Le smishing, une combinaison des mots « SMS » et « phishing », est un type de cyberattaque qui utilise la messagerie texte pour tromper les individus. Les attaquants par smishing incitent leurs cibles à partager des données sensibles, comme des informations d'identification ou des informations financières, ou à cliquer sur des liens malveillants. L'attaquant exploite ensuite ces actions pour obtenir un accès non autorisé aux réseaux, injecter des logiciels malveillants ou des ransomwares, ou d'autres types d'activités malveillantes.
Le smishing est un type de phishing. Dans la plupart des cas, les attaques de phishing avoir lieu par courrier électronique. Cependant, le smishing profite de l'utilisation populaire des téléphones mobiles et de leurs applications de messagerie et effectue du phishing via des messages mobiles. Les messages texte ont également généralement un taux d’ouverture élevé, ce qui profite également aux attaquants par smishing. Enfin, les utilisateurs perçoivent à tort leurs téléphones mobiles comme sécurisés, ce qui les rend moins méfiants à l'égard des messages texte qui les incitent à effectuer diverses actions, ce qui augmente les chances de réussite d'une attaque.
Comment fonctionnent les attaques par smishing ?
Les attaques par smishing exploitent la confiance et les vulnérabilités des individus pour les tromper via leurs téléphones mobiles. Voici comment fonctionnent les attaques par smishing :
- Premier contact – L’attaquant lance l’attaque par SMS. Cela se fait en envoyant un message texte à l'appareil mobile de la cible. Le message semble souvent provenir d’une source fiable, telle qu’une organisation réputée ou un contact connu.
- Contenu trompeur – Le message de smishing contient un contenu frauduleux conçu pour attirer l'attention du destinataire et obtenir une réponse. Cela peut inclure des alertes urgentes, des notifications de sécurité, des demandes sincères, des offres de cadeaux, des réductions, des gains de loterie, etc.
- Urgence et manipulation – L'attaquant crée un sentiment d'urgence ou exploite les émotions de la cible pour provoquer une action immédiate. Ils pourraient prétendre que le fait de ne pas agir rapidement entraînera des conséquences négatives. Par exemple, en cas de suspension de compte, de problèmes juridiques, de pertes financières ou d'un risque pour la santé.
- Demande d’informations ou d’actions sensibles – Le message de smishing demandera au destinataire de fournir des informations sensibles. Par exemple, des mots de passe, des détails de carte de crédit ou des numéros de sécurité sociale. Ou bien, il peut demander à la cible de cliquer sur un lien malveillant ou de télécharger une pièce jointe nuisible.
- Exploitation et fraude – Dans le cas où le destinataire effectue l'action demandée, l'attaquant accède à des informations sensibles ou installe un logiciel malveillant sur l'appareil de la victime. Cela peut conduire à un vol d'identité, une fraude financière, un accès non autorisé, ou une exploitation ultérieure des contacts de la victime.
Exemples d'attaques par smishing
Les escroqueries par smishing peuvent être menées sous différents faux prétextes. Ceux-ci inclus:
- Arnaque à un prix ou à une loterie – Messages affirmant que la cible a gagné un prix ou une loterie et que des informations personnelles ou des paiements sont requis pour réclamer les gains.
- Faux alertes de sécurité – Des messages faisant état d'activités suspectes ont été récupérés sur le compte du destinataire, l'invitant à prendre des mesures immédiates en cliquant sur un lien ou en fournissant des informations de connexion. Ceux-ci peuvent inclure des comptes financiers, des comptes d'application, etc.
- Codes MFA – Messages demandant à la cible de partager son code de vérification MFA, puis de se connecter en tant qu'utilisateur.
- Informations sur la commande – Messages contenant de fausses informations sur les commandes, telles que des conformations, affirmant que la commande a été annulée, etc. Lorsque le destinataire clique sur le lien, celui-ci le dirige vers un faux site qui vole les identifiants de connexion.
Comment vous identifier et vous protéger contre les attaques par smishing
La vigilance et la sensibilisation sont essentielles pour se protéger des attaques par smishing. Voici quelques pratiques à exercer :
1. Restez informé et formez-vous
Restez informé des dernières techniques de smishing et des tactiques courantes utilisées par les attaquants. Familiarisez-vous avec les signaux d'alarme, tels que les demandes urgentes, les messages non sollicités ou les messages provenant de numéros inconnus.
2. Vérifiez l'expéditeur
Méfiez-vous des messages texte reçus de numéros ou de personnes inconnus ou inconnus. Même si tous les expéditeurs inconnus ne sont pas révélateurs d'un smishing, il est conseillé de faire preuve de prudence et de vérifier l'identité de l'expéditeur de manière indépendante. Contactez l'organisation directement via son site officiel ou un numéro de téléphone vérifié pour confirmer la légitimité du message.
3. Recherchez les erreurs d’orthographe et de grammaire
Les messages de smishing contiennent souvent des fautes d’orthographe, des erreurs grammaticales ou une formulation maladroite. Les organisations de confiance, comme les banques, disposent généralement de normes de communication. Un langage suspect dans un message texte peut être un signal d’alarme.
4. Méfiez-vous des messages urgents et non sollicités
Soyez sceptique à l’égard des messages qui exigent des réponses immédiates ou menacent de conséquences négatives en cas de non-conformité. La plupart des organisations légitimes ne demandent pas d'informations de cette manière.
5. Faites preuve de prudence avec les hyperliens et les demandes d’informations personnelles
Évitez de cliquer sur les liens fournis dans les messages texte, surtout s'ils semblent suspects ou mènent à des sites Web inconnus. De plus, méfiez-vous des messages demandant des mots de passe, des numéros de sécurité sociale, des détails de carte de crédit ou toute autre information personnelle.
6. Installez le logiciel de sécurité
Installez un logiciel de sécurité sur votre appareil mobile pour détecter et bloquer les tentatives de smishing. Ces applications peuvent identifier et vous avertir des messages ou liens potentiellement dangereux.
Évitez les attaques de phishing avec LayerX
LayerX est une solution de sécurité du navigateur, fourni sous forme d'extension spécialement conçue pour protéger les applications, les données et les appareils contre toutes les menaces et risques véhiculés par le Web. LayerX offre une visibilité granulaire sur l'activité Web et l'utilisation du SaaS des employés, sur les applications sanctionnées et non sanctionnées. Tout en garantissant une expérience utilisateur exceptionnelle et sans interférer dans le flux de travail quotidien de l'utilisateur.
Pour bloquer et prévenir le phishing, LayerX surveille les sessions du navigateur au niveau de la couche application et offre une visibilité sur les événements de navigation. Cela permet une analyse de session et l’application d’actions de protection qui neutralisent les aspects malveillants des pages Web. L'activité malveillante du site Web est bloquée avant qu'elle n'interagisse avec le navigateur. De plus, LayerX analyse le comportement des pages consultées par courrier électronique et permet de bloquer les activités malveillantes comme le phishing.