Smishing (Phishing par SMS) : Définition, exemples et moyens de prévention

La définition du smishing est claire si l'on considère la combinaison de deux mots que la plupart des gens connaissent déjà : SMS et phishing. Malheureusement, la pratique néfaste du smishing réussit à piéger d'innombrables utilisateurs et à les inciter à partager des informations sensibles avec des cyberattaquants par le biais de SMS.

En d'autres termes, une attaque par smishing se concentre sur votre smartphone ou votre tablette, de la même manière que le phishing cible votre courrier électronique. Mais comment ces attaques se produisent-elles, qu'est-ce qui les différencie des attaques de phishing classiques et comment pouvez-vous éviter de tomber dans le piège du smishing ?

Nous vous présentons ici tous les faits essentiels que vous devez connaître sur le phishing par SMS et vous expliquons comment repérer un SMS malveillant avant de communiquer des informations sensibles.

Qu'est-ce que le Smishing ? 

Le smishing fonctionne généralement de deux manières.

• Envoi d'un SMS au destinataire pour lui demander des informations sensibles.
• Envoi à un destinataire d'un message SMS contenant un lien malveillant.

Aujourd'hui, la messagerie SMS est l'une des formes de communication les plus populaires au monde. Le nombre de messages envoyés fait que les cyber-attaquants l'ont identifié comme une cible pour les attaques malveillantes contre les entreprises et les particuliers. Cela signifie que le smishing est une voie très lucrative à explorer pour les cyberattaquants.

De nombreuses personnes connaissent déjà le phishing par courrier électronique, mais avec les milliards de smartphones et de tablettes utilisés, peu sont conscients de la menace que représente l'hameçonnage. Cela s'explique souvent par le fait que le phishing par SMS est relativement nouveau et que nous avons appris à faire confiance à ce moyen de communication, nous minimisons généralement les soupçons que nous pourrions avoir quant aux dommages qu'un message texte peut causer.

En outre, les messages de smishing sont censés imiter le registre informel que nous utilisons dans ce média, afin de vous mettre suffisamment à l'aise pour que vous cliquiez sur un lien ou partagiez des informations.

En quoi le smishing diffère-t-il des attaques de phishing ? 

La principale différence entre une escroquerie par smishing et une attaque par phishing est qu'elles sont mises en œuvre sur des plates-formes différentes. Les escroqueries Phishing sont toujours envoyées par courrier électronique, qui est généralement plus sophistiqué, car il peut contenir plus d'informations trompeuses et même des liens malveillants dans les images ou le texte.

Les attaques par smishing n'en sont pas moins dangereuses, car elles profitent de notre confiance et de notre familiarité avec la plateforme et son format de réponse instantanée pour nous inciter à partager des informations sensibles sans trop réfléchir.

Comment fonctionne une attaque par smishing ? 

Se faisant passer pour une source fiable, peut-être un contact, un site web que vous utilisez régulièrement ou même une autorité contrôlée par l'État, vous pouvez être contraint de partager volontairement des informations sensibles lorsque vous répondez à un SMS malveillant que vous avez reçu. Souvent, il y a un délai qui vous incite à répondre immédiatement, et vous pouvez recevoir des SMS ultérieurs vous indiquant qu'il ne reste plus beaucoup de temps pour résoudre le problème.

Ce type de pression amène souvent les utilisateurs à se plier à des demandes mineures, même si un simple fragment d'information partagée peut suffire aux cyberattaquants pour s'introduire dans des appareils, des réseaux et des données plus critiques. Le cyber-attaquant peut également tenter d'instaurer une plus grande confiance afin que vous partagiez davantage d'informations au fil du temps.

Vous pouvez également être amené à télécharger sur votre appareil un malware qui collecte des données sans que vous vous en rendiez compte. Enfin, vous pouvez également être amené à cliquer sur un lien qui vous demande des informations confidentielles, qui sont ensuite reçues par les cybercriminels.

En fin de compte, toutes ces demandes apparaîtront dans votre boîte de réception SMS comme n'importe quel autre message, ce qui fait qu'il est difficile de se préparer à une attaque par smishing si vous n'êtes pas déjà conscient de la menace.

Qu'est-ce que l'auteur d'une attaque de smishing gagne à la suite d'une attaque de smishing ?

Comme tous les acteurs malveillants du secteur de la cybersécurité, les smishers cherchent des failles à exploiter pour obtenir des données personnelles, soit par le biais de demandes d'informations simples mais frauduleuses, soit en utilisant le malware installé sur votre appareil.

Ces données peuvent être utilisées pour usurper votre identité, obtenir des mots de passe, établir des profils d'habitudes d'utilisation et suivre le comportement des utilisateurs. En fin de compte, les cyberattaquants cherchent généralement à voler de l'argent, que ce soit en piratant des comptes bancaires ou des cartes de crédit ou en rançonnant des données critiques.