En octobre 1971, l'ingénieur informatique Ray Tomlinson a réussi à envoyer un message électronique d'un ordinateur à un autre, situé juste à côté, via ARPANET, un réseau d'ordinateurs qui a servi de précurseur à internet.
Si l'email a fêté ses 50 ans en novembre 2021, ce n'est qu'avec la commercialisation d'internet, au milieu des années 90, qu'il est réellement devenu l'un des outils de communication les plus incontournables au monde. Malheureusement, son essor a également entraîné une explosion des abus, avec des escrocs peu scrupuleux qui se sont mis à proposer des produits indésirables, de fausses offres, voire des virus informatiques, au plus grand nombre.
L'escroquerie par phishing a plus de 20 ans
Oui, les escroqueries par email existent depuis plus de deux décennies. En réalité, les escroqueries par phishing, longtemps associées à l'email, ont en fait débuté quelques années plus tôt via la messagerie instantanée AOL, avec des attaquants se faisant passer pour des employés d'AOL et exigeant des utilisateurs qu'ils vérifient leurs comptes en communiquant leurs mots de passe ou leurs informations de facturation.
Cependant, à mesure que l'email s'est imposé comme le moyen privilégié d'engagement avec les clients et les organisations, les escrocs se sont rapidement tournés vers ce canal pour l'exploiter. E-gold, une monnaie numérique adossée à l'or fondée en 1996, a été l'une des cibles de ces tentatives de phishing et de logiciels malveillants financiers, alors que les escroqueries par email étaient encore à leurs balbutiements.
Les attaques contre cette entreprise ont culminé avec une importante escroquerie par phishing en juin 2001, visant les membres de sa liste de diffusion. Celle-ci a été suivie, après le 11 septembre, d'une seconde vague de phishing, déguisée en « vérifications d'identité ».
Les institutions financières, la cible de choix des escrocs
Les institutions financières ont toujours été une cible évidente pour les escrocs. Ces organisations ne détiennent pas seulement des ensembles de données riches sur leurs clients ; si les escrocs parviennent également à mettre la main sur les coordonnées bancaires des clients, ils peuvent facilement leur voler de l'argent directement. Il n'est donc pas surprenant que la technique utilisée dans l'escroquerie par phishing d'e-gold ait rapidement été reprise pour cibler les clients d'autres institutions financières également.
eBay et PayPal sont deux autres entreprises qui se sont retrouvées, il y a une dizaine d'années, du mauvais côté des escroqueries par email, et elles luttent encore aujourd'hui pour se débarrasser de l'usurpation d'identité par email. En 2006, il a été révélé que 75 % de l'ensemble des escroqueries par phishing visaient eBay et Paypal, les emails de phishing redirigeant les destinataires vers des sites web imitant les originaux et utilisant leurs identifiants de connexion pour commettre une usurpation d'identité.
Une autre victime populaire des escroqueries par email était le HMRC (l'administration fiscale britannique). Non seulement il s'agissait d'une entité « de confiance » aux yeux des destinataires d'emails, mais elle pouvait légitimement exiger des informations personnelles ou financières précises de la part des destinataires. Il a fallu attendre 2007 pour que le HMRC publie ses premières recommandations concernant les emails de phishing et les communications frauduleuses. Cela faisait suite à une vague d'emails frauduleux informant les destinataires que : « Après le dernier calcul annuel de votre activité fiscale, nous avons déterminé que vous êtes éligible à un remboursement d'impôt de 210 £. Merci de soumettre votre demande de remboursement d'impôt et de nous accorder 6 à 9 jours pour la traiter. »
La tactique adoptée par ces escrocs différait nettement de celles employées auparavant ; au lieu d'user de l'intimidation, les auteurs ont tenté d'inciter les destinataires à communiquer leurs informations en leur promettant un remboursement financier. Ce changement d'approche a connu un succès retentissant, entraînant une forte hausse des escroqueries liées au HMRC, à tel point qu'en 2016, une enquête de Which? a révélé que 40 % des adultes avaient reçu des emails de phishing se présentant comme provenant du HMRC.
Place à l'authentification DMARC
En réponse à cela, le HMRC a déployé le protocole d'authentification des emails DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC est mondialement reconnu comme le seul moyen de garantir la légitimité des adresses email « from » et de faire reculer les attaques par usurpation d'identité. En 2016, le HMRC a réussi à bloquer 300 millions d'emails de phishing utilisant son domaine, simplement en atteignant une protection DMARC en p=reject.
DMARC est indispensable pour toutes les entreprises en 2022
Alors, où cela nous mène-t-il aujourd'hui ? Eh bien, les fournisseurs de sécurité email continuent d'essayer de bloquer les messages frauduleux provenant de faux domaines qui se font passer pour certaines de nos entreprises les plus reconnues. Ils tentent également d'identifier des attaques plus personnalisées et ciblées, qui visent les clients connus d'autres organisations, peut-être moins en vue.
Mais là où ces systèmes échouent, c'est dans la lutte contre l'usurpation d'identité par email à partir de domaines email légitimes. Le domaine www.gov.uk est peut-être désormais à l'abri des attaques par usurpation grâce au déploiement de DMARC, mais on ne peut pas en dire autant de nombreux autres domaines du secteur privé.
Cela fait 50 ans que le premier email a été envoyé, et plus de 20 ans depuis la première escroquerie par email, et pourtant cet angle mort dans les défenses de sécurité email des organisations reste dangereusement exposé. Pour en savoir plus sur DMARC, sur la manière dont il peut aider à protéger votre entreprise et l'ensemble de votre réseau contre les escroqueries par phishing, et sur ce qu'il faut rechercher dans une solution DMARC, téléchargez notre guide de l'acheteur gratuit dès aujourd'hui.
