Qu'est ce que le smishing ?
Vous connaissez sûrement le phishing, cette cyberattaque qui arrive par email. Il existe la même chose, mais directement sur votre téléphone. C’est ce qu’on appelle le smishing, un mot créé par la fusion des termes « SMS » et « phishing ». C’est une technique d’ingénierie sociale qui joue sur la confiance humaine pour vous inciter à partager des informations sensibles.
Le smishing n’est pas limité aux simples messages texte. Il peut se cacher dans n’importe quelle application de messagerie mobile, qu’elle soit basée sur SMS ou sur internet. C’est une menace pour la sécurité de votre téléphone, en particulier à l’heure où nos smartphones sont de plus en plus utilisés pour le travail.
Comment fonctionne une attaque de smishing ?
Un grand nombre de plateformes en ligne ont déjà subi des fuites de données massives. Par conséquent, il est fort probable que votre numéro de téléphone soit déjà entre les mains de cybercriminels, ce qui simplifie grandement leur travail. Tout commence alors par un simple message. Un cybercriminel met la main sur votre numéro et vous envoie un SMS qui semble venir d’une source fiable, comme votre banque, un service de livraison, ou même un collègue.
Ce message joue sur l’urgence : un problème sur votre compte, une livraison en attente, ou une récompense à réclamer. On vous pousse à agir vite, sans réfléchir, en cliquant sur un lien ou en appelant un numéro.
Une fois que vous tombez dans le piège, deux scénarios sont possibles :
-
Le site web malveillant : le lien vous redirige vers un faux site, une copie parfaite de celui de votre banque par exemple. On vous demande d’y saisir vos identifiants ou vos informations personnelles.
-
Le logiciel malveillant (malware) : le lien vous incite à télécharger une application qui paraît sûr, sur votre téléphone. Mais le problème, c’est que dans cette application se cache un logiciel espion. Celui-ci peut voler vos données, surveiller vos activités ou prendre le contrôle de l’appareil.
Le smishing est particulièrement efficace, car nous avons tendance à faire plus confiance aux messages que nous recevons sur nos téléphones. En outre, nous les consultons souvent de manière rapide, ce qui nous rend plus vulnérables.
Mais le smishing ne s’arrête pas là. Il est souvent la première étape d’une stratégie d’attaque plus élaborée. En dérobant quelques informations personnelles via un simple SMS, les cybercriminels construisent un profil de leur cible. Ces données leur permettent d’instaurer une fausse confiance lors de campagnes de vishing (hameçonnage vocal) ou de phishing ultérieures, rendant l’escroquerie bien plus crédible et difficile à détecter.
Trois exemples concrets de smishing
Les cybercriminels sont créatifs et utilisent des scénarios bien rodés. Voici les trois types d’attaques de smishing les plus courants :
-
Le vol de mot de passe : l’attaquant vous envoie un lien vers un faux site bancaire en prétextant un problème urgent. Vous saisissez vos identifiants pour vérifier, et ils sont immédiatement volés. Les techniques d’attaque par interception (AiTM, Adversary-in-the-Middle) peuvent également être utilisées pour intercepter un jeton de session pendant le processus d’authentification, ce qui permet de contourner les systèmes de double authentification (MFA) et d’accéder à votre compte sans avoir besoin de vos identifiants.
-
L’arnaque financière : un message vous propose une opportunité en or en échange d’un petit versement initial. Le but est de vous convaincre de faire un virement sous un faux prétexte.
-
L’installation de malware : fréquent sur Android, ce type d’attaque vous incite à télécharger une fausse application. Une fois installée, elle permet au cyberattaquant de vous espionner et de voler vos données. Il est donc crucial de toujours télécharger vos applications depuis les boutiques officielles.
Comment se protéger du smishing ?
Face à cette menace omniprésente, il est possible de se défendre. Que vous soyez un particulier ou une entreprise, des gestes simples peuvent faire toute la différence.
Pour les particuliers
-
Vérifiez l’expéditeur : un message étrange ou mal écrit, venant d’un numéro inconnu, est un premier signe d’alerte.
-
Ne cliquez pas : n’ouvrez jamais un lien reçu par SMS si vous n’êtes pas certain de sa provenance.
-
Vérifiez par vous-même : si le message prétend venir de votre banque ou d’un service client, appelez-les directement via le numéro officiel de leur site web. Ne composez jamais celui indiqué dans le SMS.
-
Restez vigilant : ne communiquez jamais vos informations confidentielles (mot de passe, numéro de carte) par message.
-
Utilisez une carte eSIM virtuelle : pour vos inscriptions sur des plateformes tierces comme Leboncoin ou Facebook, utilisez une carte eSIM virtuelle avec un numéro dédié. Cela vous permettra de recevoir les codes de vérification et les notifications sur une ligne qui n’est pas votre numéro personnel. En cas de fuite de données de la plateforme, seul le numéro virtuel sera compromis, protégeant ainsi votre numéro principal.
Pour les entreprises
-
Formez vos équipes : mettez en place une formation de cybersécurité pour sensibiliser vos employés aux dernières menaces.
-
Activez la double authentification (MFA) : c’est une barrière de sécurité indispensable. Même si un pirate obtient un mot de passe, il ne pourra pas se connecter sans une seconde vérification.
-
Utilisez une solution de gestion des appareils mobiles (MDM) : un MDM vous permet de contrôler et de gérer les mises à jour et les correctifs de sécurité de l’ensemble de votre flotte de téléphones mobiles.
-
Surveillez votre réseau : utilisez une solution de sécurité comme la détection et la réponse gérées (MDR) afin de repérer et de bloquer les comportements suspects avant qu’ils ne causent des dommages. Mettez également en place des politiques d’accès conditionnel basées, par exemple, sur la géolocalisation de la connexion ou la conformité de l’appareil source.
Smishing vs. Phishing : quelle différence ?
En réalité, le smishing est une variante du phishing. Le but est le même, les cyberattaquants vous trompent pour vous voler des informations. Seul le mode de communication change. Le phishing utilise principalement les emails, tandis que le smishing se concentre sur les SMS et les applications de messagerie. Il existe aussi le vishing, qui utilise les appels téléphoniques.
