Phishing du futur: statistiques et prévisions depuis 2020

17 mars 2020
alexandre

Le phishing est la plus ancienne astuce dans le livre d'un pirate. Cependant, malgré leur âge, ce chemin d'attaque particulier dure le plus longtemps. Au fil du temps, les tentatives de phishing ont considérablement amélioré la capacité de tromper les profanes, même les professionnels de la cybersécurité, vers la tromperie légale et persuasive.

Avec l'avènement de l'intelligence artificielle, de l'Internet des objets et des technologies connexes, la quantité et la toxicité du phishing augmenteront. Sans aucun doute, APWG a signalé une augmentation du nombre de sites Web de phishing de 138 328 à 266 387.Presque doublé Dans la courte période entre le T4 2018 et le T3 2019

Ce n'est qu'une des statistiques étonnantes qui montrent à quel point le phishing est destructeur pour les particuliers et les entreprises de nos jours. Les événements récents, les développements technologiques (IA et contrefaçons en profondeur) et les données environnantes craignent que la menace de phishing ne soit plus grande et plus sophistiquée que jamais, comme vous pouvez le voir dans cet article.

Et nous ne pourrons peut-être pas le préparer pleinement.

Statistiques de phishing - Dommages

Les statistiques de phishing montrent une nette tendance à la hausse qui n'a pas été observée au cours des trois dernières années. Greg Aaaron, chercheur principal pour APWG, a déclaré: «C'est le pire moment de phishing vu par APWG en trois ans depuis le quatrième trimestre de 2016.»

Selon Verizon, 32% des violations de données signalées en 2018 sont le résultat d'attaques de phishing. Cela s'est encore aggravé en 2019. Le phishing est responsable de 90% des violations de données. Selon ces statistiques, les pirates s'appuient toujours sur l'ingénierie sociale et les astuces de confiance plutôt que sur la force brute et d'autres attaques plus sophistiquées pour accéder aux informations sensibles des utilisateurs / entreprises.

L'efficacité et le taux de réussite des attaques de phishing contre les cybercriminels peuvent être estimés par les faits suivants: 1,5 million de sites Web de phishing Il est créé chaque mois. Vous ne pouvez maintenir une activité très élevée que si l'agent responsable du phishing en tire de l'argent.

En fait, au niveau de l’entreprise, la perte moyenne subie par une entreprise de taille moyenne avec corruption de phishing est 1,6 million de dollars. Pas étonnant que le phishing ait une place spéciale dans l'esprit de chaque hacker.

Le succès continu du phishing est simplement le résultat de la tentation d'agir, en particulier lorsque les humains font confiance à la source.

Salvatore Stolfo, CTO d'Alluresecurity observe correctement ce qui suit:

Il est vrai que l'IA peut être rétroconçue et armée contre les cyberattaquants. Cependant, en fait, en ce qui concerne le phishing, l'attaquant n'a pas besoin d'être averti en technologie pour réussir. C'est pourquoi le phishing reste la meilleure voie d'attaque. Il profite de ses instincts de base pour faire confiance et cliquer sur des liens provenant de sources légitimes comme des banques ou des liens de marques connues et fiables comme Microsoft, Netflix ou PayPal.

Comment évoluer-Fisher de la tempête

Les méthodes et stratégies de phishing deviendront plus sophistiquées au fil du temps. En effet, les améliorations technologiques sont déjà évidentes et sont confrontées à un environnement de cybersécurité sérieux à l'avenir.

Comment évoluer-phishing

Phishing

Nous avons déjà assisté à un changement des normes concernant le phishing par e-mail. Traditionnellement, l'approche du fusil de chasse est plus couramment utilisée lorsque les pirates veulent séduire le plus de personnes possible. Cependant, lorsqu'elles sont ciblées sur une technique appelée spear-phishing, les attaques contre la sécurité de l'entreprise sont beaucoup plus susceptibles de réussir.

Cisco affirme que 95% de toutes les attaques contre les réseaux de sécurité d'entreprise sont possibles en raison du hameçonnage. Dans les attaques par hameçonnage, les pirates peuvent essayer d'effrayer les destinataires des e-mails pour révéler des informations, usurpant l'identité de vrais membres de l'organisation ou de l'industrie (les plus populaires).

