Le Federal Bureau of Investigation (FBI) a mis en garde aujourd’hui contre des campagnes d’e-mails de spear-phishing récemment détectées ciblant les clients d’« entreprises de marque » dans le cadre d’attaques connues sous le nom de brand phishing.
Cet avertissement a été publié en tant qu’annonce d’intérêt public via la plate-forme Internet Crime Complaint Center du bureau, en coordination avec la Cybersecurity and Infrastructure Security Agency (CISA) du DHS.
Les cibles sont envoyées aux pages de destination de phishing par divers moyens, notamment des courriers indésirables, des messages texte ou des applications Web et mobiles susceptibles d’usurper l’identité ou l’adresse en ligne du site officiel d’une entreprise.
Les attaquants intègrent des formulaires de connexion ou des logiciels malveillants dans leurs pages de phishing dans le but final de voler les identifiants d’utilisateur, les détails de paiement ou divers autres types d’informations personnellement identifiables (PII) de leurs victimes.
En plus de ces attaques de phishing en cours, les acteurs de la menace développent également des outils pour inciter les cibles potentielles à révéler des informations pour contourner l’authentification à deux facteurs (2FA) des protections de compte en interceptant les e-mails et en compromettant les comptes.
« Lorsque les cybercriminels accèdent aux comptes en ligne et aux comptes de messagerie d’un consommateur, les cybercriminels peuvent être en mesure d’intercepter des e-mails avec des codes 2FA qui sont utilisés pour apporter des modifications importantes aux comptes en ligne, mettre à jour les mots de passe, vérifier l’accès des utilisateurs ou modifier les règles de sécurité et la configuration avant le propriétaire du compte est informé et informé », l’agence fédérale d’application de la loi mentionné.
« Le FBI a observé des cybercriminels vendant des logiciels d’escroquerie et offrant ces outils avec l’apparence de leur propre support technique continu.
« Les cybercriminels sont financièrement motivés pour développer ces outils de fraude afin d’améliorer leurs tactiques d’escroquerie et de récolter plus efficacement les informations d’identification des consommateurs pour compromettre et prendre en charge l’accès aux comptes. »
Selon Rapport d’hameçonnage de marque de Check Point pour le deuxième trimestre 2021, les cinq premières marques par leur apparition dans les tentatives d’hameçonnage de marque sont Microsoft (45 % de toutes les tentatives d’hameçonnage de marque dans le monde), DHL (26 %), Amazon (11 %), Bestbuy (4%) et Google (3 %).
Recommandations de défense contre le phishing de marque
Le FBI a encouragé les partenaires du secteur privé à rester vigilants et à évaluer leurs politiques de sécurité internes et à fournir à leurs consommateurs des informations concernant les protocoles de sécurité des comptes.
Si vous êtes victime d’une attaque d’hameçonnage de marque, vous devez contacter votre organisme local d’application de la loi ou le bureau local du FBI (coordonnées disponibles sur www.fbi.gov/contact-us/field-offices) et signaler l’incident au FBI Internet Crime Complaint Center sur www.ic3.gov immédiatement.
Les consommateurs sont invités à suivre ces recommandations pour se défendre contre les tentatives de phishing :
- Méfiez-vous des contacts non sollicités par e-mail ou sur les réseaux sociaux de toute personne que vous ne connaissez pas personnellement et/ou contenant des messages vous incitant à ouvrir un lien ou un fichier joint.
- Lorsque vous recevez des alertes de compte, plutôt que de cliquer sur un lien dans un e-mail ou un texte, choisissez de naviguer vers le site Web à l’aide de l’URL sécurisée pour consulter les journaux, messages ou avis.
- Vérifiez attentivement l’orthographe des adresses Web, des sites Web et des adresses e-mail qui semblent dignes de confiance mais peuvent être des imitations de sites Web légitimes, pour inclure le nom d’utilisateur et/ou les noms/adresses de domaine (c’est-à-dire, « I » majuscule contre petit « L », etc. ).
- Utilisez des mots de passe forts et uniques et ne réutilisez pas le même mot de passe sur plusieurs comptes.
- Ne stockez pas de documents ou d’informations importants dans votre compte de messagerie (par exemple, des clés privées en monnaie numérique, des documents avec votre numéro de sécurité sociale ou des photocopies d’un permis de conduire).
- Activez les options d’authentification 2FA et/ou multifacteur (MFA) pour sécuriser les comptes en ligne, tels qu’un numéro de téléphone, des programmes/applications d’authentification basés sur un logiciel, une clé de sécurité USB ou un compte de messagerie séparé (avec un mot de passe unique qui ne lien vers d’autres comptes de consommateurs) pour recevoir des codes d’authentification pour les connexions au compte, les réinitialisations de mot de passe ou les mises à jour des informations de compte sensibles.
- Dans la mesure du possible, n’utilisez pas votre adresse e-mail principale pour vous connecter sur les sites Web. Créez un nom d’utilisateur unique non associé à votre adresse e-mail principale.
Lundi, le FBI et la CISA ont également averti les partenaires d’infrastructures critiques et les organisations des secteurs public/privé de ne pas baisser leurs défenses contre les attaques de ransomware pendant la période des fêtes.
En octobre, il a informé le public américain que les acteurs de la menace utilisaient activement de faux sites Web d’allocations de chômage pour récolter leurs informations financières et personnelles sensibles.
La Federal Trade Commission (FTC) des États-Unis a déclaré en février que le nombre total de signalements d’usurpation d’identité avait doublé l’année dernière par rapport à 2019, avec un record de 1,4 million de signalements en une seule année.