Comment faciliter la détection des courriels d’hameçonnage ?

Nos experts en sécurité ont défini des pratiques techniques et l’une d’entre elles se concentre sur une approche centrée sur l’humain afin de réduire l’exposition aux attaques de phishing. Alice, notre experte, va plus loin en cherchant d’autres moyens de faciliter la détection des courriels d’hameçonnage, car elle sait que les humains ont des ressources et une énergie limitées lorsqu’il s’agit de détecter des menaces.

Pour en savoir plus, consultez notre quatrième chapitre intitulé « Facilité d’utilisation et autres moyens de faciliter la détection ».

Un article écrit par Emmanuel Nicaise, notre expert en cybersécurité centrée sur l’humain.

Facilité d’utilisation et autres moyens de faciliter la détection des courriels d’hameçonnage

Alice a reçu de nombreux commentaires positifs de la part des entreprises à propos de la formation. Elle est efficace et ne prend pas beaucoup de temps. Ils l’apprécient. Cependant, certains utilisateurs sont déconcertés. Ils ont du mal à reconnaître certains courriels de phishing. Les ressources et l’énergie d’un être humain sont limitées. Alice préfère les consacrer à des tâches liées à l’activité de l’entreprise plutôt qu’à la sécurité. En outre, plus une tâche est facile, moins la motivation est importante. Elle a prévu une réunion avec l’expert pour trouver une solution.

• Pourquoi est-il si difficile pour certains utilisateurs de repérer un courriel de phishing ?

• Il peut y avoir de nombreuses raisons. L’homme n’est pas une machine. Nous avons tous une façon différente de voir les choses, de faire les choses. Et, pour la plupart des utilisateurs, la sécurité n’est pas leur principale préoccupation. Nous devons faire en sorte qu’il soit facile de voir quand ils doivent se méfier.

• Comment pouvons-nous le faire ?

• Tout d’abord, je travaillerais sur l’absence de modèle.

• Que voulez-vous dire par là ?

1. Modèles et toxicité

• Notre cerveau est un système unique de reconnaissance des formes. Lorsque je prononce la séquence « 2, 4, 8… », le chiffre 16 vous vient probablement déjà à l’esprit. Vous avez reconnu le modèle. Ainsi, lorsque tous les courriels envoyés par nos collègues se terminent par le même nom de domaine (comme @a.com), nous créons un modèle, une règle, dans notre esprit, en associant ce modèle à un groupe en qui nous avons confiance.

• Oui, c’est logique.

• Dans le même temps, nous percevrons tout autre modèle comme moins digne de confiance. Nous considérerons qu’il provient de l’extérieur de notre groupe. C’est pourquoi nous demandons à nos utilisateurs de vérifier le nom de domaine de l’expéditeur.

• Qu’y a-t-il de mal à cela ?

• Rien ! Sauf que le monde évolue et que cette simple demande pourrait ne plus être aussi facile à réaliser. Aujourd’hui, avec la cloudification, A.com fait appel à de nombreux tiers externes pour fournir des services internes tels que le Service Desks, la formation, les ressources humaines, les feuilles de temps, etc. Chacun de ces services envoie des courriels à nos utilisateurs en utilisant leur domaine (comme ticket@myservicedesksoftware.com ou noreply@mycloudsoftwaresolution.com). Il devient difficile pour le cerveau humain de reconnaître un modèle clair. Par conséquent, lorsque des pirates envoient un courriel en utilisant un domaine apparemment légitime comme helpdesk@itdepartment.xyz, cela ne déclenche pas la vigilance à laquelle nous pourrions nous attendre. Cette incohérence devient toxique pour notre sécurité car elle empêche nos utilisateurs de différencier les courriels suspects des courriels légitimes. De plus, elle peut créer une paranoïa inutile chez certaines personnes, car nous avons tendance à nous sentir mal à l’aise lorsque nous ne reconnaissons pas un modèle.

• D’ACCORD. Je comprends. Que devrions-nous faire alors ?

• La meilleure solution est probablement de demander à nos fournisseurs de SaaS d’envoyer des courriels en utilisant un sous-domaine du nôtre (comme info@provider1.a.com). Nos utilisateurs pourront à nouveau trouver un modèle.

• JE VAIS MODIFIER NOTRE POLITIQUE ET DEMANDER AUX SERVICES D’APPROVISIONNEMENT DE CONTACTER NOS FOURNISSEURS. Je vais modifier notre politique et demander aux achats de contacter nos fournisseurs. Que faire d’autre ?