En 2017, les e-mails de spear phishing ont été utilisés au mieux par 71% des groupes de pirates informatiques. Le taux de réussite du harponnage n'est que le résultat du vol des personnes les plus déguisées. Fraude.

L'expert en informatique et fondateur de Byblos Coffee, Dennis Bell, prédit:

L'hameçonnage sous-marin deviendra plus répandu en 2020. Vous pouvez utiliser l'IA et le ML pour identifier les meilleures cibles en fonction de ce que vous faites en ligne. Vous pouvez également collecter des informations sur les personnes auxquelles vous accédez le plus sur votre réseau d'entreprise. Lorsque AI et ML créent un profil, ils peuvent envoyer du matériel de phishing personnalisé en fonction de la vulnérabilité de la cible.

Faux profond et IA

L'abus de l'IA et, par conséquent, le développement de technologies telles que les contrefaçons, est un autre coup porté à notre espoir d'un Internet sans phishing. Avant l'IA, les experts du phishing auraient pu se cacher derrière des e-mails et des sites Web conçus de manière créative. L'IA et les contrefaçons en profondeur vous permettent d'imiter les visages et les voix d'une personne choisie, donnant une toute nouvelle dimension aux escroqueries d'ingénierie sociale.

Kim Martin, vice-présidente du marketing pour la société de biométrie ID R & D, souligne:

Les escrocs utilisent l'apprentissage automatique et l'IA pour mener des attaques de phishing complexes, usurpant l'identité de véritables utilisateurs approuvés grâce aux progrès des langages synthétiques. Dans un scénario récent, une voix "sérieusement fausse" a été incluse qui a trompé le PDG pour transférer 243 000 $ à un fournisseur hongrois. Le PDG pensait que la demande venait de son patron. Grâce à ces fonctionnalités, les escrocs ont trouvé de nouveaux moyens pour l'ingénierie sociale et un moyen de passer l'authentification biométrique sans protection appropriée.

Les progrès du traitement du langage naturel ouvrent une autre voie aux acteurs de la menace. L'utilisation de l'apprentissage automatique pour rédiger de la correspondance officielle destinée à acheter des hommes d'affaires est très probable aujourd'hui et deviendra certainement plus courante à l'avenir.

Le traitement du langage naturel est l'un des domaines les plus étudiés en IA, ce qui vous permet de comprendre le langage humain et de l'utiliser pour communiquer efficacement. Au fur et à mesure que ces fonctionnalités s'améliorent avec le temps, la reconnaissance de la différence entre les langages générés par l'homme et par la machine sera un grand défi. Attila Tomaschek, experte en confidentialité numérique:

Les cybercriminels peuvent tirer parti de l'IA et du ML pour analyser le langage et le contexte d'un thread afin d'apprendre et d'émuler le langage humain naturel pour intégrer des logiciels malveillants dans un thread de messagerie existant qui peut personnaliser un email de phishing qui semble convaincant et naturel. Aux objectifs individuels. " Il souligne également comment les chatbots basés sur l'IA peuvent inciter les victimes à cliquer sur des liens malveillants.

La chose la plus surprenante à propos de tout cela est que ce n'est pas une prédiction de l'avenir qui est si loin de l'avenir actuel que vous commencez à vous inquiéter. Ce sont des caractéristiques très pratiques qui existent déjà à un degré presque terrifiant.

L'apprentissage automatique peut également rendre les attaques de phishing indétectables. Au fil du temps, le courrier électronique peut sembler tout à fait légitime, contournant le filtre de courrier électronique en utilisant un langage plus réaliste. Will Pearce, consultant principal en sécurité chez Silent Break Security,

Le Machine Learning Adversarial a une fonctionnalité qui ne peut pas détecter les tentatives de phishing. Selon une étude intitulée 'Proof Pudding' en 2019, le filtre anti-spam Proofpoint a divulgué un score de prédiction de spam, et cette étude a formé un modèle qui collecte des ensembles de données et génère des mots pour vérifier si les e-mails de phishing ne sont pas "détectés". Le. Les systèmes d'apprentissage automatique sont un nouveau domaine d'attaque qui n'est généralement pas bien compris.

