Le phishing consiste généralement à inciter l'utilisateur à saisir ses données dans un formulaire qui ressemble à la page de connexion d'un site que la personne utilise, mais qui n'est en fait qu'un fac-similé mis en place par divers acteurs malveillants.Les chercheurs travaillant à l'ETH Zurich ont décidé de mener un programme de simulation de phishing afin de tester différents aspects de ce phénomène. Ces attaques simulées ont été menées sur une période de quinze mois. L'objectif principal de cette étude était de déterminer qui était le plus susceptible de tomber dans le piège de ces attaques de phishing, notamment du point de vue des différents employés d'une entreprise donnée.
L'étude visait également à déterminer l'évolution de ces attaques au cours de la période de test, ainsi que l'efficacité des invites et des avis intégrés dans la prévention de ces attaques. Ces deux aspects sont importants, car les attaques de phishing ont tendance à changer radicalement au fil du temps. De plus, les avertissements intégrés sont un outil de premier ordre utilisé par les entreprises qui souhaitent protéger leurs employés et elles-mêmes de telles attaques.
L'une des conclusions les plus pertinentes de cette étude est qu'il n'y a pas de corrélation entre le sexe et la probabilité d'être victime d'une attaque. L'âge semble plutôt être un facteur qui peut vous rendre plus ou moins susceptible de cliquer sur un lien de phishing sans réaliser ce qu'il pourrait provoquer. Les personnes âgées de 18 à 19 ans sont les plus susceptibles de cliquer sur des liens de phishing et de saisir des informations dans ces liens, ce qui dissipe l'idée que le phishing est un phénomène qui touche principalement les personnes âgées.
Fig. 6 : Pourcentage d'actions dangereuses effectuées sur l'ensemble des courriels de phishing envoyés, selon les différentes catégories démographiques. L'utilisation fréquente d'un ordinateur, mais dans un cadre très spécialisé, et l'âge, jeune ou plus avancé, influencent la sensibilité au phishing.
Un autre phénomène observé est celui des cliqueurs répétés. Il s'agit d'un terme utilisé pour décrire les personnes qui cliquent sur plus d'un courriel de phishing. Plus de 30 % des personnes qui ont été victimes d'une attaque de phishing ont fini par en recevoir une autre. Cela indique que ces personnes doivent être davantage sensibilisées, car elles ne sont peut-être pas conscientes des dangers que représente la perte de vos données de connexion au profit d'un acteur malveillant qui pourrait en faire toutes sortes de choses.
De plus, il y a une limite à l'utilité des courriels d'avertissement et des messages-guides, tout étant considéré et pris en compte. Si un avertissement réduit effectivement la probabilité que l'un ou l'autre clique sur un lien de phishing, ce chiffre n'augmente pas avec des avertissements ou des invites plus complexes. Cela signifie essentiellement qu'un simple avertissement est suffisant et que le fait d'y consacrer plus d'efforts ne contribuera pas vraiment à réduire la fréquence à laquelle les attaques de phishing peuvent toucher les gens au fil du temps.
Source : Chercheurs à l'ETH Zurich
Et vous ?
Trouvez-vous cette étude pertinente ? Qu'en est-il dans votre entreprise ? qui sont les personnes les plus susceptibles de se laisser prendre aux attaques de phishing ? Ce type d'attaque se produit-elle fréquemment dans votre entreprise ?Voir aussi :
Le travail à distance et hybride rend la lutte contre le phishing plus difficile, 53 % des responsables informatiques signalant une augmentation des incidents, selon Egress Les employés prennent de mauvaises habitudes en matière de sécurité lorsqu'ils travaillent à domicile, selon le cabinet d'étude Tessian Une organisation gouvernementale sur quatre est victime de fuites accidentelles dans le cloud, d'après un nouveau rapport de Netwrix sur la sécurité des données dans le Cloud