2. Client de messagerie

• Nous pouvons faciliter la détection des courriels suspects en configurant ou en améliorant les interfaces utilisateur de nos clients de messagerie. Ils pourront ainsi facilement repérer les courriels suspects avec des connaissances techniques et des efforts limités. Nous avons déjà commencé à travailler sur ce sujet :

  • Nous avons amélioré le client de messagerie pour que le domaine de l’expéditeur soit visible dans la liste des courriels. Nous utilisons une formule pour n’afficher l’adresse électronique que si elle est externe à notre organisation et non fiable.
  • Nous avons ajouté une bannière dans le corps du message (en haut). Elle informe l’utilisateur que cet e-mail provient d’un expéditeur externe à notre organisation. Nous l’avons fait ressortir, en rouge et en gras. Nous travaillons sur la manière de la varier chaque mois afin d’éviter l’accoutumance.
  • Mettez en évidence les courriels provenant d’une source externe en caractères gras rouges dans la liste des courriels.
  • Nous recherchons un système qui classe les courriers électroniques en fonction de leur niveau de menace : les courriers électroniques internes dans un dossier, les courriers électroniques externes provenant d’une source connue et fiable dans un deuxième dossier et un troisième dossier pour les courriers électroniques provenant d’une source externe non fiable.
  • Nous avons également configuré un système pour afficher un avertissement lorsque nous cliquons sur un lien dans un courriel provenant d’une source non fiable. L’utilisateur doit confirmer l’action avant que le client n’ouvre définitivement l’URL ou la pièce jointe.

• D’ACCORD. Il ne semble pas qu’il s’agisse de changements majeurs, mais je suppose que cela fait une différence.

• En effet, c’est le cas. Toutes les réactions ont été très positives. De plus, cela change la façon dont les gens perçoivent les équipes de sécurité. Elles sont perçues comme des facilitateurs, des catalyseurs d’activités, et non comme des personnes qui blâment les autres en permanence.

• Avez-vous mis en œuvre ces mesures dans tous les environnements ?

• Oui, nous avons veillé à la cohérence de ces fonctionnalités dans tous les environnements disponibles : PC, Mac, ordinateur de bureau et appareils mobiles.

3. Navigateur web

• Pouvons-nous faire autre chose ?

• Les courriels d’hameçonnage contiennent souvent des liens vers des sites web malveillants utilisés pour télécharger une charge utile. Parfois, ils incitent l’utilisateur à donner ses identifiants ou d’autres données sensibles.

• Oui, mais nos navigateurs web mettent en évidence le nom de domaine et affichent un cadenas lorsque le protocole HTTPS est utilisé.

• C’est vrai, mais les gens ne le remarquent plus.

• L’accoutumance, encore ?

• Oui. Nous travaillons sur une alerte pour avertir l’utilisateur lorsque le site web utilise HTTP. Cela devrait contribuer à accroître la vigilance. Il n’en reste pas moins que 80 % des sites de phishing utilisent aujourd’hui HTTPS.

• C’EST UNE BONNE CHOSE. Ce n’est donc pas la panacée.

• Non, ce n’est pas le cas. Le changement le plus efficace que nous ayons mis en œuvre concerne probablement le filtre web. Nous avons modifié les paramètres pour bloquer les sites web non classés. De nos jours, les sites web utilisés pour les campagnes de phishing existent pendant 8 à 24 heures avant de disparaître. Nous ne pouvons pas nous attendre à ce qu’ils soient signalés comme malveillants avant que l’attaque ne nous atteigne. Nous devons bloquer la plupart des sites par défaut et autoriser l’accès à tous les serveurs légitimes identifiés.

• Mais les gens se plaindront s’ils ne peuvent pas accéder à un site web dont ils ont besoin pour leur travail.

• C’est pourquoi nous avons mis en place un processus souple permettant de classer manuellement un site web en cas d’urgence. Les équipes de sécurité procèdent à une évaluation rapide et mettent à jour la liste si le site est suffisamment sûr.

• C’est bien, je ne recevrai pas trop de plaintes alors.

• Non, vous ne devriez pas. En outre, les ingénieurs en sécurité ont reconfiguré les passerelles de sécurité web pour détecter les formulaires demandant un mot de passe à partir de sites web inconnus. Lorsque c’est le cas, une alerte supplémentaire s’affiche sur la page web de l’utilisateur.

• C’est excellent. Alors, tout est prêt ?

• Oui, pour le moment. Voyons comment cela se passe. Si nécessaire, nous avons encore quelques cartes à jouer, comme la gamification.