X
ASP SERVEUR : la techno passionnément

News Partenaire

ASP SERVEUR : la techno passionnément

Créé il y a une vingtaine d’années, l’hébergeur ASP Serveur fait aujourd’hui partie du groupe Econocom. Sébastien Enderlé, son fondateur, est toujours à la tête de l’entreprise dont il vante le haut niveau technologique et les certifications obtenues.

Phishing dans le cloud : anatomie d’une attaque moderne

TRIBUNE Suite à l’attaque par phishing dont a été victime Google avant l’été, Anurag Kahol, co-fondateur et CTO de Bitglass, analyse en quoi elle préfigure un nouveau type d'attaque par hameçonnage qui va viser le Cloud.

Les moyens par lesquels les pirates ont accès aux informations des utilisateurs ont rapidement évolué au-delà des courriels traditionnels de phishing (également appelé hameçonnage). Le phishing a toujours eu pour but d'inciter les utilisateurs à prendre une action ou à partager une information sensible à leur insu en se faisant passer pour un mail inoffensif, mais heureusement la sensibilisation des destinataires s’est nettement améliorée. Cependant, les techniques de phishing traditionnelles sont en train d’évoluer vers des formes de vecteurs d’attaque plus sophistiquées en se faisant passer pour de fausses applications cloud. Ces attaques de phishing dans le cloud sont beaucoup plus difficiles à détecter et les entreprises doivent sérieusement réviser leurs mesures de sécurité pour être en mesure de les parer.

Le phishing a évolué d'une menace triviale à un danger réel

Des années durant, le phishing traditionnel était assez simple, pour ne pas dire primitif dans son exécution et reposait principalement sur l’inexpérience et le manque de connaissance de l'utilisateur. C’est notamment ce qui caractérisait les attaques de type ingénierie sociale qui passait par des appels téléphoniques et des mails factices où les attaquants se faisaient passer pour des agents gouvernementaux ou des dirigeants d’entreprise. Des situations au cours desquelles les nombreuses personnes ciblées par ces attaques fournissaient facilement des informations personnelles pour éviter la menace de poursuites judiciaires, de pénalités ou d’interruption de service.

Il existe deux raisons principales pour lesquelles les attaques traditionnelles sont devenues moins efficaces : les progrès dans la détection d’une part, et la sensibilisation des utilisateurs d’autre part. Sur le front de la détection des attaques, les principaux fournisseurs de messagerie sont devenus beaucoup plus efficaces pour alerter les utilisateurs lorsqu'un message est jugé suspect ou que le domaine source n'est pas celui qu'il paraît être. Du côté des utilisateurs, les gens sont beaucoup plus conscients des détails qui permettent d’identifier une attaque de phishing traditionnelle, comme la présence de fautes d’orthographe ou de grammaire et des adresses mail étranges ou inhabituelles. 

Les e-mails de réinitialisation de mot de passe non sollicités, lorsqu'ils sont effectifs, ne conduisent plus au même volume que par le passé et sont souvent détectés par les filtres anti-spam. Cela a poussé les attaquants à réfléchir autrement et à proposer des techniques de phishing beaucoup plus sophistiquées. Parallèlement à cette tendance, l'objectif final des attaques de phishing a également évolué. Au lieu de tenter d'obtenir des informations financières ou personnelles de la part d’une personne, les nouvelles méthodes d’attaque se concentrent davantage sur l'incitation des utilisateurs à divulguer des informations d'identification valides ou à accorder l'accès à leurs comptes.

