Phishing, signification et repérage

Cette entrée du glossaire anti-hack se concentre sur la signification précise du terme, ses variantes documentées et les signaux qui permettent de repérer une attaque en cours. Elle renvoie vers les fiches complémentaires du site :

• Phishing expliqué : la fiche méthodologique qui détaille le déroulé technique d'une campagne type.
• Malware, définition et exemples : la famille de programmes hostiles que le phishing transporte souvent comme payload.
• MalwareBazaar, la base de spécimens : le dépôt public de Cisco Talos où l'on peut examiner les échantillons collectés.
• Hacker les jeux, le terme en clair : le dérivé du mot « hacker » tel qu'il s'est imposé dans l'usage courant autour des tricheries en ligne.

Origine et signification du terme

La signification du mot « phishing » remonte aux années 1990, où des usagers de forums IRC en utilisaient le néologisme pour désigner le vol de comptes Internet par imitation des messages des administrateurs. Le terme dérive de « fishing » (la pêche) : l'attaquant jette un appât dans un canal de communication pour accrocher des victimes qui n'ont pas les moyens de vérifier la ligne. En 2004, l'industrie a étendu la définition aux campagnes d'e-mails de masse, puis aux appels téléphoniques (vishing) et aux messages SMS (smishing), sans changer le mécanisme de base.

La signification technique retenue par les CERT nationaux couvre trois ingrédients indissociables : une usurpation d'identité, un canal non sécurisé et un objectif d'extraction. Un simple e-mail d'information ne suffit pas ; il faut la combinaison des 3 éléments pour qualifier l'acte de phishing au sens strict.

Types documentés et variantes

Le tableau ci-dessous recense les 7 variantes les plus répandues, classées par canal d'abord puis par objectif, afin de montrer que chaque type de phishing partage la même structure d'appât mais change de support.

Chaque type conserve la signature d'un appât : l'urgence, la promesse d'un gain ou la menace d'une action négative. Le spear phishing se distingue par un travail de veille préalable de 2 à 4 semaines sur sa cible, tandis que le whale phishing mobilise souvent un faux courrier postal et un contact téléphonique pour contourner les filtres électroniques.

Signaux de reconnaissance

Repérer un phishing repose sur la confrontation de 9 signaux objectifs, listés ci-dessous, que chaque utilisateur peut vérifier en moins de 30 secondes sans outil spécialisé.

• Adresse expéditrice dont le domaine diverge du domaine officiel d'un seul caractère (phishing.com au lieu de banking.com)
• Demande immédiate : le message impose une réponse avant une échéance de 24 h
• Lien affiché qui ne correspond pas à l'URL réelle au survol de la souris
• Absence d'authentification par un code à usage unique (OTP) pour toute demande de données sensibles
• Qualification trop générale (« cher client ») sur un canal censé être personnalisé
• Formulaire de connexion sans le certificat HTTPS (icône de cadenas absente)
• Présence d'erreurs typographiques ou de syntaxe incohérente avec le registre de l'organisme
• Pièce jointe exécutables (.exe, .scr, .vbs) déguisée en facture ou document PDF
• Référence à un compte ou une transaction inexistante dans l'historique de la victime

Un seul de ces 9 signaux suffit à déclencher la mise en quarantaine du message ; la co-occurrence de 2 signaux ou plus porte le taux de vrais positifs au-delà de 95 % selon les analyses des boîtes mail d'entreprise publiées en 2023.

Le phishing dans la chaîne d'attaque

Dans la chaîne d'attaque, le phishing occupe le premier maillon d'intrusion : il fournit l'accès initial que les étapes suivantes amplifient. Les 4 phases qui suivent un accès réussi par phishing sont, dans l'ordre : l'établissement d'une présence persistante, l'élévation de privilèges, la latéralisation sur le réseau et l'exfiltration de données.

Le payload transporté par le phishing est le plus souvent un malware de reconnaissance, un infostealer ou un ransomware. La distinction entre phishing « pur » (extraction directe de credentials) et phishing « vecteur » (délivrance d'un exécutable) conditionne la durée de détection : les campagnes d'extraction se terminent en quelques heures, tandis que les implants laissés par un payload peuvent demeurer actifs 6 mois ou plus avant leur détection par un SIEM.

Défenses de premier niveau

Face au phishing, les 5 défenses de premier niveau qui réduisent le taux de succès des campagnes sont les suivantes : la vérification systématique de l'adresse expéditrice, l'utilisation d'une authentification à 2 facteurs par application dédiée plutôt que par SMS, la désactivation de l'exécution des macros Office par défaut, la mise à jour hebdomadaire des navigateurs et la formation semestrielle des employés aux 9 signaux listés ci-dessus.

Un filtre anti-spam bien réglé intercepte 70 % à 90 % des messages de phishing génériques, mais son taux de protection chute nettement face au spear phishing, car celui-ci exploite un contexte réel. La défense efficace combine donc un filtrage technique et une vigilance humaine formée : c'est la conjugaison des deux qui ramène le taux de clic sur un appât en entreprise à moins de 2 % après 2 cycles de formation, contre 10 à 15 % avant toute intervention.

La signification opérationnelle du phishing pour l'anti-hack, c'est qu'il ne s'agit pas d'un simple spam amélioré mais d'une technique sociale dont la réussite ne dépend pas de la sophistication technique de l'attaquant. Comprendre les 7 types, vérifier les 9 signaux et appliquer les 5 défenses de premier niveau constitue le socle sur lequel reposent toutes les protections avancées du site.