En tenant compte du fait que vous pouvez utiliser un algorithme simple pour vérifier les informations cachées dans votre profil Facebook, la combinaison de ML faux et hostile étendra considérablement votre portée d'attaque lors de la destruction du pêcheur moyen.

Attaque homo graph

L'attaque homographique exploite le fait que de nombreux caractères de la plupart des alphabets de langues modernes sont similaires. Par exemple, la lettre B est β en grec. Sachant cela, un site Web de phishing malveillant pourrait utiliser le même nom de domaine que tout autre domaine légitime. La différence entre un petit caractère n'est souvent pas perceptible sur l'écran des petits appareils portables tels que les smartphones.

Par exemple, https: //www.theíndependent.com/ diffère du domaine The Independent avec un seul caractère, & # 39; í & # 39; for & # 39; i & # 39 ;. Des domaines comme celui-ci ne feront qu'ajouter des compétences lorsque vous aurez affaire à un pêcheur moderne.

L'avenir à venir-Corona, US Élection et abus de technologie

phishing-events

Les compétences technologiques représentent un domaine d'opportunité que les attaquants de phishing utilisent pour lancer des cyberattaques de plus en plus meurtrières. En utilisant la panique créée par le mystérieux virus corona, les escrocs lancent des campagnes de phishing pour inciter les gens à cliquer sur des liens malveillants et à fournir des informations sensibles.

Kaspersky a signalé le plus important de ces exploits de phishing, et les prétendus e-mails de phishing envoyés par CDC volent des informations lorsque vous cliquez sur un lien demandant une connexion Outlook. Le domaine CDC légal est cdc.gov, mais les e-mails sont envoyés à partir du domaine cdc-gov.org.

Inutile de dire qu'il est particulièrement difficile pour les utilisateurs ordinaires de remarquer la différence entre les escroqueries de domaine et les fraudes. Cela est particulièrement vrai s'il apparaît de manière convaincante avec un lien externe qui apparaît légalement dans l'e-mail. Bien sûr, tout l'e-mail n'a rien de légal.

Ces tactiques provoquent un effet de la panique entourant la situation (virus corona dans ce cas), auquel cas l'incertitude et l'urgence peuvent raccourcir même le jugement d'un sage. La menace des cyberattaques contre les menaces réelles, aussi réelles soient-elles, est à distance et tire pleinement parti des périphériques.

Les élections américaines de 2020 seront une autre occasion pour les criminels de phishing de faire de mauvaises affaires comme ils l'ont fait lors des élections précédentes. Orion Casetto, directeur du marketing produit chez Exabeam,

Le phishing ne disparaîtra pas de sitôt. L'enthousiasme qui entoure l'élection présidentielle américaine de 2020 offre un environnement parfait aux attaquants pour mener des campagnes de phishing et d'ingénierie sociale. Beaucoup de gens sont passionnés, prêts à agir et reçoivent beaucoup de communication de nouvelles sources. Il s'agit d'une tempête parfaite qui donne aux gens de nombreuses opportunités d'être victimes de courriels de phishing bien conçus déguisés en communications avec des organisations politiques et des candidats.

Ces événements importants, combinés au soutien de l'IA, lanceront une campagne très malveillante qui cible les pêcheurs et les escrocs des individus aux organisations de toutes tailles.

Préparez-vous au phishing

La meilleure défense contre le phishing est toujours le jugement, l'intelligence, le bon sens et la prudence à l'ancienne mode. Malheureusement, il devient assez difficile de faire attention et de faire attention avant chaque lien sur lequel vous cliquez et chaque site Web que vous visitez dans un monde en évolution rapide où les gens reçoivent de l'attention et moins de patience.

C'est pourquoi les logiciels anti-phishing gagnent en importance pour aider à dégrader le jugement humain. Néanmoins, certains conseils de bon sens peuvent toujours vous empêcher de devenir la prochaine victime de phishing.

