Le phishing pose davantage de problèmes sur mobile

Pour protéger vos données, vous devez désormais empêcher vos employés de cliquer sur des URL malveillantes contenant des applications masquées, en plus des SMS, plates-formes de messagerie, e-mails professionnels et personnels.

RECHERCHER

56 % des utilisateurs ont déjà reçu et cliqué sur des URL de phishing sur leurs appareils mobiles

Les appareils mobiles se connectent hors des pare-feu traditionnels, ne disposent généralement pas de solutions de protection des points de terminaison et ont accès à pléthore de nouvelles plates-formes de messagerie qui ne fonctionnent pas sur PC. L'interface utilisateur des mobiles n'offre pas non plus le niveau de détail nécessaire pour identifier les attaques de phishing. Par exemple, il n'est pas possible de balayer les hyperliens pour afficher leur destination. Enfin, ces appareils mobiles sont la cible favorite des attaques de phishing en raison de la quantité énorme de données personnelles qu'ils contiennent.


Livre blanc Télécharger le rapport

Les cinq liens de la kill-chain du phishing sur mobile

Il suffit d'un clic maladroit pour compromettre un appareil mobile. Il peut s'agir d'une URL malveillante tronquée dans la fenêtre de navigation, d'une URL à laquelle une application accède dans son back-end, se connectant sans s'en rendre compte à un réseau publicitaire malveillant, ou d'un lien contenu dans un e-mail privé qui incite les utilisateurs à saisir leurs identifiants professionnels, pour permettre à un attaquant de naviguer dans votre infrastructure et ainsi d'accéder à vos données stratégiques.

Le phishing se présente de différentes manières sur appareil mobile

icône d'un réseau malveillant

Réseaux publicitaires malveillants

Les applications utilisent les URL dans leurs backends pour communiquer avec d'autres services, comme les réseaux publicitaires, par exemple. Si une application accède à une URL malveillante, l'utilisateur risque alors d'être exposé à une compagne publicitaire malveillante.

icône d'un e-mail personnel

E-mail personnel

Les e-mails personnels sont une cible privilégiée. Bien que les fournisseurs de messagerie privée aient mis en place des protections contre le phishing, les attaquants parviennent à les contourner et à inciter les employés à fournir des données sensibles.

icône de messages

Plates-formes de messagerie

Des acteurs malveillants, tels que Dark Caracal, utilisent les plates-formes de messagerie disponibles dans les applications comme WhatsApp, Facebook Messenger et Instagram pour inciter les utilisateurs à télécharger des logiciels espions, tels que Pallas.

Image SMS

SMS

Les attaquants envoient des messages de phishing du type : « Je viens juste de voir votre photo. Regardez. » via SMS pour inciter les victimes à télécharger un logiciel malveillant, plus particulièrement un surveillanceware.

E-mail professionnel

Souvent ciblés, les e-mails professionnels font généralement l'objet d'une surveillance accrue de la part des administrateurs chargés de la sécurité d'une entreprise. Mais comme nous pouvons le constater, la protection des e-mails professionnels n'est pas suffisante.

Le phishing est le risque n °1 en matière de cybersécurité à l'échelle mondiale

L'étude exclusive réalisée par Lookout concernant le phishing sur mobile ont révélé l'existence de plusieurs acteurs malveillants à l'échelle mondiale, notamment le groupe Dark Caracal, avec le soutien de l'État libanais, et qui s'adonnait au phishing sur mobile pour compromettre plus de 600 téléphones dans plus de 21 pays différents. Même Pegasus, l'exploit de jailbreak à distance activé en un clic et vendu par le groupe NSO, invitait sa victime à cliquer sur un message de phishing envoyé par SMS. FrozenCell, xRAT, ViperRAT, SocialPath et Xsser/mRAT sont tous des menaces mobiles activées par phishing.


Pouvez-vous reconnaître un site de phishing ?

Le phishing sur mobile est extrêmement difficile à identifier à l'œil nu. Les interfaces que créent les attaquants sont quasiment identiques aux sites légitimes et c'est la raison pour laquelle le phishing sur mobile représente un risque considérable pour les entreprises.

  • Dropbox

    Sélectionnez A ou B. Cliquez sur l'image pour l'agrandir.

    A
    B

    Vrai

    Factice

    Ce que vous voyez :

    Les différences entre ces deux écrans de connexion Dropbox sont extrêmement subtiles. Les principales incohérences sont : la pixellisation et l'utilisation du logo de l'entreprise, la décoloration entre les deux boutons de connexion en bleu et la lettre « G » manquante sur le bouton de connexion à Google. Sinon, cet exemple illustre parfaitement la raison pour laquelle il est si difficile de distinguer des sites Web légitimes des sites Web de phishing sur mobile.

