Qu’est-ce que le smishing ?

Résumé de l’article :

• Le smishing est une attaque informatique utilisant le canal SMS et l’ingénierie sociale dans le but de tromper les victimes afin qu’elles divulguent des informations personnelles ou installent un logiciel malveillant par le biais de messages trompeurs.
• Pour éviter le smishing, ne cliquez jamais sur des liens suspects et ne répondez pas aux messages dont l’expéditeur vous est inconnu. Contactez directement les organisations par des voies officielles afin de vérifier les revendications urgentes.
• Pour une défense efficace des organisations contre le smishing, il convient de mettre en œuvre des clés physiques conformes à la norme FIDO2 pour l’authentification à deux facteurs et l’adoption d’un modèle de sécurité Zero Trust (un composant essentiel du SASE) afin de limiter les compromissions potentielles de comptes.

Qu’est-ce que le smishing ?

Le smishing, ou phishing par SMS, est l'utilisation de messages texte pour inciter les destinataires à divulguer des informations sensibles ou personnelles. Les escrocs adeptes du smishing utilisent les méthodes de manipulation d'ingénierie sociale pour collecter des données auprès de leurs victimes.

Les téléphones portables et les smartphones ont tendance à accepter les messages SMS de n'importe quelle source. C'est ce qui permet aux escrocs d'envoyer des SMS trompeurs à pratiquement n'importe qui dans le monde. Les escrocs par smishing se font souvent passer pour une personne que la victime connaît ou en qui elle a confiance pour les tromper. Ils peuvent également utiliser des informations personnelles, des menaces ou d'autres tactiques pour convaincre la victime de la légitimité d'un message.

L'objectif du smishing est d'amener la victime à divulguer certaines de ses informations personnelles. Les victimes peuvent procéder de cette manière : en saisissant leur nom d'utilisateur et leur mot de passe sur une fausse page web, en envoyant leurs informations d'identification à l'escroc, ou en discutant avec l'escroc par téléphone. L'escroc peut soit utiliser les informations qu'il collecte pour prendre le contrôle des comptes et de l'identité de la victime, soit les vendre au plus offrant sur des cryptomarchés.

Smishing et phishing

Le smishing est l'une des nombreuses formes du phishing. Le phishing désigne toute tentative de manipulation ou d'escroquerie visant à amener des individus à révéler des informations personnelles ou confidentielles. Le phishing le plus courant se produit par e-mail, mais il s'est également propagé à d'autres canaux : les messages texte (smishing), les appels téléphoniques (vishing/phishing vocal), les codes QR (quishing) et les messages sur les réseaux sociaux.

La disponibilité généralisée des services d'IA générative (GenAI), tels que les grands modèles de langage (LLM), a fourni aux escrocs des outils supplémentaires pour rendre leurs messages de phishing plus réalistes. L'adoption des réseaux sociaux et l'agrégation de données à grande échelle permettent aux acteurs malveillants de personnaliser plus facilement leurs attaques pour leurs cibles. Ainsi, le phishing reste un moyen populaire et lucratif pour les escrocs de dérober des données confidentielles, même si aujourd'hui, beaucoup sont plus réticents à l'idée de confier leurs données à un inconnu.

Comment fonctionne le smishing : les étapes d'une campagne de smishing

Le smishing cible les téléphones portables, notamment les smartphones, qui permettent aux utilisateurs d'ouvrir facilement des hyperliens. Les attaques par smishing suivent principalement les étapes suivantes :

