Phishing : le chiffrement s'invite dans les liens malicieux

Sébastien Goutal, responsable de la R&D de Vade Retro

Le phishing est une menace majeure, qui accroît de manière importante la méfiance d'un nombre croissant d'internautes dans leur utilisation d'Internet, notamment dans le cadre d'opérations sensibles telles que les opérations bancaires et le commerce électronique. Cette méfiance freine grandement le développement d'Internet en tant qu'espace de confiance et de sécurité. En réponse à ce problème, des efforts importants sont menés au quotidien par les principaux acteurs de l'écosystème numérique : généralisation des moyens de protection tant au niveau des messageries électroniques que des navigateurs, information et éducation des utilisateurs - menées en particulier par les marques dont la réputation est ternie par le phishing. Toutefois, en dépit de tous ces efforts, on constate une pérennisation - ainsi qu'une évolution - de cette menace.

En effet, d'une part, le spectre des marques concernées par le phishing s'est considérablement élargi. Il y a quelques années, un nombre relativement limité de marques était confronté à cette menace, au premier rang desquels on pourra citer PayPal, Apple ainsi que les grandes banques et les principaux services de messagerie. Dorénavant, tous les acteurs de l'écosystème numérique sont concernés : la totalité des banques - et même des banques de dimension régionale - les sites de commerce électronique, les services publics, les réseaux sociaux. Cet élargissement du spectre pose un nouveau défi, car d'une part cela rend la tâche de protection de l'utilisateur plus complexe, et d'autre part cela crée un climat d'insécurité numérique permanent.

D'autre part, on constate que les phishers utilisent des techniques de plus en plus sophistiquées pour contourner les mécanismes de filtrage mis en place pour protéger l'utilisateur. L'une de ces techniques consiste à encoder ou à chiffrer le contenu de la page, pour rendre son analyse par des systèmes automatisés plus complexe et plus coûteuse.

Continuer à éduquer les utilisateurs

Par exemple, une proportion importante de pages de phishing ont leur contenu encodé en percent encoding : le contenu de la page est alors décodé à la volée en Javascript par le navigateur du client par l'intermédiaire de la fonction unescape, ce qui n'affecte en rien l'expérience utilisateur.

Le phishing est une menace particulièrement pernicieuse et par conséquent difficile à combattre, qui nécessite une vigilance de tous les instants. A ce titre, il est particulièrement important de continuer à informer et à éduquer les utilisateurs, car la réponse à cette menace ne peut pas être que technologique. En particulier, l'application de quelques règles simples permet de réduire considérablement les risques : l'utilisateur doit d'une part, toujours vérifier l'identité d'un site web dès lors que des informations critiques sont échangées, et d'autre part, s'assurer qu'une communication chiffrée est utilisée.

A noter que les acteurs du monde numérique collaborent pour lutter contre cette menace, avec des projets tels que APWG (Anti-Phishing Working Group), Phishing Initiative ou encore isitphishing.org. Ce dernier permet d'ailleurs à l'utilisateur de s'assurer de l'innocuité d'une URL.

A lire aussi :
5 questions pour comprendre le déchiffrement SSL

crédit photo © wk1003mike / Shutterstock