Qu'est-ce qu'une attaque par usurpation d'identité ? Types, risques et prévention

Une attaque par usurpation d'identité consiste à faire passer un élément malveillant pour légitime. Un pirate peut usurper l'identité d'un expéditeur d'e-mail, d'un site web, d'un numéro d'appel, d'une adresse IP, d'un enregistrement DNS ou d'une identité de confiance afin d'amener une personne ou un système à baisser sa garde. 

Pour les organisations, l'usurpation d'identité est particulièrement dangereuse, car elle constitue souvent le point de départ de cybermenaces plus graves, notamment Phishing, malware delivery, les accès non autorisés, l'usurpation d'identité et la fraude aux paiements.

Qu'est-ce qu'une attaque par usurpation d'identité ?

Une attaque par usurpation d'identité est une cyberattaque dans laquelle un pirate dissimule son identité ou sa source afin de donner l'impression que quelque chose est digne de confiance. Ce « quelque chose » peut être un e-mail, un site web, un appel téléphonique, une demande de mise en réseau, un appareil ou un compte. Au lieu de s'introduire par la force, l'attaquant crée un faux sentiment de légitimité afin que la victime pense que l'interaction provient d'une source connue ou approuvée.

L'usurpation d'identité fonctionne parce que tant les personnes que les systèmes s'appuient souvent sur des signaux de confiance familiers. Un nom de marque connu, une page de connexion réaliste, un numéro de téléphone qui semble local ou un nom de domaine ressemblant fortement à un vrai peuvent donner à première vue une impression de crédibilité à l'attaque.

Le problème fondamental réside dans une légitimité fallacieuse, et non dans le canal utilisé. Une fois la confiance établie, les pirates peuvent faire pression sur la victime pour qu'elle clique sur un lien malveillant, communique ses identifiants, valide un paiement, télécharge un malware, ou autorise une connexion qui aurait dû être bloquée.

Comment fonctionne une attaque par usurpation d'identité ?

Les attaques par usurpation varient selon le canal, mais la plupart suivent le même schéma de base. L'attaquant choisit un élément auquel la cible est susceptible de faire confiance, puis manipule la communication ou le signal technique de manière à ce qu'il semble légitime.

• Choisissez une identité de confiance : l'attaquant choisit une personne, une marque, un domaine, un numéro, un site web ou un système que la cible reconnaît. Il peut s'agir d'un dirigeant, d'un fournisseur, d'une banque, d'un service de livraison, d'une plateforme informatique ou d'une application interne.
• Préparer le canal falsifié : l'attaquant crée ou manipule l'e-mail, le site web, l'identifiant de l'appelant, l'expéditeur du SMS, l'adresse IP, l'enregistrement DNS, le profil ou le trafic réseau afin de leur donner une apparence légitime.
• Transmettez le message ou le signal trompeur : l'e-mail, l'appel, le SMS, la page Web ou le trafic réseau falsifié parvient à la cible. L'objectif est de surmonter la méfiance suffisamment longtemps pour influencer l'action suivante.
• Action immédiate : l'attaquant incite la victime à cliquer, à se connecter, à partager des données, à valider un paiement, à télécharger un fichier, à réinitialiser ses identifiants ou à considérer la connexion comme fiable.
• Tirer parti du résultat : une fois que la cible a agi, l'attaquant peut voler des données, intercepter des identifiants, détourner des fonds, installer des malware, obtenir un accès non autorisé ou s'infiltrer plus profondément dans l'environnement.

C'est pourquoi l'usurpation d'identité est souvent associée Phishing, au spear phishing, à la diffusion de malware et à la compromission de comptes. L'identité usurpée amène la cible à faire confiance à l'interaction. L'étape suivante provoque les dégâts.

Quels sont les types d'attaques par usurpation d'identité les plus courants ?

Les attaques par usurpation d'identité peuvent cibler des personnes, des applications, des réseaux, des sites web et des systèmes d'authentification. Certains sont de nature technique, tandis que d'autres sont conçus pour paraître normaux aux yeux des utilisateurs lambda. Voici les types les plus courants que les organisations doivent connaître.