1. Choix d'une cible : les attaquants peuvent dresser des listes de numéros de téléphone actifs de plusieurs manières, allant de l'achat de listes sur un cryptomarché à l'utilisation de bots pour regrouper des informations de contact. Certaines campagnes de smishing ciblent tous azimuts et envoient des SMS au plus grand nombre de numéros de téléphone actifs possible. D'autres attaques sont très ciblées et personnalisées, et les attaquants effectuent un peu plus de recherches sur les destinataires de leurs messages.
2. Mise en place de l'infrastructure : certains textes de smishing obligent la victime à cliquer sur un lien, et dans ces cas, l'escroc met en place de faux sites web ou applications qui collectent les données des victimes. L'envoi des messages implique l'utilisation de faux numéros de téléphone, de passerelles SMS ou de téléphones portables compromis, ce qui permet aux attaquants de masquer la source des textes et de changer rapidement de numéro de téléphone si le leur est bloqué.
3. Écriture du message : un message de smishing peut être court ou long, formel ou personnel ; chaque campagne est différente. Les textos de smishing qui semblent provenir d'une marque de confiance auront probablement un ton formel, tandis que ceux prétendument envoyés par une personne que la victime connaît peuvent sembler plus informels. Parmi les messages de smishing les plus efficaces beaucoup sont directs et vont droit au but, comme celui-ci « Alerte ! Votre emploi du temps a été mis à jour, appuyez sur le lien pour voir les modifications » (exemple concret d'une attaque par « smishing » ayant eu lieu en 2022). Selon les tactiques employées, certains messages de smishing sont fortement personnalisés pour la victime. D'autres sont destinés à séduire le plus grand nombre de personnes possible. Les services LLM peuvent aider les attaquants à créer des messages convaincants.
4. Interaction avec la cible : parfois, l'interaction avec la victime visée est aussi simple que l'envoi d'un SMS en espérant que la victime clique sur un lien ou réponde par les informations souhaitées. Il peut également arriver que la conversation se prolonge par SMS ou par téléphone avec la victime.
5. Collecte de données : l'escroc peut tenter d'inciter les victimes à saisir leurs informations sur une page de connexion ou un formulaire factices, ou par le biais d'une application malveillante. Ils peuvent aussi recueillir des données lors de conversations avec la victime.
6. Installation de logiciels malveillants : cela ne se produit que dans certains cas d'attaques de smishing. Un téléchargement de logiciel malveillant peut être déclenché après que l'utilisateur a chargé la page web de l'attaquant ou en l'incitant à télécharger directement une application malveillante. L'installation de logiciels malveillants peut permettre aux attaquants de collecter davantage de données de la victime, de propager les logiciels malveillants à d'autres sources ou simplement d'utiliser le smartphone infecté dans un botnet.
7. Utilisation ou vente des données personnelles collectées : les attaquants peuvent faire l'une ou l'autre, ou les deux, avec les données qu'ils collectent.

Types de smishing

Les textos de smishing peuvent prendre de nombreuses formes :

