Ordre du jour

L'ingénierie sociale existe depuis que les humains existent - mais puisque nous utilisons des technologies de l'information omniprésentes, l'ingénierie sociale est passée à un niveau supérieur : hameçonnage, imposteur et compromission des e-mails professionnels. Une industrie de plusieurs milliards de dollars essaie maintenant de vous inciter à divulguer des secrets, à installer des logiciels malveillants ou à envoyer de l'argent quelque part. Une autre industrie de plusieurs milliards de dollars se bat pour protéger les organisations et les individus.

Il y a plus de dix ans, les revenus de la cybercriminalité dépassaient les revenus du marché mondial des drogues illégales. Il est encore facile aujourd'hui de gagner de l'argent avec des emails de phishing. Les criminels proviennent de toute la bande passante du milieu social et de l'intelligence : certains individus moins brillants oublient de joindre des charges utiles à leurs e-mails ou mettent les mauvaises URL dans leurs e-mails de phishing. Certains hameçonneurs plus intelligents utilisent des services d'hameçonnage - ils n'ont pas besoin d'avoir des connaissances techniques approfondies. 20 $ en bitcoins et vous obtenez quelques semaines de services de kit de phishing limités. Cela permet à de nombreuses personnes ayant des problèmes financiers de créer facilement leur propre "entreprise de phishing". Et bien sûr, il existe des groupes de cybercriminalité sophistiqués ou même des pirates informatiques parrainés par l'État avec des actions très ciblées. Leurs attaques pourraient ne jamais être vues par plus de quelques entreprises, ce qui les rend difficiles à détecter. La plupart de ces acteurs de la menace le font pour gagner leur vie.

Obtenir une rançon est l'un des objectifs des cybercriminels. Aujourd'hui, la grande majorité des attaques de rançongiciels commencent toujours par un e-mail. Il y a des années, les acteurs de la menace utilisaient les envois de masse pour cela. Ces temps sont révolus depuis longtemps. Les attaques par e-mail d'aujourd'hui sont très sophistiquées :

Les profileurs recherchent la moindre information sur une cible : avez-vous un chien ? Quand te lèves-tu habituellement? Quelle est votre formation? Qui sont votre entreprise et vos collègues privés ? La plupart de ces questions peuvent trouver une réponse grâce à la recherche sur les réseaux sociaux.
Ces informations sont transmises aux créateurs de contenu qui écrivent réellement les messages ciblés
D'autres façons d'utiliser ces informations sont des imposteurs : des e-mails prétendant provenir du patron demandant de transférer de l'argent rapidement en raison d'une excellente opportunité commerciale. Si seulement 1 de ces menaces d'imposteur sur 1000 produit un virement bancaire, tous les efforts sont payés
Les criminels utilisent également des comptes de messagerie professionnels compromis pour fournir leurs liens vers des logiciels de rançon ou simplement pour demander le changement d'un compte bancaire destinataire d'un virement bancaire régulier. Cela peut sembler étrange, mais ces attaques ont un taux de réussite élevé si elles reposent sur la confiance personnelle qui pourrait se trouver derrière un e-mail professionnel avec lequel vous êtes fréquemment en contact.

Que la 2e étape consiste à faire cliquer quelqu'un sur une url, à installer un logiciel ou à passer un appel téléphonique : le but final est surtout de gagner de l'argent.

Soit dit en passant : si ce n'est pas directement pour de l'argent, alors quelqu'un d'autre paie pour les attaques - soit un concurrent, soit un État. Peu importe si l'État se voit du bon côté ou du côté obscur - presque tous les États sont à la fois des attaquants et des cibles de la cybercriminalité. Cependant, l'atelier ne couvrira pas la cybercriminalité induite par l'État.

L'atelier montre des exemples récents de la façon dont les criminels utilisent des approches techniques et sociales pour gagner de l'argent. Nous allons montrer les parties de la chaîne de production multi-pays de la cybercriminalité. Testez vos connaissances dans l'atelier : tomberiez-vous sur des exemples de phishing ?