Protection contre le phishing

Conseils aux utilisateurs

  • Faites attention à l'expéditeur de l'e-mail: Lisez toujours l'adresse e-mail de l'expéditeur dans votre boîte de réception. Les petits changements d'orthographe, les lettres et les signes de ponctuation qui représentent l'emprunt d'identité sont un grand danger.
  • Soyez très prudent avant d'agir. Les e-mails de phishing vous demandent généralement de cliquer sur un lien et / ou de fournir un mot de passe, un code PIN, un numéro de compte bancaire, etc. À moins que vous ne soyez absolument sûr de ce que vous faites, ces courriels devraient éviter tous les coûts.
  • Pièce jointe suspecte: Une autre caractéristique commune des e-mails de phishing est d'étranges pièces jointes. Si vous voyez un fichier ou un lien qui n'est pas joint à l'e-mail, il est préférable de ne pas le télécharger ou de le cliquer. Vous pouvez également passer votre curseur sur une pièce jointe ou un lien pour voir l'URL que vous pointez sans cliquer.

Rôle organisationnel

Voici quelques précautions que vous pouvez prendre en tant qu'utilisateur. Cependant, pour gérer plus efficacement le phishing, les organisations de toutes sortes ont encore de grandes responsabilités. Sivan Nir est le chef de l'équipe de renseignement sur les menaces de Skybox Security, qui peut commencer par mettre à niveau les systèmes informatiques hérités vulnérables vers les derniers systèmes mis à jour.

Selon un rapport du NCSC 2019, plus de 318 réseaux publics fonctionnent sous Windows XP malgré la fin du support de Microsoft en 2014. Les attaques de phishing sont rarement observées avec les entreprises qui s'appuient sur des logiciels "hérités" et des cybercriminels pour modifier les logiciels malveillants utilisant l'IA et le ML. Les yeux de l'entreprise et bien plus destructeurs.

Stolfo dit que la plupart des pêcheurs utilisent le grattage Web pour imiter des domaines légitimes. Les webmasters vous recommandent d'inclure le code dans le site Web d'origine afin de pouvoir suivre et détecter si le site Web a été mis au rebut à l'aide du code inclus dans le site Web. Le code recueille ensuite des informations sur le pirate, telles que l'emplacement géographique, ce qui déclenchera une alerte et aidera à suivre la cause du problème.

Bien que ces mesures soient importantes pour que les entreprises améliorent leur résilience aux attaques de phishing, elles ne peuvent pas remplacer la sensibilisation des utilisateurs comme la stratégie préventive la plus efficace pour lutter contre le phishing. Plus fondamentalement, le phishing est essentiellement une astuce de confiance sophistiquée.

Par conséquent, les utilisateurs qui sont rapidement conscients des tendances actuelles du phishing sont bien meilleurs pour identifier les attaques de phishing. Par conséquent, vous pouvez éviter cela avec juste la bonne identification. L'équipe Packet Lab dit:

La tendance du phishing sera 2020 et se manifestera. Comme le phishing est un moyen beaucoup plus simple pour les attaquants et les pirates d'atteindre leurs objectifs, comme le célèbre créateur de logiciels malveillants Marcus Hutchins l'a déjà pris, la technique de retournement et de création de logiciels malveillants de bas niveau a commencé à devenir un art perdu. Packetlabs le sait bien et inclut une campagne de phishing dans le cadre de son évaluation pour accroître la sensibilisation à la cybersécurité et enseigner aux employés comment éviter et éviter le phishing.

Le dernier mot

Selon tous les points de données existants et les estimations futures, la menace du phishing, le chemin d'attaque le plus utilisé, demeure. En fait, le phishing en tant que technologie évolue rapidement vers un niveau de sophistication plus élevé, tirant parti de la puissance de l'intelligence artificielle.

Si cela ne suffit pas à la panique autour du virus corona, les prochaines élections américaines et d'autres événements importants exacerberont la menace en proposant une campagne de phishing astucieuse dans un environnement parfait qui prospère et séduit les individus de toutes les manières. Le niveau d'organisation est similaire.

Malgré la gravité de la situation actuelle, si la société dans son ensemble doit surmonter cette période difficile, la mesure la plus importante doit être calme. Mais en comparant toutes les autres préoccupations (d'une importance décisive pour leurs droits), dans quelle mesure pouvons-nous être calmes face à l'épidémie mondiale?

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *