La chasse à la baleine est la pratique la plus récente et la plus insidieuse de l’arsenal des pirates informatiques, connue sous le nom de harponnage. Contrairement au large filet lancé par les escroqueries par hameçonnage, l’hameçonnage cible des organisations ou des individus spécifiques. Les attaquants recherchent des secrets commerciaux ou militaires, des informations financières et d’autres données confidentielles qui peuvent être exploitées à des fins lucratives. La chasse à la baleine augmente le niveau de cybermenace en ciblant les cadres supérieurs et d’autres dirigeants occupant des postes d’influence clés.

Comment fonctionne l’hameçonnage

Un stratagème d’hameçonnage se fait généralement passer pour un courriel provenant d’une source fiable, comme un service de l’entreprise ou un employé en position d’autorité. Par exemple, le personnel qui traite des données financières sensibles peut recevoir ce qui semble être une demande du service informatique lui demandant de se connecter et de réinitialiser son mot de passe. Les attaquants utilisent des logiciels malveillants ou un faux site Web pour capturer les identifiants et obtenir un accès privilégié au réseau de l’organisation.

La plupart des employés sont au courant des pourriels malveillants, et les tactiques d’hameçonnage sont devenues plus sophistiquées. Une attaque réussie dépend de la conviction de la cible de l’authenticité du message. Le courriel semble légitime et a une justification raisonnable, comme une directive du service de la paie de l’entreprise. Le message renforce la confiance en incluant des renseignements pertinents et précis qui semblent confidentiels. En réalité, ces renseignements peuvent généralement être obtenus par l’intermédiaire de sources publiques telles que les annuaires d’entreprises.

La chasse à la baleine pour harponner le gros poisson

Les données d’entreprise offrent d’importantes opportunités de profit, et les attaquants ont intensifié le jeu de l’hameçonnage pour cibler les cadres supérieurs et d’autres personnes influentes. La chasse à la baleine est la pratique consistant à poursuivre la haute direction et son accès à des renseignements sensibles. Une attaque réussie peut produire des mots de passe de direction et d’autres détails de compte qui peuvent ouvrir des disques durs d’entreprise, des réseaux et même des comptes bancaires. De plus, certaines campagnes de chasse à la baleine ciblent des informations militaires secrètes et d’autres informations gouvernementales.

La chasse à la baleine utilise les mêmes techniques que les autres attaques d’hameçonnage, mais les adapte à des destinataires spécifiques en position de haute autorité. Un courriel ciblant les PDG, par exemple, s’adresse uniquement à chaque individu. Il est bien écrit, a l’air professionnel et peut avoir le logo d’une entité familière comme le Better Business Bureau ou le FBI. L’adresse de l’expéditeur ressemble à celle d’une personne ou d’une organisation connue et peut même imiter l’adresse d’un employé ou d’un partenaire d’affaires de confiance, comme un client ou un cabinet d’avocats. Tout aussi important, la communication accroche le lecteur à une question d’affaires délicate qui nécessite une réponse immédiate.

Lancer la grosse prise

L’objet d’un courriel de chasse à la baleine concerne une question critique pour l’entreprise et qui nécessite logiquement l’intervention de la haute direction. Celles-ci prennent souvent la forme d’assignations à comparaître et d’autres actions judiciaires urgentes, de plaintes de clients VIP ou de questions de politique critique de l’entreprise. Un exemple tristement célèbre est l’attaque baleinière de 2008 qui s’est fait passer pour une assignation fédérale. Le courriel d’apparence officielle demandait aux PDG de cliquer sur un lien pour télécharger un logiciel spécial avec lequel consulter l’assignation. Sur les 20 000 destinataires estimés, environ 10% ont répondu et ont téléchargé involontairement un enregistreur de frappe qui capturait des mots de passe et d’autres données sensibles et les renvoyait aux hameçonneurs. Armés d’accès, les hameçonneurs ont lancé d’autres attaques contre ces entreprises.

Un courriel de chasse à la baleine comprend un appel à l’action pour ouvrir un fichier, télécharger une pièce jointe ou cliquer sur un lien. Ce faisant, le dirigeant libère un code intégré qui donne au pirate l’accès à des informations sensibles. Le code peut permettre à l’attaquant de contrôler à distance un ordinateur ou d’enregistrer les frappes au clavier. En cliquant sur un lien, le dirigeant accède à un faux site Web qui invite l’utilisateur à entrer des identifiants de connexion ou des détails financiers afin d’accéder à un téléchargement de documents, de services ou de logiciels. Le faux site Web est conçu pour ressembler de manière convaincante au site de l’organisation qu’il imite.

Signes avant-coureurs de la chasse à la baleine

Les communications baleinières s’attaquent aux peurs des gestionnaires afin de provoquer des actions. Les gestionnaires qui reçoivent des courriels contenant des appels à l’action urgents impliquant des données confidentielles doivent les évaluer pour détecter les signaux d’alarme :

• Le courriel nécessite un téléchargement ou une visite du site Web afin de voir un document officiel.
• L’adresse de l’expéditeur est similaire, mais pas identique à une adresse familière.
• Le courriel fait référence à une affaire urgente, comme une procédure judiciaire, dont le dirigeant n’a jamais entendu parler.
• Un site Web demandant des données personnelles n’utilise pas de cryptage. Bien que l’apparence d’un site ne soit pas un indicateur de son authenticité, le manque de cryptage est un signe de danger.
• La communication contient des renseignements soi-disant confidentiels qui sont en réalité accessibles au public.

Si le destinataire ne peut pas vérifier rapidement l’authenticité d’un courriel par l’intermédiaire de la source présumée, l’appel suivant doit être à la sécurité des TI. Il est préférable de reporter la réponse à un message urgent que de déclencher le chaos des pirates informatiques aux plus hauts niveaux d’une organisation.

En plus de piller le secteur privé, la chasse à la baleine a franchi la ligne de l’espionnage international. Comme pour l’espionnage traditionnel, les campagnes utilisent la technologie et l’ingénierie sociale pour tromper des individus clés et les inciter à révéler ce que l’attaquant veut. Les experts et les cadres en sécurité doivent s’armer des moyens d’identifier les attaques de plus en plus subtiles.