Usurpation d'adresse e-mail

L'usurpation d'adresse e-mail consiste à utiliser des informations d'expéditeur falsifiées ou imitées afin de donner l'impression qu'un message provient d'une personne, d'une marque ou d'un domaine de confiance. Les pirates s'en servent souvent dans le cadre de campagnes de Phishing, de business email compromise, d'usurpation d'identité de fournisseurs et de spear phishing afin d'inciter les utilisateurs à cliquer sur un lien malveillant, à ouvrir une pièce jointe, à répondre à une demande de paiement ou à réinitialiser leurs identifiants.

Usurpation de site web

Les sites web frauduleux sont conçus pour ressembler à de véritables pages de connexion, portails bancaires, formulaires de paiement, applications cloud ou outils d'entreprise. Les pirates ont recours à l'usurpation de sites web et d'URL pour dérober les identifiants, les informations de paiement, les données personnelles ou les données de session des utilisateurs qui pensent se trouver sur un site légitime.

Usurpation d'identité de l'appelant

Avec l'usurpation d'identité de l'appelant, les pirates falsifient un numéro de téléphone afin qu'un appel semble provenir d'une entreprise connue, d'un organisme public, d'une banque, d'un numéro local ou d'un contact interne. Ces appels frauduleux servent souvent de support à des techniques d'ingénierie sociale visant à faire pression sur la victime pour qu'elle communique des informations, approuve une demande ou se fie à l'identité de son interlocuteur.

Usurpation d'identité par SMS

L'usurpation d'identité par SMS consiste à falsifier les informations relatives à l'expéditeur afin de se faire passer pour une banque, un service de livraison, un employeur, un prestataire de soins de santé ou toute autre source de confiance. Ces messages recourent souvent à un ton pressant et contiennent des liens vers des sites web malveillants, tels que de fausses alertes de livraison, des avis de blocage de compte ou des demandes de vérification.

Falsification du signal GPS

Les systèmes de localisation peuvent être trompés lorsque des pirates falsifient les données GPS et font apparaître un appareil, une application, un véhicule ou un bien à un endroit où il ne se trouve pas. Dans le cadre d'une entreprise, l'usurpation de signal GPS peut avoir des répercussions sur le suivi des flottes, les processus logistiques, les contrôles d'accès mobiles, les drones et les systèmes qui s'appuient sur la localisation à des fins de sécurité ou de conformité.

Attaque de type « homme du milieu »

Lors d'une attaque de type « homme du milieu », les pirates interceptent secrètement les communications entre deux parties, alors que celles-ci pensent toutes deux que leur connexion est privée. Cela peut passer par la création de faux réseaux Wi-Fi, la manipulation du DNS, des connexions usurpées ou l'utilisation abusive de certificats afin de lire, de modifier ou de voler des identifiants, des informations financières ou des données confidentielles.

Usurpation d'extension

Les navigateurs ou les extensions logicielles peuvent être falsifiés pour ressembler à des outils de productivité fiables, à des visionneuses de documents, à des modules complémentaires de sécurité ou à des plugins d'entreprise. Une fois installée, une extension malveillante peut collecter des données, surveiller l'activité, injecter du code, modifier des pages Web ou voler des identifiants dans le cadre de processus effectués via le navigateur.

Usurpation d'adresse IP

L'usurpation d'adresse IP consiste à falsifier une adresse IP afin que le trafic réseau semble provenir d'une source fiable. Les pirates s'en servent pour dissimuler leurs activités, contourner les filtres, exploiter les failles des règles réseau fondées sur la confiance ou faciliter des attaques de plus grande envergure, telles que les campagnes DDoS, dans lesquelles les adresses source usurpées rendent le trafic plus difficile à tracer.

Usurpation d'identité faciale

L'usurpation d'identité faciale consiste à utiliser de fausses images, des vidéos, des masques ou la technologie « deepfake » pour imiter le visage d'une personne réelle. Cela peut compromettre l'authentification biométrique, la récupération de compte, l'inscription à distance, les services financiers et d'autres processus qui s'appuient sur la vérification faciale pour confirmer l'identité.

Usurpation d'identité sur les réseaux sociaux ou dans les profils

Sur les réseaux sociaux, les pirates créent de faux profils ou se font passer pour de vraies personnes afin de gagner la confiance des utilisateurs, de collecter des informations, de diffuser des Phishing scams ou de faciliter des fraudes. Ces profils peuvent se faire passer pour des cadres, des recruteurs, des fournisseurs, des collègues ou des conseillers du service client avant de contacter la victime par e-mail, par téléphone ou par SMS.