• Vérification du compte : dans cette arnaque par smishing, la victime reçoit un SMS prétendant provenir d'un service de messagerie électronique, d'une application de médias sociaux ou d'un service de streaming qu'elle utilise. Le message invite la victime à « vérifier son compte » en cliquant sur un lien et en saisissant son nom d’utilisateur et son mot de passe... sur une fausse page de connexion contrôlée par l’escroc.
• Fraude bancaire : les escrocs se font passer pour la banque de la victime, prétendent que leurs comptes ont été la cible d'une activité suspecte, et insèrent un lien censé « vérifier » leur identité, à l'image d'autres escroqueries de vérification de compte.
• Support technique : le texte de smishing fait état d'un prétendu problème avec l'appareil ou avec un autre service dont il est établi que la victime l'utilise. Les employés d'une organisation ciblée peuvent recevoir des messages indiquant que leur compte a été verrouillé, les attaquants se faisant passer pour l'équipe informatique de l'organisation.
• Escroqueries aux récompenses : le texte de smishing informe le destinataire qu’il a gagné une récompense, lors d'une loterie ou d'un tirage au sort, et qu’il peut réclamer son prix en suivant le lien inclus, au bout duquel il sera invité à entrer des informations personnelles.
• Annulation de service : le texte cherche à effrayer le destinataire en affirmant que son abonnement à un service est sur le point d'être résilié.
• Notification de livraison : ces textos de smishing prétendent provenir d'un service de livraison. Ils informent qu'un colis est en route et fournissent un « lien de suivi » menant à une fausse page web qui collecte des données, ou indiquent qu'un colis important n'a pas pu être livré.
• Remboursement d'impôt : les messages de smishing peuvent indiquer que le destinataire doit de l'argent à une agence gouvernementale de collecte des impôts ; ou, à l'inverse, qu'il doit réclamer son remboursement d'impôt.
• Message d'un cadre : les fraudeurs smishing peuvent se faire passer pour le PDG ou un autre cadre du lieu de travail du destinataire. Ces attaques peuvent être quelque peu personnalisées (en s'adressant au destinataire par son nom, en précisant son lieu de travail réel et en utilisant d'autres informations personnelles de base disponibles en ligne).
• Messages frauduleux exagérés : de nombreux SMS de smishing sont manifestement faux pour la majorité des personnes qui les reçoivent (par exemple : « Je suis un prince étranger et mes comptes sont gelés, si vous m'envoyez 200 dollars, je vous rembourserai en vous envoyant 100 000 dollars dès que je le pourrai »). Si un faible pourcentage de personnes se laisse piéger par ces messages, les escrocs peuvent également les utiliser pour trier leurs listes d'informations de contact entre les personnes crédules et les moins crédules.
• Messages non signés : certains messages de smishing ne contiennent pratiquement aucun détail et sont rédigés comme s'ils provenaient d'une personne que le destinataire connaît (par exemple, « Es-tu en ville ? » ou « Travailles-tu toujours au même endroit ? »). L'idée est que le destinataire pourrait penser qu'il connaît l'expéditeur mais qu'il a perdu son numéro, et qu'il réponde. Ces messages peuvent chercher à attirer la victime dans une conversation prolongée qui se termine par une demande de données. Ou, les attaquants peuvent simplement essayer d'évaluer leur liste de contacts ; pour confirmer si le numéro de téléphone de la victime est actif et si le destinataire est susceptible de répondre à des messages provenant de numéros inconnus. Ensuite, ils reviennent avec des stratagèmes plus convaincants provenant de différents numéros. Il n'est pas judicieux de répondre à de tels messages, même en plaisantant.

Tactiques de smishing

Le smishing utilise de nombreuses tactiques identiques à celles d'autres types de phishing. Le processus de collecte d'informations de contact et d'envoi de messages est légèrement différent de celui du phishing par e-mail ; en dehors de cet aspect, la plupart des campagnes de smishing font intervenir les méthodes suivantes :

• Ingénierie sociale : les attaquants manipulent leurs victimes en faisant appel à des émotions telles que la peur ou la cupidité. Les tactiques de manipulation impliquent la provocation d'un sentiment d'urgence, l'usurpation de l'identité de personnes ou de marques de confiance, et la prétention d'être une personne en position d'autorité.
• Imitation de pages web et d'applications : les attaquants par smishing créent des pages de connexion et des applications factices mais convaincantes, qui collectent des informations personnelles de leurs victimes.
• Personnalisation : les gens sont plus susceptibles de répondre aux messages texte qui les appellent par leur nom. Les attaquants par smishing peuvent utiliser des informations personnelles obtenues à partir de sources publiques, achetées sur le marché noir ou collectées lors de campagnes précédentes de smishing et de phishing pour rendre leurs messages plus convaincants.
• Travestissement de la source : les attaquants par smishing peuvent envoyer leurs messages à partir d'une plage de numéros de téléphone qu'ils contrôlent. Ils peuvent utiliser des passerelles SMS pour envoyer des messages directement depuis des ordinateurs au lieu de s'en remettre aux téléphones. L'envoi de messages et le masquage de leur véritable origine peuvent être en grande partie automatisés.
• Suivi sur plusieurs canaux : le smishing peut faire partie d'une campagne plus vaste sur d'autres canaux de messagerie, tels que le courrier électronique ou les réseaux sociaux.