Anatomie d'une attaque phishing moderne

L’attaque de phishing dont a été victime Gmail plus tôt cette année n'est qu'un exemple d'une attaque de phishing moderne qui a touché les utilisateurs à grande échelle. Dans ce cas précis, les utilisateurs ont reçu un courrier électronique qui leur semblait légitime et qui les renvoyait sur une véritable page Google. Alors que la plupart des escroqueries de phishing reposent sur l'envoi d'utilisateurs à partir d’un domaine malveillant, cette attaque particulière a simplement endormi la méfiance des destinataires en leur demandant d'accorder une autorisation d'accès via Google à une application malveillante. Les pirates peuvent alors utiliser cette autorisation pour voir les contacts des victimes, lire leurs courriels, connaître les emplacements des utilisateurs et consulter les fichiers créés dans Google Suite.
L'attaque a détourné le protocole OAuth, que Google avait pourtant mis en place pour renforcer l'authentification. Contrairement aux attaques traditionnelles, où l'utilisateur est envoyé à un site Web malicieux sur lequel il lui est demandé de saisir ses informations de connexion, les pirates informatiques savaient qu'avec OAuth, les utilisateurs leur accorderaient l'accès à leurs informations personnelles sans même avoir besoin de saisir leurs identifiants. L'existence de tels protocoles permet aux utilisateurs de faciliter l’intégration à des applications tierces mais le revers de la médaille est que cela permet aussi aux pirates informatiques d’emprunter le même chemin pour s’approprier les droits sur les comptes des utilisateurs sans recourir aux méthodes traditionnelles qui ont perdu en efficacité. 
La célèbre attaque de phishing qui a touché Gmail nous montre à quel point ces nouvelles techniques se sont développées. Elle a démontré à quel point elle était difficile à détecter pour un utilisateur et à éviter pour Google. Ce qui la caractérise est l’élimination de la barrière psychologique liée au manque de confiance habituellement constaté lors de la réception d’un mail de phishing. En l’espèce, les utilisateurs ont été abusés en donnant des autorisations à une application tierce parce qu'ils lui faisaient confiance. Ils ont estimé que l'application était un service approuvé par Google. Un changement imperceptible dans la façon dont le domaine était dissimulé a réussi à convaincre les utilisateurs que l'application était digne de confiance.

L'avenir du phishing

Les attaques de phishing modernes sont très ciblées, peuvent être difficiles à détecter et visent à accorder aux individus malveillants des droits illimités sur les données des utilisateurs concernés, sur les périphériques auxquels ils ont accès ainsi qu’à leurs services en ligne. Cela étant, les attaques de phishing traditionnelles font quasiment partie du passé. Les attaques reposent désormais sur des formes avancées d'infiltration qui dissimulent de mieux en mieux l'intention malveillante.

Les personnes sensibilisées sont rarement victimes des attaques phishing traditionnelles car elles ont appris à détecter les sites Web malveillants et les mails suspects car mal rédigés. Désormais, les attaquants déploient leurs filets sur une population bien plus nombreuse. Dans l'attaque de Gmail, par exemple, des professionnels pourtant aguerris ont approuvé une application tierce, alors qu’ils savent généralement détecter une attaque phishing traditionnelle. La conséquence est qu’un plus grand nombre de personnes sont susceptibles d’être impactés par ce nouveau genre d’attaques malveillantes.

Voilà quel est l'avenir du phishing. Les pirates continuent d’abuser la confiance des utilisateurs en créant des applications malveillantes qui se font passer pour des applications connues, et que les utilisateurs téléchargent et utilisent sans s’en méfier. La capacité de falsifier des applications cloud tout en masquant la véritable identité de l'expéditeur afin de mettre la main sur des informations personnelles est une tendance alarmante à prendre très au sérieux.

Comment prévenir les prochaines attaques

Les fournisseurs de services cloud ont déjà mis en place un certain nombre de fonctions de sécurité pour identifier de manière proactive les attaques de phishing. Le recours à des mécanismes de machine learning,  l'amélioration du filtrage des mails et la détection d'URL malveillantes ne sont que quelques-unes des nouvelles fonctionnalités pour garantir à leurs usagers de rester sécurisés sur le Web. Certains fournisseurs prennent même l’initiative d’avertir les utilisateurs lorsqu'ils répondent à des mails à des domaines non autorisés, ce qui est particulièrement important dans un environnement d'entreprise.

Alors que les fournisseurs de services cloud, comme Google avec Gmail, identifient rapidement les attaques à grande échelle et informent le public des bonnes précautions à prendre lors de l'ouverture de liens malveillants ou de fichiers partagés. Malgré ces garde-fous, de nombreuses personnes et organisations sont toujours sujettes à des pillages de données et d’identités coûteuses provoquées par ce phishing d’un nouveau genre. Il est impératif de continuer à sensibiliser et de réactualiser la connaissance des utilisateurs sur ces nouvelles attaques afin de contribuer à protéger les données. Les organisations doivent également adopter une approche proactive pour être en mesure de détecter les menaces de phishing au fur et à mesure de leur évolution.

