Votée en première lecture à l’Assemblée nationale lundi, la proposition de loi interdisant l’accès aux réseaux sociaux aux moins de 15 ans a reçu l’aval de Bruxelles. Inspiré par l’exemple australien, le texte ouvre toutefois un chantier technique et politique complexe, entre promesses de protection et limites concrètes de la vérification d’âge. L’Australie fait figure de laboratoire. La France peut légalement instaurer une « majorité numérique » interdisant les réseaux sociaux aux moins de 15 ans. La confirmation est venue de la Commission européenne, au lendemain de l’adoption en première lecture, dans la nuit de lundi à mardi, d’une proposition de loi soutenue par le gouvernement et le chef de l’État. Pour Bruxelles, le principe est clair : les États membres peuvent légiférer, à condition de rester dans le cadre du droit européen. Il reviendra ensuite à la Commission de veiller à ce que les grandes plateformes appliquent effectivement la règle. À Paris, l’exécutif veut avancer...
Les attaques par hameçonnage vocal (vishing ou voice phishing) ont augmenté de près de 550 % au cours des douze derniers mois (T1 2022 à T1 2021), selon le dernier rapport trimestriel sur les tendances en matière de menaces d'Agari et de PhishLabs, deux sociétés intégrées au portefeuille cybersécurité de HelpSystems.
Au cours du premier trimestre 2022, Agari et PhishLabs ont détecté et contré des centaines de milliers d'attaques de phishing en provenance des réseaux sociaux, messageries électroniques et du dark web ciblant un large éventail d'entreprises et de marques. Ce rapport analyse les principales tendances du paysage des menaces actuel.
Les attaques par vishing dépassent la compromission des e-mails
Depuis le troisième trimestre 2021, les attaques par vishing ont dépassé la compromission des e-mails professionnels, se positionnant comme deuxième source de menaces pesant sur les systèmes de messagerie électronique. À la fin de l'année, ces dernières représentaient plus d'une menace sur quatre, et cette tendance s'est poursuivie au premier trimestre 2022.
« Les campagnes de vishing hybride continuent de générer des chiffres stupéfiants, puisqu'elles constituent 26,1 % du volume total des attaques enregistrées jusqu'à présent en 2022 », indique John LaCour, stratège principal chez HelpSystems. « On assiste à une multiplication des acteurs de la menace qui délaissent les campagnes de phishing vocal standards pour lancer des attaques par e-mail malveillant en plusieurs étapes. Au cours de ces attaques, les hackers se servent d'un numéro de rappel inséré dans le corps de l'e-mail comme appât, puis s'appuient sur l'ingénierie sociale et l'usurpation d'identité pour inciter la victime à appeler et à interagir avec un faux représentant. »
Autres enseignements de ce rapport :
- Les attaques par usurpation d'identité sur les réseaux sociaux sont en hausse. Depuis le deuxième trimestre 2021, le volume des usurpations d'identité ciblant les marques a bondi de 339 % et celui des usurpations d'identité de dirigeants de 273 %. D'après les résultats, les marques constituent des cibles faciles pour les cyber criminels, surtout lorsqu'elles sont associées à des opérations de contrefaçon de produits vendus au détail. Cependant, pour certaines attaques ciblées, des comptes sociaux de dirigeants sont utilisés pour renforcer le réalisme.
- Les escroqueries par e-mail dont l'objectif est le vol d'identifiants restent le type de menaces par messagerie électronique le plus courant signalé par les collaborateurs, à hauteur de près de 59 % de tous les typologies de menaces rencontrées. Les vols d'identités ont augmenté de 6,9 % en volume par rapport au quatrième trimestre 2021.
- Le paysage des malware est en constante évolution. Qbot a été une fois de plus le malware le plus usité par les acteurs de la menace pour servir leurs attaques par ransomware, mais Emotet a refait surface au premier trimestre prenant la première place du podium.
- Alors que près de la moitié des sites d'hameçonnage s'appuient sur un outil ou un service gratuit, le premier trimestre 2022 a été le premier de cinq trimestres consécutifs où les services payants ou compromis (52 %) ont dépassé les solutions gratuites pour les mises en scène des sites de phishing.
« Comme la diversité des canaux numériques utilisés par les entreprises pour conduire leurs activités et communiquer avec les consommateurs se développe, les hackers disposent de multiples vecteurs pour conduire leurs exactions », ajoute John LaCour. « La plupart des attaques ne démarrent pas de zéro ; elles reposent sur la refonte de tactiques traditionnelles et l'intégration de multiples plateformes. Pour continuer à se protéger, les entreprises ne doivent plus uniquement se concentrer sur une protection périmétrique mais augmenter leur visibilité sur différents canaux externes, afin de recueillir des renseignements et de surveiller les menaces de manière proactive. En outre, les équipes de sécurité doivent investir dans des partenariats qui garantiront la prévention rapide et complète des attaques avant qu'elles n'entraînent des préjudices financiers et des atteintes à la réputation. »