Que devez-vous faire si vous recevez un message qui relève potentiellement du smishing ?

Ne cliquez sur aucun lien : cela s'applique à tous les liens présents dans les messages texte provenant d'un numéro inconnu ou d'une source inattendue. Ces liens peuvent mener à des pages ou des applications qui collectent des données ou hébergent des logiciels malveillants. Il est préférable d'aller directement sur le site officiel de la source et charger la page de cette manière ; par exemple, si un texte est accompagné d'un avis d'annulation de service, allez directement sur le site du fournisseur de services et utilisez cette page de connexion au lieu de cliquer sur le lien dans le texte.

Ne répondez pas : souvent, les attaquants cherchent seulement à savoir si un numéro est actif ou si les informations personnelles qu'ils possèdent sur le destinataire sont correctes. En répondant, même si vous ne donnez aucune information personnelle, vous en révélez encore trop. Les attaquants sont susceptibles de consacrer plus de ressources aux personnes qui lisent et répondent à leurs messages, tout comme un vendeur est susceptible de relancer plusieurs fois une personne qui montre un intérêt même passager pour un produit.

Signalez le numéro de téléphone : les opérateurs de téléphonie mobile bloquent généralement les numéros une fois qu'un nombre suffisant de personnes les ont signalés, même si les fraudeurs par phishing ont la possibilité de simplement changer ou masquer leurs numéros.

Faites un signalement auprès du service informatique ou de sécurité : les équipes de sécurité ont besoin d'une visibilité maximale sur les attaques ciblant les employés. Les attaques par smishing peuvent faire partie d'une campagne de menaces plus vaste visant à accéder au réseau d'une entreprise.

Vérifiez auprès de la source séparément : contactez directement la marque ou le fournisseur de services, en utilisant les coordonnées officielles d'une source connue, pour vérifier les informations contenues dans le texte. Informez-les, si le texte s'avère être du smishing, que quelqu'un mène une campagne de smishing contre leurs clients.

Supprimez le message et bloquez le numéro : cela ne laisse aucune possibilité de tomber dans le piège ou d'appuyer accidentellement sur le lien.

Ne répondez pas et ne cliquez sur aucun lien : on ne le répète jamais assez !

Désactivez les accusés de réception : certains services de messagerie SMS envoient une notification à l'autre partie lorsqu'un message a été ouvert et lu. Dans les attaques par smishing, un accusé de lecture permet à un attaquant de savoir que la victime visée lit au moins les messages, même si elle ne tombe pas dans le piège ou ne clique sur aucun lien. La désactivation des réceptions de lecture par défaut rend la tâche des acteurs malveillants plus difficile lorsqu'ils cherchent à obtenir des informations.

Le smishing dans le cadre de campagnes d'attaques de plus grande envergure

Au lieu de simplement cibler des individus, les menaces persistantes avancées (APT) peuvent mener une campagne en plusieurs étapes pour compromettre une organisation plus importante. Elles peuvent utiliser le smishing pour prendre le contrôle du compte d'un employé ou d'un prestataire connu, puis passer à d'autres comptes ou systèmes. Une fois l'accès obtenu, elles peuvent compromettre des données sensibles, espionner les activités d'une organisation, infecter l'organisation avec un rançongiciel ou nuire autrement à ses opérations commerciales. Le smishing est donc un vecteur d'attaque capital pour les grandes organisations contre lequel elles doivent se protéger.

Comment les organisations peuvent-elles se protéger contre les campagnes de smishing ?

