Campagne de phishing
Le phishing est très plébiscité des attaquants afin d’obtenir un premier accès dans le réseau d’une entreprise dans le but de voler des informations confidentielles et de se propager par la suite. Bien que tout le monde soit concerné par ce type d’attaque, en pratique peu d’utilisateurs sont correctement sensibilisés aux pièges à éviter et aux bonnes pratiques à respecter.
Afin de répondre à cette menace nous proposons quatre types de campagne de phishing :
- Phishing mail
- Phishing USB ciblé
- Phishing USB anonyme
- Phishing WI-FI
La liste des collaborateurs ciblés par la campagne est établie par le commanditaire. Après avoir déterminé le contexte de la campagne en collaboration avec le commanditaire nos équipes se chargent de la réalisation technique de la campagne : réservation des noms de domaines, installation des serveurs de collecte, ingénierie des différents documents nécessaires, création des scénarii et des sites factices.
Pour chaque type de campagne nous collectons silencieusement des statistiques sur les actions effectuées par les personnes ciblées, en voici quelques exemples :
- Lecture du mail
- Branchement de clé USB
- Connexion à la borne factice
- Ouverture de document Office
- Exécution de macros
- Ouverture de document PDF
- Exécution de logiciel
- Envoi de mot de passe
La liste exacte des statistiques collectées dépend du type de campagne et de la configuration des postes clients des collaborateurs ciblés. Pour plus d'informations contactez-nous.
Phishing mail
Un e-mail personnalisé est envoyé à l'ensemble des collaborateurs désignés par le commanditaire. Cet e-mail reprend les éléments visuels caractérisant l'organisation ciblée et incite l'utilisateur à ouvrir la pièce jointe (document Office avec ou sans macro, documents PDF) et à cliquer sur un lien externe. Ce lien redirige vers un nom de domaine réservé pour la campagne qui héberge un site factice.
Exemple de campagne : un e-mail invitant à participer à un tirage au sort, à répondre à un sondage ou encore simulant l'envoi par erreur d'un document confidentiel (fiche de paie d'un membre VIP, document financier, etc).
Phishing USB ciblé
Une clé USB personnalisée est envoyée par voie postale à l'ensemble des collaborateurs désignés par le commanditaire. Cette clé USB est accompagnée d'une lettre explicative réutilisant les éléments visuels de l'organisation ciblée. Plusieurs documents sont présents sur la clé USB afin d'inciter l'utilisateur à envoyer son mot de passe via le logiciel prévu à cet effet.
Exemple de campagne : mise à disposition d'une clé USB sécurisée (l'utilisateur est invité à saisir son mot de passe afin de chiffrer sa nouvelle clé USB corporate).
Phishing USB anonyme
Des clés USB sont déposées dans différents locaux de l'organisation ciblée : open space, salle de réunion, cafétéria, parking. Différents documents présents sur ces clés USB incitent l'utilisateur à les ouvrir afin de retrouver le propriétaire de la clé USB : CV, photo de vacances, documents confidentiels, etc. Ce type de campagne est souvent accompagnée d'un campagne de phishing USB ciblé.
Exemple de campagne : dépôt de clés USB dans le parking contenant des informations du Comité d'Entreprise.
Phishing WI-FI
Après une phase d'étude des WI-FI existants nos équipes installent, en collaboration avec le commanditiaire, des bornes WI-FI dans les locaux autour de l'organisation ciblée. Celles-ci visent à imiter les point d'accès WI-FI légitimes en reprenant le même SSID ou en utilisant un SSID classique (par exemple WIFI-INVITE). Ces équipements WI-FI sont déployés en prenant soin de ne pas perturber le réseau existant et en s'assurant que cela soit transparent pour les collaobrateurs. A la fin de la campagne, des statistiques sont collectées sur le nombre de connexions enregistrées et lorsque c'est possible sur le nombre d'utilisateurs qui se sont connectés à l'aide de leur mot de passe (WI-FI EAP ou portail d'authentification).