SMiShing (Phishing par SMS)

25 août 2006
Une information du McAfee Avert Labs

Quelques utilisateurs de téléphone portables ont commencé à recevoir des messages de type SMS contenant (en anglais) ces lignes : « Nous vous confirmons votre inscription à notre service. Vous serez débité de 2 dollars par jour à moins que vous n'annuliez votre ordre sur www.smishinglink.com (ceci est un exemple et n'est pas une véritable URL au moment de l’écriture de ce papier) .

Ce phénomène, nommé " SMiShing " par McAfee (phishing par l'intermédiaire de SMS), est encore un nouvel indicateur que les téléphones cellulaires et les dispositifs mobiles deviennent de plus en plus employés par des faiseurs de parasites, virus et autres attaques.

Alors que peu d’utilisateurs sont capables d’assimiler ceci à une fraude, la plupart seront crédules. Affolés à l’idée de voir leurs factures de téléphone cellulaire s’envoler, ils visitent alors le site Web mis en avant dans le message et le piège se referme. Une fois arrivés sur le site, ils sont incités à télécharger un programme qui s’avère être un cheval de Troie (un trojan) qui transforme leurs ordinateurs en zombies permettant leur prise de contrôle à distance par des intrus. L'ordinateur devient alors partie d'un réseau de robots (BOT) qui peut alors être employé pour lancer des attaques en déni de service, pour y installer un logiciel capteur de frappes au clavier (keylogger) afin de voler les informations personnelles des comptes financiers et commettre d'autres activités malveillantes. La surveillance de l'activité des réseaux de robots étant complexe, il est difficile de connaître l’étendue actuelle du problème.

Imaginez la menace pesant sur les réseaux d’entreprises une fois que les pirates auront appris comment exploiter à fond les techniques de SmiShing. La plupart des grandes entreprises ont des milliers d'employés utilisant une grande variété de dispositifs pour accéder à leurs réseaux. En dépit de tous leurs efforts de publications de directives sûres les directions de la sécurité des services informatiques ne peuvent contrôler les comportements humains en particulier à la lumière du fait que les utilisateurs de téléphones mobiles n’ont pas (encore) appris à traiter leurs téléphones avec le même niveau d’attention que leur ordinateur portable. Les dispositifs mobiles présentent un sérieux défi à la sécurité des données, avec le double potentiel d’infecter le réseau privé et le réseau d’entreprise du porteur.

Il serait sage de garder un oeil ouvert sur cette question et réfléchir à des protocoles pour sécuriser les dispositifs mobiles par anticipation, plutôt que de courir après une fois frappé, et commencez à instruire les employés dès maintenant à propos des risques potentiels.

Tout ceci relève des attaques par « ingénierie sociale » comme le spam nigérian, le phishing, le Vishing.

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com