Usurpation d'adresse DNS

L'usurpation DNS consiste à manipuler les réponses ou les enregistrements DNS afin de rediriger les utilisateurs d'un domaine légitime vers une destination frauduleuse. Dans le cadre d'une attaque par empoisonnement du cache DNS, de fausses informations DNS sont injectées dans le cache d'un résolveur, de sorte qu'un utilisateur peut saisir l'adresse correcte tout en étant redirigé vers un site web malveillant.

Usurpation d'adresse ARP

L'usurpation ARP, également appelée « empoisonnement ARP », se produit lorsque des attaquants envoient de faux messages du protocole de résolution d'adresse (ARP) sur un réseau local. Cela permet de relier l'appareil de l'attaquant à une adresse IP de confiance, ce qui permet d'intercepter, de rediriger ou de surveiller le trafic dans le cadre d'une attaque de type « homme du milieu ».

Usurpation d'adresse MAC

L'usurpation d'adresse MAC se produit lorsqu'un pirate modifie l'adresse MAC (Media Access Control) d'un appareil afin de se faire passer pour un autre appareil sur un réseau. Cela peut permettre aux attaquants de contourner les règles d'accès liées aux appareils, de dissimuler des activités malveillantes ou de faire passer un appareil non autorisé pour un appareil de confiance.

Qu'est-ce que l'usurpation d'identité assistée par l'IA ?

L'usurpation d'identité assistée par l'IA utilise l'intelligence artificielle pour rendre l'usurpation d'identité plus réaliste, plus évolutive et plus personnalisée. Les pirates peuvent utiliser des textes générés par l'IA, des profils synthétiques, des enregistrements audio et vidéo « deepfake », ainsi que des images réalistes pour se faire passer pour des personnes de confiance, des marques, des fournisseurs ou des dirigeants.

Cela améliore la qualité des tentatives d'usurpation d'identité. Par exemple, un e-mail de Phishing qui présentait autrefois des fautes de grammaire évidentes peut désormais paraître soigné et adapté à un profil spécifique. Un faux message d'un fournisseur peut reprendre le ton des communications professionnelles antérieures, tandis qu'un appel vocal « deepfake » peut imiter un dirigeant avec suffisamment de réalisme pour faire pression sur un employé afin qu'il approuve un paiement ou communique des informations.

L'IA ne crée pas à elle seule une nouvelle forme d'usurpation d'identité. Cela rend les attaques par usurpation d'identité existantes plus convaincantes et plus faciles à mettre en œuvre à grande échelle, qu'il s'agisse de faux participants à des visioconférences, de profils de recruteurs synthétiques ou encore de messages de spear phishing personnalisés. Cela accentue la pression sur les opérations de sécurité et les programmes de sensibilisation des employés.

Comment les organisations peuvent-elles détecter une attaque par usurpation d'identité ?

La détection d'une attaque par usurpation d'identité nécessite à la fois une surveillance technique et une sensibilisation des utilisateurs. Certains signes avant-coureurs sont visibles par les employés, tandis que d'autres nécessitent des outils de sécurité capables d'analyser le trafic, de vérifier l'authentification des messages, d'évaluer le comportement des expéditeurs, d'examiner les liens et les pièces jointes, ainsi que de surveiller les activités de connexion.