• Clés physiques pour l’authentification à deux facteurs (2FA) : l’une des défenses les plus solides contre les attaques par smishing consiste à utiliser l’authentification à deux facteurs, de sorte qu’un ensemble d’identifiants de connexion ne suffit pas à lui seul pour accéder à un compte. Plus précisément, l'utilisation de clés physiques conformes à la norme FIDO2, à savoir des jetons matériels qui se branchent sur les ports USB ou utilisent Bluetooth, réduit la probabilité de succès d'une attaque par smishing à pratiquement zéro. (Les jetons logiciels peuvent être interceptés.)
• Formation des utilisateurs : les employés et les sous-traitants doivent être formés à reconnaître les messages de phishing et de smishing. Le signalement de ces messages doit être instantané et facile.
• Sécurité Zero Trust : il s'agit d'un modèle de sécurité qui suppose que des menaces peuvent exister à l'intérieur des réseaux sécurisés et que même les utilisateurs et appareils connus peuvent être compromis. Une architecture Zero Trust contribue à limiter les dégâts en cas de succès d'une attaque par smishing, en utilisant la microsegmentation pour empêcher le mouvement latéral et l'escalade des privilèges. L’authentification à deux facteurs (2FA) est également un élément essentiel de la sécurité zero trust. Découvrez comment Cloudflare a atténué une campagne de smishing sophistiquée grâce à l'authentification à deux facteurs et à la sécurité Zero Trust.

 

FAQ

Que signifie « smishing » ?

Le smishing est une forme de cyberattaque qui utilise des messages texte pour inciter les gens à divulguer des informations personnelles ou confidentielles. Elle tire son nom d'une combinaison de SMS et de phishing. Les attaquants se font souvent passer pour une personne ou une organisation de confiance afin de manipuler les victimes pour qu'elles révèlent leurs informations.

Quels sont les types d’escroqueries par smishing les plus courants ?

Les escroqueries par smishing peuvent prendre de nombreuses formes, y compris celle de messages prétendant provenir d'une banque au sujet d'une activité suspecte, d'un service de livraison avec un lien de suivi, ou d'un service de messagerie nécessitant une vérification de compte. D'autres types comprennent des messages promettant des récompenses, menaçant l'annulation d'un service ou usurpant l'identité d'un cadre d'une entreprise de la victime. Certains escrocs envoient même des salutations ou des questions génériques telles que « Salut, comment vas-tu ? » pour vérifier si un numéro de téléphone est actif et si le destinataire répondra.

Quelle est la différence entre le smishing et le phishing ?

Le smishing est un type spécifique d'attaque par phishing qui se produit par le biais de messages texte (SMS). Le phishing est un terme générique désignant toute tentative de manipulation ou d'escroquerie visant à obtenir des informations personnelles ou confidentielles. Le phishing est le plus courant par e-mail, mais il peut également se produire par appels téléphoniques, codes QR, messages sur les réseaux sociaux et SMS.

Comment puis-je me protéger contre une attaque par smishing ?

Si vous recevez un message que vous soupçonnez être une attaque par smishing, ne cliquez sur aucun lien. Il est également déconseillé de répondre au message, car cela confirmerait à l'attaquant que votre numéro est actif. Vous devez supprimer le message, bloquer le numéro et désactiver les accusés de réception pour empêcher les attaquants de savoir que vous avez ouvert le texte. Il peut être judicieux de signaler l'attaque à l'équipe de sécurité de votre employeur pour leur donner une visibilité sur les attaques ciblant les collaborateurs.

Comment une organisation peut-elle se protéger contre les campagnes de smishing ?

Les organisations peuvent se défendre contre le smishing en formant leurs employés et leurs sous-traitants à reconnaître et à signaler ces messages. L’utilisation de clés matérielles pour l’authentification à deux facteurs (2FA) est également une défense solide, car elle rend presque impossible pour un attaquant l'accès à un compte avec seulement des identifiants de connexion volés. L'adoption d'un modèle de sécurité Zero Trust peut également être bénéfique, car il part du principe que des menaces peuvent déjà être présentes à l'intérieur du réseau et limite les dommages qu'une attaque réussie peut engendrer.