La "chasse à la baleine" est une forme spécifique de phishing ciblant les dirigeants d’entreprise, les directeurs, etc. Cela diffère du phishing ordinaire en ce que, dans le cas de la chasse à la baleine, les courriers électroniques ou les pages Web servant à l’arnaque ont une apparence plus officielle ou plus sérieuse et visent généralement une personne en particulier.
Pour plus de précision, le phishing régulier sans chasse à la baleine consiste généralement à obtenir les informations de connexion de quelqu'un vers un site de réseau social ou une banque. Dans ces cas, le courrier électronique / site de phishing semble assez normal, alors que, dans le cas de la chasse à la baleine, la page est conçue pour s’adresser spécifiquement au responsable / responsable sur lequel l’attaque est dirigée.
Remarque: Le "hameçonnage" est une attaque de phishing contre une personne spécifique, comme une personne ou une entreprise. Par conséquent, la chasse à la baleine peut également être considérée comme du spear phishing.
Quel est l'objectif de la "chasse à la baleine?"
Le but est d’empêcher l’un des cadres supérieurs de divulguer des informations confidentielles sur la société. Cela se présente généralement sous la forme d'un mot de passe pour un compte confidentiel, auquel l'attaquant peut alors accéder pour obtenir plus d'informations.
Le but ultime de toutes les attaques de phishing comme la chasse à la baleine consiste à effrayer le destinataire; pour les convaincre qu'ils doivent prendre des mesures, par exemple pour éviter des frais juridiques, pour éviter un licenciement, pour empêcher la société de faire faillite, etc.
À quoi ressemble une arnaque de "chasse à la baleine"?
La chasse à la baleine, comme tout jeu de phishing, implique une page Web ou un courrier électronique qui se fait passer pour une page légitime et urgente. Ils sont conçus pour ressembler à un courrier électronique professionnel critique ou à quelque chose émanant d'une personne ayant une autorité légitime, que ce soit à l'extérieur ou même à l'intérieur de l'entreprise.
La tentative de chasse à la baleine peut ressembler à un lien vers un site Web classique que vous connaissez bien. Il vous demandera probablement vos informations de connexion, comme vous le souhaitiez. Cependant, si vous ne faites pas attention, le problème vient ensuite.
Lorsque vous essayez de soumettre vos informations dans les champs de connexion, vous êtes probablement averti que les informations étaient incorrectes et que vous devez réessayer. Aucun mal n'a été fait, non? Vous venez de saisir votre mot de passe de manière incorrecte - c'est pourtant l'arnaque!
En coulisse, lorsque vous entrez vos informations dans le faux site (qui ne peut pas vous connecter car elles ne sont pas réelles), les informations que vous avez entrées sont envoyées à l'attaquant, puis vous êtes redirigé vers le vrai site web. Vous essayez à nouveau votre mot de passe et ça marche très bien.
À ce stade, vous ne savez pas que la page était fausse et que quelqu'un vient de voler votre mot de passe. Cependant, l'attaquant a maintenant votre nom d'utilisateur et votre mot de passe sur le site Web auquel vous pensiez être connecté.
Au lieu d'un lien, l'arnaque par hameçonnage peut vous obliger à télécharger un programme afin de visualiser un document ou une image. Le programme, qu’il soit réel ou non, comporte également une nuance malveillante qui permet de suivre tout ce que vous tapez ou supprimez des éléments de votre ordinateur.
En quoi la «chasse à la baleine» est-elle différente des autres escroqueries par phishing?
Dans une arnaque de phishing régulière, la page Web / email peut être un faux avertissement de votre banque ou de PayPal. La page falsifiée peut effrayer la cible en affirmant que son compte a été débité ou attaqué et qu’elle doit entrer son identifiant et son mot de passe pour confirmer l’accusation ou pour vérifier son identité.
Dans le cas de la chasse à la baleine, la page Web / courriel masquante prendra une forme plus sérieuse au niveau exécutif. Le contenu sera conçu pour cibler un supérieur hiérarchique tel que le PDG ou même un superviseur pouvant attirer beaucoup d’entre eux ou avoir des informations d’identité sur des comptes précieux.
L'e-mail ou le site Web de chasse à la baleine peut prendre la forme d'une fausse assignation à comparaître, d'un faux message du FBI ou d'une sorte de plainte légale critique.
Comment me protéger des attaques de "chasse à la baleine"?
Le moyen le plus simple de vous protéger contre une arnaque à la baleine est de savoir à quoi vous cliquez. C'est vraiment aussi simple que cela. Puisque la chasse à la baleine se produit sur des courriels et des sites Web, vous pouvez éviter tous les faux liens en comprenant ce qui est réel et ce qui ne l’est pas.
Maintenant, il n'est pas toujours possible de savoir ce qui est faux. Parfois, vous recevez un nouvel email de la part de quelqu'un que vous n'avez jamais envoyé auparavant, et cette personne peut vous envoyer quelque chose qui semble tout à fait légitime.
Cependant, si vous regardez l'URL dans votre navigateur Web et assurez-vous de parcourir le site, même brièvement, pour rechercher les éléments qui semblent un peu lointains, vous pouvez considérablement réduire vos chances d'être attaqué de cette façon.
Est-ce que les cadres et les gestionnaires craquent vraiment pour ces courriels "de chasse à la baleine"?
Oui, malheureusement, les gestionnaires sont souvent victimes d’escroqueries par courriel à la baleine. Prenons l'exemple de l'escroquerie à la baleine sur les assignations à comparaître faite par le FBI en 2008.
Environ 20 000 chefs d'entreprise ont été attaqués et environ 2000 d'entre eux sont tombés sous le charme de la chasse à la baleine en cliquant sur le lien contenu dans l'e-mail. Ils croyaient qu'il téléchargerait un module complémentaire spécial du navigateur pour afficher l'intégralité de la citation à comparaître.
En réalité, le logiciel lié était un enregistreur de frappe qui enregistrait secrètement les mots de passe des PDG et les transmettait aux fraudeurs. En conséquence, chacune des 2 000 entreprises compromises a été encore plus piratée maintenant que les attaquants disposaient des informations dont ils avaient besoin.