• Incohérences dans l'adresse de l'expéditeur : vérifiez s'il existe des noms d'affichage qui vous semblent familiers, mais qui utilisent des adresses e-mail inhabituelles, mal orthographiées ou légèrement modifiées. Un nom familier ne signifie pas toujours que l'expéditeur est légitime.
• Incohérences dans l'adresse de réponse : soyez attentif aux e-mails dont les réponses sont redirigées vers une adresse différente de celle de l'expéditeur visible. Il s'agit d'un signe courant d'usurpation d'adresse e-mail et d'usurpation d'identité.
• Pièces jointes inattendues : considérez les fichiers comme suspects lorsqu'ils vous parviennent de manière inattendue, en particulier si le message incite l'utilisateur à les ouvrir rapidement. Les pièces jointes peuvent contenir des malware ou entraîner le vol d'identifiants.
• Liens suspects : passez la souris sur les liens ou vérifiez les URL avant de cliquer. Un lien peut donner l'impression de renvoyer vers une marque de confiance, mais mener en réalité vers un site web malveillant, un domaine récemment enregistré ou une page destinée à récupérer des identifiants.
• Demandes visant à contourner la procédure : signalez les messages qui invitent les utilisateurs à ne pas respecter les étapes d'approbation, à ignorer les mesures de sécurité, à garder la demande secrète ou à passer à un autre canal de communication.
• Comportements de connexion anormaux : signalez les déplacements impossibles, les appareils inconnus, les localisations géographiques inhabituelles, les séries de tentatives de connexion infructueuses ou les tentatives d'accès s'écartant du comportement habituel de l'utilisateur.
• Trafic réseau inhabituel : surveillez les flux de trafic inattendus, les adresses source usurpées, l'activité DNS anormale, l'empoisonnement ARP, les connexions suspectes entre les systèmes ou les schémas de trafic liés à une attaque par usurpation d'adresse IP.

Les programmes de détection les plus efficaces associent les signalements des employés à des contrôles automatisés. Les utilisateurs peuvent repérer des éléments contextuels qui échappent parfois aux outils, tandis que les systèmes de sécurité peuvent détecter des signaux techniques invisibles pour les utilisateurs.

Comment les organisations peuvent-elles prévenir les attaques par usurpation d'identité ?

Les organisations préviennent les attaques par usurpation d'identité en rendant celle-ci plus difficile, en limitant les dégâts en cas d'abus de confiance et en fournissant aux employés des moyens clairs de vérifier les demandes inhabituelles. Aucune mesure de contrôle ne permet à elle single de bloquer toutes les tentatives d'usurpation d'identité, mais la mise en place de défenses à plusieurs niveaux réduit le risque qu'une usurpation d'identité débouche sur une violation de données.

Renforcer l'authentification des e-mails

Les protocoles SPF, DKIM et DMARC compliquent l'usurpation de domaine en aidant les systèmes de messagerie destinataires à vérifier si un message prétendant provenir d'un domaine donné est bien autorisé. Le protocole DMARC revêt une importance particulière, car il permet aux propriétaires de domaines de définir des règles applicables aux messages dont l'authentification échoue, ce qui peut réduire le nombre d'e-mails usurpés qui exploitent le domaine de l'organisation.

Utilisez l'authentification multifactorielle (MFA) et les contrôles d'accès adaptatifs

L'authentification multifactorielle réduit l'utilité des identifiants volés si une attaque par usurpation d'identité conduit au vol de ces identifiants. Les contrôles d'accès adaptatifs ajoutent un niveau de sécurité supplémentaire en analysant des signaux tels que l'appareil, l'emplacement, le comportement de connexion et le contexte de l'utilisateur, ce qui aide les équipes de sécurité à réagir lorsque les schémas d'accès semblent anormaux.

Surveiller les domaines et les tentatives d'usurpation d'identité

La surveillance des noms de domaine permet d'identifier les noms de domaine similaires, les enregistrements suspects et les tentatives d'usurpation d'identité avant qu'ils ne soient utilisés dans le cadre d'attaques. La détection des usurpations d'identité permet également de signaler les abus liés aux noms d'affichage, l'imitation de marques, l'usurpation d'identité de fournisseurs et l'usurpation d'identité de dirigeants, que ce soit par e-mail ou via d'autres canaux de communication connexes.

Vérifier les liens et les pièces jointes

La protection des URL permet de détecter les liens malveillants, les domaines nouvellement enregistrés, les redirections suspectes et les pages visant à récupérer des identifiants avant que les utilisateurs ne cliquent dessus. L'analyse des pièces jointes offre une protection supplémentaire contre les malware, les documents utilisés à des fins malveillantes et les comportements risqués des fichiers, ce qui est important car l'usurpation d'identité sert souvent de couverture tandis que le Phishing ou les malware causent les dommages.

Formez vos collaborateurs à signaler toute activité suspecte

La sensibilisation des employés est essentielle, car les attaques par usurpation d'identité visent à abuser de la confiance. La formation devrait aborder les e-mails frauduleux, les liens suspects, les appels frauduleux, les SMS frauduleux, les fausses pages de connexion et les demandes visant à faire pression, tandis que la procédure de signalement devrait être suffisamment simple pour permettre aux employés d'alerter rapidement les équipes de sécurité.