Anurag Kahol
Co-fondateur et CTO de Bitglass


Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider
Autres infos Sécurité, Débats

Offres d'emploi informatique avec  Emploi en France
jooble

Learning Management System

Learning Management System

La formation participe à la transformation numérique des entreprises, c’est un fait difficilement discutable. Les LMS ont donc le vent en poupe, servant à la fois de console d’administration aux...

Automatiser la cybersécurité

Automatiser la cybersécurité

Tandis que le nombre d’attaques informatiques en tous genres ne cesse de croître, les experts misent sur l’automatisation et l’intelligence artificielle pour faire face à la menace alors que le nombre...

Edge Computing

Edge Computing

Du simple microcontrôleur capable d’exécuter un algorithme d’IA jusqu’au conteneur maritime de 12 mètres, l’informatique se rapproche au plus près des sources de données. L’Edge...

Ansible

Ansible

Ansible tient une assez belle place dans le palmarès des outils favoris des DevOps. Il permet d’automatiser des traitements sur un parc de machines. Nous allons voir quelles sont ses possibilités en la matière.

Transfo avec Salesforce

Transfo avec Salesforce

Dreamforce, conférence géante à San Francisco, regroupait cet automne près de 170000 personnes sur place et près de 15 millions en ligne. Marc Benioff a multiplié les annonces à cette occasion pour...

RSS
Afficher tous les dossiers

20 TECHNOS pour 2020 et au-delà... : multicloud, rpa, edge&fog, apis, quantique... - La transfo numérique exemplaire d'une PME industrielle - BYOK : chiffrer le Cloud - L'Open Source teinté d'Orange - Mettre de l'intelligence dans l'APM - Le disque dur fait de la résistance - CI/CD as a Service - Digital Campus, n°1 des écoles du numérique...

 

L'IA AU COEUR DES MÉTIERS : retours d'expérience Cemex, Lamborghini, Decathlon, HSBC - Google Cloud Platform : tout sur la migration ! - Edge Computing, chaînon manquant - Cybersécurité : lutter contre l'ennemi intérieur - Ansible, outil de prédilection des DevOps - Docker, de Montrouge à la roche tarpéienne...

 

VILLE NUMÉRIQUE : la transfo d'Issy-les-Moulineaux - Comment le Stockage s'unifie - Brexit : quelles conséquences pour l'industrie numérique ? - Google a-t-il vraiment atteint la suprématie quantique ? - La cyberprotection des sites industriels en question - PowerShell DSC - Epitech Digital...

 

Afficher tous les derniers numéros

OneTrust est une plateforme logicielle innovante de gestion de la confidentialité, de la sécurité des données personnelles et des risques fournisseurs. Plus de 4 000 entreprises ont choisi de faire confiance à cette solution pour se conformer au RGPD, au CCPA, aux normes ISO 27001 et à différentes législations internationales de confidentialité et de sécurité des données personnelles.

OneTrust vous propose de télécharger le texte officiel du Règlement Général sur la Protection des Données (RGPD). Vous aurez également la possibilité de recevoir la version imprimée de ce texte, sous forme de guide pratique au format A5, spiralé, en complétant le formulaire.


Le présent guide d'achat vous aidera à améliorer l'efficacité de votre cloud hybride, en mettant l'accent sur les stratégies de gestion des données dédiées aux applications correspondantes.


Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Pour fonctionner, votre entreprise doit pouvoir compter sur une solution de sauvegarde efficace, essentielle dans un monde marqué par une croissance exponentielle des données. Vous devez à la fois accélérer vos sauvegardes et pouvoir y accéder plus rapidement pour satisfaire les exigences actuelles de continuité d’activité, disponibilité, protection des données et conformité réglementaire. Dans cette ère de croissance effrénée, les cibles sur bande hors site et autres approches traditionnelles sont simplement dépassées.


L’Intelligence Artificielle promet de révolutionner la perception de la cybersécurité au coeur des entreprises, mais pas uniquement. Ce changement de paradigme engage, en effet, une redéfinition complète des règles du jeu pour les DSI et les RSSI, ainsi que l’ensemble des acteurs de la sécurité.


