aussi des bases de données des sites illégaux. Vous pouvez par exemple essayer l’extension WOT(Web Of Trust) ici : http://www.mywot.com/ ou encore sur le fameuxhttp://www.phishtank.com/ (copiez-collez l’url et cliquez sur « Is it a phish ? »)

faccbook ou facebook ?

Le phishing Facebook étant par ailleurs très à la mode en ce moment, sachez que Facebook a rédigé une page spécialement à ce propos :https://www.facebook.com/help/217910864998172

Que faire si je pense être victime d’un phishing ?

Il faut changer le plus vite possible les données transmises : Certaines attaques sont massives, vous avez donc éventuellement un court délai pour changer vos données transmises, notamment les mots de passe.
Retenir le nom du site et les actions effectuées : Cela permettra aux personnes compétentes de retracer l’attaquant et d’analyser le comportement du site malveillant.
A retenir :
Même les programmes comme votre logiciel de messagerie peuvent être copiés. Les informations transmises peuvent aussi bien être récupérées.
Le phishing concerne tous les supports électroniques y compris les mobiles et lestablettes.

Mise en pratique d’une tentative de phishing

Nous allons simuler une attaque par phishing en nous plaçant simultanément du côté de l’attaquant et de la cible.

1. L’attaquant prépare un faux site

L’attaquant copie le site de messagerie qu’une cible a l’habitude d’utiliser. Il récupère ainsi le code source du site qui s’affiche et le copie dans un autre fichier. Il change ensuite certaines fonctionnalités du site copié si il n’en a pas besoin ou si elles ne fonctionneront plus et s’assure que la mise en page du site reste identique au site original. Il ajoute un bout de code en php lui permettant simplement d’enregistrer le nom d’utilisateur fourni ainsi que le mot de passe lorsque la cible voudra seconnecter à son faux site. Il met ensuite ces fichiers sur son serveur et créer un nom de domaine semblable. Lorsque la victime cliquera sur le bouton de connexion elle sera amenée sur une page fictive suivie d’un message d’erreur du type « Erreur interne au serveur » qui redirigera la victime sur le vrai site pour qu’elle essaie de se reconnecter, et ça fonctionnera. 

2. L’envoi d’un e-mail

L’attaquant envoie ensuite un e-mail incitant sa cible à mettre ses informations à jour en se connectant à son site habituel. Il met par contre le lien du site falsifié et attend.

3. Cas de la victime

La victime quant à elle reçoit l’e-mail de l’attaquant, ne fait pas attention à l’expéditeur, ouvre l’e-mail et clique sur le lien sans regarder davantage le mail, ni même l’URL du site.

4. L’attaque passe inaperçue

La victime s’est connectée deux fois, une fois sur le site malveillant, les données sensibles ont été récupérées par l’attaquant, et une deuxième fois sur son site habituel en croyant que cette fois ses informations sont à jour, et continue ses habitudes d’internaute sans se douter de rien.
Des mois peuvent passer sans que la victime ne se doute de rien, l’attaquant se connecte régulièrement au site de messagerie avec les identifiants de la victime, il ne les change pas pour rester discret.
A retenir :
L’ignorance est le problème numéro 1. On a vu que la victime clique et suit les instructions avec un certain relâchement et ne pense pas à changerrégulièrement ses informations sensibles.
De plus les tentatives de phishing se rendent de plus en plus difficiles à repérer, de nouvelles techniques voient le jour avec l’évolution des supports numériques.