Exiger une vérification hors bande

Les demandes sensibles doivent être vérifiées par le biais d'un canal de confiance distinct avant que quiconque n'agisse. Cela s'applique aux paiements, aux modifications de compte bancaire, aux réinitialisations d'identifiants, aux mises à jour concernant les fournisseurs, aux demandes émanant de la direction et aux autorisations d'accès, en particulier lorsque le message d'origine fait état d'une urgence ou demande à l'utilisateur de contourner la procédure habituelle.

Définir des procédures d'escalade claires

Les employés doivent savoir comment réagir lorsqu'ils ont le sentiment que quelque chose ne va pas. Des procédures d'escalade claires permettent de réduire les hésitations en indiquant aux utilisateurs qui contacter, quelles informations fournir et comment le service de sécurité réagira lorsqu'une tentative d'usurpation d'identité, un message suspect ou une demande inhabituelle sera signalée.

Comment Mimecast peut-il contribuer à vous protéger contre les attaques par usurpation d'identité ?

Mimecast aide les entreprises à se prémunir contre les attaques par usurpation d'identité en combinant la sécurité des e-mails, la protection contre l'usurpation d'identité, les renseignements sur les menaces, la sensibilisation des utilisateurs et les processus d'intervention. Cette approche par étapes est importante car l'usurpation d'identité cible souvent d'abord les personnes, puis exploite cette confiance pour lancer des attaques de Phishing, de vol d'identifiants, de diffusion de malware ou de business email compromise.

Détecter les domaines usurpés et les tentatives d'usurpation d'identité

Mimecast permet de détecter les domaines usurpés, les tentatives d'usurpation d'identité, les liens malveillants, les pièces jointes à risque et les e-mails ciblés recourant à l'ingénierie sociale avant qu'ils n'atteignent les utilisateurs. Ces mesures de protection revêtent une importance particulière dans les processus de messagerie électronique et de collaboration, où les employés prennent des décisions rapides en se basant sur des noms, des marques, des fournisseurs et des demandes internes qui leur sont familiers.

Renforcez la protection grâce aux informations sur les menaces

Les informations sur les menaces permettent d'identifier les cybermenaces connues et émergentes, tandis que la protection des URL et l'analyse des pièces jointes renforcent le contrôle du contenu avec lequel les utilisateurs interagissent. La détection d'usurpation d'identité permet de signaler les messages qui semblent provenir de dirigeants, de fournisseurs ou de domaines de confiance, mais qui présentent des signes d'usurpation d'identité ou d'ingénierie sociale.

Réduire les Human Risk autour de l'usurpation d'identité

Mimecast contribue également à réduire les risques liés au facteur humain. Les contrôles techniques sont essentiels, mais les utilisateurs ont tout de même besoin d'être sensibilisés, de disposer d'un contexte et de voies de signalement claires. En associant la détection à la sensibilisation des utilisateurs et aux procédures d'intervention, Mimecast aide les organisations à renforcer leur résilience face aux tentatives d'usurpation d'identité qui exploitent une confiance mal placée.

Renforcer les mesures de protection des entreprises contre les attaques par usurpation d'identité

Les attaques par usurpation consistent à faire passer des identités, des sources ou des communications malveillantes pour légitimes. Cette fausse confiance peut amener les utilisateurs à cliquer sur des liens malveillants, à communiquer leurs identifiants, à valider des paiements, à télécharger des malware ou à accorder l'accès à des pirates.

À mesure que les tentatives d'usurpation d'identité gagnent en réalisme grâce à l'IA, aux « deepfakes », à l'usurpation de nom de domaine et à l'ingénierie sociale multicanal, les organisations ont besoin d'une protection à plusieurs niveaux. L'authentification des e-mails, la détection de l'usurpation d'identité, la protection des URL, l'analyse des pièces jointes, la sensibilisation des utilisateurs, les processus de vérification et les renseignements sur les menaces jouent tous un rôle. Mimecast aide les organisations à renforcer leur protection contre l'usurpation d'identité, le phishing et les menaces ciblant les personnes en associant la détection technique à la résilience humaine.