Comment se déroulent les attaques

Un seul e-mail suspect n’est pas « l’attaque ». Il s’agit généralement de la première d’une série d’étapes franchies par un adversaire, chacune ayant son propre objectif, depuis l’entrée jusqu’à la sortie avec quelque chose de précieux. MITRE ATT&CK, une base de connaissances utilisée dans le secteur de la sécurité, nomme ces étapes « tactiques » : comme le dit sa propre référence pour la première, « l’adversaire essaie d’entrer dans votre réseau ». Voir la séquence entière permet de repérer plus facilement où une seule bonne habitude peut briser la chaîne.

Le cycle de vie, une étape à la fois

1. Accès initial. L'adversaire a besoin d'un moyen d'entrer. Pour les personnes plutôt que pour les grands réseaux, il s'agit presque toujours de phishing : un message, un SMS ou un appel conçu pour vous inciter à cliquer, à répondre ou à installer quelque chose.
2. Exécution. Quelque chose que l'adversaire contrôle s'exécute désormais sur votre appareil ou votre compte : une pièce jointe nuisible ouverte, une fausse mise à jour installée, un script exécuté parce que vous avez approuvé une invite d'autorisation sans la lire.
3. Persistance. L'adversaire s'arrange pour conserver l'accès même après que vous avez fermé l'application, redémarré le téléphone ou modifié un mot de passe : une deuxième application avec un identifiant valide, une règle de transfert discrètement ajoutée à votre boîte de réception, un e-mail de récupération modifié.
4. Accès aux informations d'identification. L’adversaire, selon les termes d’ATT&CK, « essaie de voler des noms de compte et des mots de passe » – souvent en réutilisant un mot de passe divulgué suite à une violation sans rapport, ou en le demandant simplement via une fausse page de connexion convaincante.
5. Collecte et exfiltration. L’adversaire rassemble ce qu’il veut (documents, contacts, historique des messages) et le déplace vers un endroit qu’il contrôle.
6. Impact. Le but final est utilisé : publier vos données, vous extorquer, usurper votre identité pour atteindre les personnes que vous connaissez, ou remettre ce qui a été collecté à celui qui a ordonné l'opération.

Le phishing : reste le moyen le plus courant

Les conseils de la CISA sur le phishing expliquent pourquoi la première étape fonctionne si souvent : les attaquants utilisent un « langage urgent ou émotionnellement attrayant » et se font passer pour des organisations en qui vous avez déjà confiance, vous poussant à agir avant de réfléchir. Il note également que s’appuyer sur la détection d’une mauvaise grammaire ne fonctionne plus, car les attaquants écrivent de plus en plus de messages convaincants. Son conseil tient en trois mots : reconnaissez la tactique de pression, résistez à cliquer ou à répondre, et supprimez ou signalez via les propres outils de votre fournisseur de messagerie plutôt que le lien de « désabonnement » du message.

Le vol d’identifiants nécessite rarement une effraction

La plupart des piratages de comptes n’impliquent pas de briser le cryptage. Il s’agit d’un mot de passe qui a déjà été exposé lors d’une violation sans rapport et réutilisé, ou d’une fausse page de connexion qui semble identique à la vraie et vous demande simplement d’y saisir votre mot de passe. Une fois qu’un adversaire dispose d’informations d’identification valides, les systèmes conçus pour empêcher les intrus d’entrer le traitent souvent comme un utilisateur légitime. C’est pourquoi le point de la leçon suivante sur les contrôles proportionnés – et, dans le cours de cryptographie, sur les méthodes de connexion résistantes au phishing – est aussi important que n’importe quel outil individuel.

Applications nuisibles et fausses mises à jour

L'étape « d'exécution » arrive souvent déguisée en quelque chose d'ordinaire : une application de messagerie promue en dehors d'une boutique officielle, une « mise à jour requise » envoyée par e-mail au lieu de l'appareil lui-même, ou un outil d'apparence légitime qui demande beaucoup plus d'autorisations à l'appareil que ce dont son objectif déclaré a besoin. Examiner ce qu'une application peut réellement voir et faire (contacts, emplacement, microphone, fichiers) avant de l'installer répond directement à cette étape, et la réexaminer périodiquement détecte les applications qui en demandent discrètement plus tard.

Pourquoi la vision du cycle de vie est importante

Aucun contrôle n’arrête chaque étape. Un gestionnaire de mots de passe bien choisi affaiblit l’accès aux identifiants. La révision des autorisations des applications affaiblit l’exécution. L'authentification multifacteur (abordée dans le cours de cryptographie) affaiblit à la fois l'accès initial et la persistance. La leçon suivante transforme cela en un processus reproductible : identifier ce que vous avez réellement à perdre, laquelle de ces étapes est la plus susceptible de vous nuire, et adapter vos efforts à cela, plutôt que d'essayer de vous défendre contre tout en même temps.