Menaces sur mobiles et emails : connaître les risques pour s’en protéger

1. Les facteurs d'attaques sur les mobiles

Les mobiles intéressent les pirates. Les collaborateurs utilisent de plus en plus leurs téléphones pour échanger toutes sortes de données. Les pirates l’ont bien compris et tentent par tous les moyens de les dérober. Les dernières études montrent que le développement de malwares visant les portables a dépassé celui des ordinateurs. Selon Kaspersky Lab, le nombre d’attaques envers les mobiles a doublé en un an (116 millions en 2018 contre 66 millions en 2017). Utiliser son téléphone devient donc plus risqué alors que les utilisateurs n’en sont toujours conscients. Pour les pirates, l’appât du gain est d’autant plus aisé qu’un téléphone reste aujourd’hui moins protégé qu’un ordinateur lorsqu’il est relié au réseau de l’entreprise.

Les données, cible prioritaires

L'objectif est l’acquisition frauduleuse de données sensibles ou personnelles sauvegardées sur les mémoires internes ou externes, sachant que ces espaces de stockage sont de plus en plus gigantesques (jusqu’à 1 To pour le Samsung Galaxy S10+ par exemple). De plus, les données mémorisées y sont plus valorisées (application bancaire, photo, carnet d’adresses, journal d’appel…), que celles présentes sur un poste de travail. Ces données, une fois volées, pourront servir à usurper une identité, effectuer du chantage, être revendues ou détruites, à moins que l’entreprise n’accepte de payer une rançon pour les récupérer

Code malicieux

Pour parvenir à voler ces précieuses données, les hackeurs utilisent notamment les applications des stores officiels (App Store, Google Play Store). Ils en détournent certaines pour y ajouter des codes malveillants. Une fois l’appli installée sur le mobile, le code va permettre la copie discrète des carnets d’adresses et des fichiers (bureautiques, photos…) et/ou localiser le collaborateur. Les derniers malwares utilisent le micro dans le but d’écouter les conversations professionnelles. Cet espionnage existe bel et bien même si la prise de conscience par les utilisateurs est quasiment inexistante, et alors même qu’un programme malveillant déposé discrètement sur une copie d’une appli très demandée, va permettre la compromission de millions de terminaux mobiles.

Wi-Fi compromis

Les hackeurs profitent également certaines faiblesses du système d’exploitation du téléphone. La malveillance se produit lorsque le collaborateur se connecte ou surfe sur des sites web. Et plus particulièrement, lorsque la connexion s’effectue à travers des points d’accès Wi-Fi publics (hôtels, gares, aéroports, café…) dont certains peuvent être détournés ou dupliqués. Il en résulte vol de données et écoute des connexions sans que l’utilisateur ne le sache.

Phishing par SMS

Un autre vecteur d’attaque consiste à envoyer de faux SMS ou MMS afin de tromper l’utilisateur. Le Smishing (« phishing par SMS ») fonctionne de la même manière que l’hameçonnage sur les boîtes mails. Il peut s’agir par exemple d’un SMS demandant à l’utilisateur de suivre un lien qui va conduire soit à une fausse application exploitant les faiblesses du mobile, soit vers un faux site web dans le but de dérober les identifiants de connexion. Cette menace est d’autant plus insidieuse que les collaborateurs sont moins prudents sur leur téléphone qu’ils estiment sécurisés alors que ce n’est pas toujours le cas. Ces menaces visent toutes les plateformes et matériels, mobiles Android comme iPhone, et autres tablettes.

Minage de bitcoins et publicités rémunérées

Certains codes malveillants vont utiliser la puissance des derniers smartphones pour miner de la cryptomonnaie, c’est-à-dire valider des transactions de devises virtuelles. Le procédé demande beaucoup de puissance de traitement. Généralement, l’utilisateur finit par s’en apercevoir, le mobile devenant subitement moins véloce. Autre arnaque sur téléphone, le téléchargement de publicités rémunérées faisant croire à la régie éditrice que le possesseur du mobile a bien visionné telle ou telle annonce alors qu’il n’en est rien. Le but consistant à être rémunéré tandis que le message n’a pas été vu. Le hackeur peut aussi tenter d’escroquer l’utilisateur par l’envoi de SMS ou appels surtaxés. Ces malwares ont des durées de vie assez courtes, mais impactent pourtant la capacité des portables à fonctionner à 100%, consomment la batterie, les forfaits et usent les composants électroniques. Bien que les téléphones soient de plus en plus ciblés, le piratage des comptes de messagerie est en augmentation constante.

Livre Blanc
Sécurité Internet les technologies à connaître pour protéger son entreprise

2. Les facteurs d'attaques sur email

Envoi de faux emails contaminés en grand nombre

Les messageries demeurent une cible prioritaire pour les pirates, d’autant plus qu’il n’est pas nécessaire de connaître les destinataires avant d’envoyer des emails frauduleux. Internet renferme des listings d’adresses préalablement dérobés pouvant servir à inonder les boîtes mail. Par ailleurs, il n’est pas bien difficile d’imaginer non plus les adresses électroniques susceptibles d’exister dans une entreprise et tenter ainsi sa chance en utilisant des réseaux de robots (botnet) qui vont envoyer des milliers de courriers malveillants. Cibler large en espérant qu’un destinataire finisse par cliquer sur un lien compromis reste plus que jamais d’actualité. Le pirate n’a plus qu’à attendre que les équipements fraîchement infectés le recontactent, agrandissant par la même occasion son réseau de robots...

Phishing et ingénierie sociale

Ces courriers malveillants ne sont pas tous dangereux. Le spam ou pourriel n’est parfois qu’une simple pollution au niveau de la boîte aux lettres faisant perdre du temps aux collaborateurs, sans qu’il ne soit toujours porteur d’un malware, mais simplement de publicité souvent douteuse ou d’arnaque de vente en ligne. Lorsqu’en revanche, c’est le cas, il est assorti d’une pièce-jointe contenant un virus ou un lien vers un site contaminateur. 

Par ailleurs, le phishing cible la naïveté de l’utilisateur pour le rediriger vers de faux sites respectables (banque, opérateur télécoms, messagerie Web ou de l’entreprise ciblée…), dans le but de lui dérober ses identifiants afin de compromettre son identité ou accéder à son application avec son compte. Cette technique d’hameçonnage se décline désormais en Spear phishing (hameçonnage « pointu » ou très ciblé). Dans ce cas, la teneur du message est fortement personnalisée à l’attention d’un petit nombre de collaborateurs. Il peut s’agir d’un soi-disant collègue demandant l’activation d’une action spécifique comme un virement ou la validation d’un contrat. Ces attaques à base d’ingénierie sociale sont très travaillées en amont et peuvent fortement impacter l’entreprise.

L’inventivité des pirates est sans limites. Les menaces sur mobiles et sur les boîtes mails traditionnelles sont grandissantes et revêtent plusieurs formes. Les entreprises doivent en être conscientes, éduquer les collaborateurs et mettre en place des protections adaptées. Chiffrement, agent de surveillance mobile, antimalware, anti-spam, anti-phishing sont quelques-unes des réponses techniques. Des sessions de sensibilisation, de la vigilance et des comportements de bon sens des collaborateurs sont les bonnes réponses humaines à apporter.