  • Google

    Sélectionnez A ou B. Cliquez sur l'image pour l'agrandir.

    A
    B

    Factice

    Vrai

    Ce que vous voyez :

    Ici, il existe quelques différences que les personnes connaissant bien les pages de connexion Google peuvent remarquer. Tout d'abord, on remarque une différence d'intitulé au-dessus du module de connexion. Les intitulés « Connexion Accéder à Gmail » et « Tout Google avec un seul compte » vont probablement passer inaperçus aux yeux de toute personne souhaitant se connecter à son compte. Ensuite, l'appel à l'action « Trouver votre adresse e-mail » est différent sur la page factice et demande aux utilisateurs s'ils ont « Besoin d'aide » ?” Pour finir, la section « Tout Google avec un seul compte », qui répertorie tous les autres produits de Google, est manquante. Bien que ces omissions soient notables, elles ne sont pas flagrantes. Une personne souhaitant simplement se connecter à son compte n'y prêtera probablement aucune attention et saisira ses identifiants.

  • Office 365

    Sélectionnez A ou B. Cliquez sur l'image pour l'agrandir.

    A
    B

    Vrai

    Factice

    Ce que vous voyez :

    Bien que ces deux pages soient très différentes, elles sont toutefois très convaincantes. Sans savoir que la page de connexion est en fait une page de connexion Microsoft plus générique, l'utilisateur final va probablement être trompé par le logo d'Office 365, le logo “légitime”, en apparence, de Microsoft et le copyright affiché en bas de la page. L'élément principal qui va probablement surprendre un utilisateur est l'invite de connexion à son « Compte professionnel ou d'étudiant ». On notera l'absence de ponctuation et sa disposition inhabituelle au-dessus du champ de connexion (qui se compose d'un nom d'utilisateur et d'un mot de passe, alors que la page légitime invite uniquement à saisir un e-mail ou un numéro de téléphone).

Protection des contenus et contre le phishing de Lookout

Lookout offre une protection complète contre le phishing sur mobile sur les appareils Android et iOS afin de sécuriser les données des entreprises au sein d'un univers mobile plus complexe.

Extension de la protection contre le phishing sur mobile

La plupart des attaques par phishing proviennent désormais des appareils mobiles. Tel un rempart de défense, Lookout est une solution particulièrement efficace.

Protection complète à grande échelle

Vous protège contre toute attaque par phishing, quels que soient les vecteurs, notamment des URL malveillantes contenant des applications masquées, en plus des SMS, plates-formes de messagerie, e-mails professionnels et personnels.

Pleins pouvoirs aux administrateurs

Les administrateurs peuvent bloquer l'accès à des URL malveillantes, avertir les utilisateurs des sites Web à risque, élaborer des politiques de protection contre toute tentative de phishing et identifier les appareils non conformes si leur protection est désactivée.

La révolution numérique en marche

Permet aux entreprises d'utiliser en toute confiance les smartphones au travail en les protégeant de tout contenu malveillant, qu'ils soient derrière le pare-feu de l'entreprise ou non.

Télécharger la fiche techniquearrow_forward

Datasheet

En savoir plus sur la protection des contenus et contre le phishing de Lookout

Découvrez comment Lookout fournit une protection complète contre le phishing sur mobile sur les appareils Android et iOS, donne aux administrateurs des outils puissants pour surveiller, gérer et protéger les appareils mobiles et permet aux entreprises d'utiliser les smartphones en toute sécurité en interne.


Fiche technique Télécharger la fiche technique


VIDEO EXCLUSIVE
Mobile Threat Defense, phishing et le plus gros problème de cybersécurité non résolu actuellement

Directeur de recherche chez Gartner

Dionisio Zumerle


Chef de la stratégie de Lookout

Aaron Cockerill

Demandez une démo et découvrez ce que Lookout peut faire pour vous.

Contactez-nous call_made

Découvrir les autres produits de Lookout

Lookout protège les smartphones, les tablettes, les applications, les parcs mobiles et bien plus encore.

Mobile Endpoint Security

Des solutions pour protéger votre entreprise.

En savoir plus

App Defense

Des solutions pour concevoir et déployer des applications plus sûres.

En savoir plus

Personal

Des solutions pour tous vos appareils personnels.

En savoir plus

Mobile Endpoint Security

Des solutions pour protéger votre entreprise.

En savoir plus

App Defense

Des solutions pour concevoir et déployer des applications plus sûres.

En savoir plus

Personal

Des solutions pour tous vos appareils personnels.

En savoir plus
close
Ce site utilise des cookies pour améliorer votre expérience de navigation. En poursuivant votre navigation sur notre site, vous acceptez l'utilisation des cookies. En savoir plus