Tous les Livres Blancs
Derniers commentaires
Le gouvernement a fait le point avec les principaux moteurs de recherche et réseaux sociaux sur la lutte contre les fausses nouvelles sur le coronavirusLe gouvernement a fait le point vendredi à Bercy avec les principaux moteurs de recherche et réseaux sociaux sur la lutte contre les fausses nouvelles sur le coronavirus, sujet d'inquiétude si l'épidémie prend de l'ampleur, a-t-il indiqué. [Lire la dépêche...]

The new coronavirus has killed more than 2,700 people and infected nearly 79,000 in mainland ChinaLe populaire jeu vidéo "Plague Inc", qui permet de créer un virus pour le répandre à travers la planète, a été banni de la boutique d'applications en ligne du géant informatique Apple en Chine, a annoncé son développeur, en pleine épidémie de coronavirus. [Lire la dépêche...]

Facebook a annoncé l'annulation de sa conférence annuelle des développeurs prévue pour début mai, à cause des inquiétudes grandissantes autour de la propagation de l'épidémie du nouveau coronavirusFacebook a annoncé jeudi l'annulation de sa conférence annuelle des développeurs prévue pour début mai, à cause des inquiétudes grandissantes autour de la propagation de l'épidémie du nouveau coronavirus. [Lire la dépêche...]

Des caméras de sécurité utilisant la reconnaissance faciale exposées à Pékin, le 24 octobre 2018La justice administrative s'est opposée à la mise en œuvre de la reconnaissance faciale dans deux lycées, présentée comme une expérimentation pionnière par la région Provence-Alpes-Côte d'Azur, mais critiquée par des défenseurs des libertés, selon une décision consultée jeudi par l'AFP. [Lire la dépêche...]

Les applications de rencontre comme Bumble deviennent des outils électoraux aux Etats-UnisA l'approche du coup d'envoi de la primaire démocrate aux Etats-Unis il y a quelques semaines, Rhiannon Payne a passé beaucoup de temps sur l'application de rencontre Bumble: pas pour trouver un copain, mais pour faire campagne pour sa candidate, Elizabeth Warren. [Lire la dépêche...]

Les géants technologiques comme Google ont toute liberté pour censurer des contenus sur leurs plateformes internet, sans enfreindre la Constitution américaine, selon un jugement rendu mercredi par un tribunal de CalifornieLes géants technologiques comme Google ont toute liberté pour supprimer des contenus sur leurs plateformes internet, sans enfreindre la Constitution américaine, selon un jugement rendu mercredi par un tribunal de Californie. [Lire la dépêche...]

les personnes soucieuses de la confidentialité de leurs échanges installent de plus en plus l'application de messagerie chiffrée Signal, précurseure du genre et appréciée des experts même si elle n'évite pas tous les écueils de la sécurité en lignePolitiques, avocats, journalistes et sûrement quelques criminels: les personnes soucieuses de la confidentialité de leurs échanges installent de plus en plus l'application de messagerie chiffrée Signal, précurseure du genre et appréciée des experts même si elle n'évite pas tous les écueils de la sécurité en ligne. [Lire la dépêche...]

Les quatre grands opérateurs français ont déposé un dossier de candidature pour l'attribution des fréquences 5G en France, a annoncé l'Autorité de régulation des télécoms (Arcep) dans un communiquéComme attendu, les quatre grands opérateurs français ont déposé un dossier de candidature pour l'attribution des fréquences 5G en France, a annoncé mercredi l'Autorité de régulation des télécoms (Arcep) dans un communiqué. [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

BIG DATA

Conférences et exposition sur le Big Data les 9 et 10 mars 2020 à Paris, Palais des Congrès de la Porte Maillot. Organisé par Corp Agency.

GALA DSI

La 8ème édition du Gala DSI doit réunir plus de 300 DSI au Pavillon d'Armenonville (Paris 16ème) le 10 mars 2020. Organisé par Agora Managers.

IT PARTNERS

Événement du "channel" IT, télécoms et audiovisuel, IT Partners a lieu les 11 et 12 mars 2020 à Disneyland Paris (Disney Events Arena-Ventury). Organisé par Reed Expositions.
RSS
Voir tout l'AgendaIT
0123movie