Renforcer la confiance pour mettre fin au phishing

Notre confiance dans la technologie

Les attaques de phishing tirent profit des caractéristiques humaines. La première est souvent notre confiance. Nous avons tendance à faire confiance aux personnes qui appartiennent au même groupe que nous. Nous sommes membres de plusieurs groupes simultanément : famille, amis, collègues, camarades de classe, chercheurs, coéquipiers ou parents d'élèves. Plus les gens sont proches, plus nos relations sont étroites, plus nous sommes susceptibles de leur faire confiance.

Ainsi, lorsque nous recevons un SMS de notre meilleur ami et que sa photo apparaît sur notre smartphone, nous avons tendance à le prendre au sérieux et à partir du principe qu'il est digne de confiance (sauf peut-être si l'ami en question a l'habitude de faire des blagues). Cela signifie également que nous faisons suffisamment confiance à la technologie pour croire que le message que nous avons reçu provient du téléphone de notre ami. Si notre téléphone affiche la photo et le nom de notre ami, c'est qu'il doit bien s'agir de lui. D'une certaine manière, nous avons raison de penser que la technologie GSM est difficile à pirater.

Mais si nous recevons un courriel de ce même ami, avec le même contenu, nous ne devrions pas accorder le même degré de confiance à ce message. Pourquoi ? Eh bien, la technologie du courrier électronique n'est pas aussi fiable que la technologie GSM ; du moins, pas encore. Il se peut qu'un hacker ait usurpé l'adresse électronique de notre ami ou utilisé un Punycode pour se faire passer pour lui. Même sans cela, il est probable que nous ne connaissions même pas l'adresse électronique de notre ami. La plupart du temps, la seule information que nous examinons est le nom complet de l'expéditeur, et non l'adresse électronique. Ce qui est stupide aux yeux des spécialistes de la cybersécurité ou des personnes ayant des connaissances en informatique. Avec un utilisateur lambda, il suffit d'évoquer le concept « simple » du nom de domaine pour l'avoir déjà perdu. Comme il n'y a pas de « permis » à passer pour surfer sur Internet et obtenir une boîte mail, nous ne pouvons supposer aucune connaissance informatique de base du côté de l'utilisateur. C'est normal. Nous devons donc fournir des services informatiques sûrs et fiables. La technologie du courrier électronique n'est pas encore sûre, mais elle peut le devenir. Elle doit le devenir. Des technologies comme l'anti-spoofing (anti-usurpation d'adresse IP), la vérification de domaine DNS, les protocoles SPF ou DKIM, existent depuis des années et ne sont toujours pas mises en œuvre et appliquées sur tous les serveurs de courrier électronique. Si elles l'étaient, nous pourrions faire autant confiance aux courriels qu'à nos SMS.

Ce serait un progrès énorme. Néanmoins, ces technologies ne feraient pas disparaître complètement le phishing. Les criminels pourraient toujours créer de nouveaux domaines similaires, détourner des comptes de courrier électronique existants ou utiliser différents prétextes. C'est là que les humains doivent être plus vigilants.

Hypervigilance

Le problème est que, même si nous aimerions que les gens soient des « pare-feux humains », ils n'ont pas été engagés à cette fin. Nous attendons d'eux qu'ils fassent leur travail : faire des études, de la recherche, soigner les gens, gérer les finances ou les systèmes informatiques. Le fait d'être vigilant en permanence est appelé hypervigilance. Elle est souvent le résultat d'un événement traumatisant, mais surtout la cause sous-jacente de pathologies. Être vigilant requiert de l'énergie supplémentaire. C'est stressant. Si nous faisions attention à chacun des 150 à 500 courriels que nous pouvons recevoir quotidiennement, nous y passerions des heures chaque jour. Et, plus important encore, nous serions épuisés. Ce n'est pas une bonne idée. Que faire alors ?

Coups de pouce

Nous devons faciliter la détection du phishing. De nombreuses petites modifications peuvent être apportées pour aider les utilisateurs. La facilité d'utilisation doit s'appliquer aux dispositifs de sécurité également. Par exemple, nous pouvons rendre l'adresse électronique visible si le contact nous est inconnu, ou s'il provient de l'extérieur de notre organisation. Cela permettra de repérer les domaines qui se ressemblent ou le changement soudain de l'adresse électronique de notre ami. Nous pouvons marquer les courriels suspects, mais seulement lorsque nous sommes sûrs qu'ils sont suspects. En dessous de 80 %, voire 90 % de précision, les utilisateurs semblent ignorer les informations provenant des systèmes automatisés (Chen et al., 2018).

N'oublions pas de changer régulièrement le signal d'avertissement pour éviter l'accoutumance. Lorsqu'un signal d'avertissement est répété trop souvent, nous avons tendance à l'ignorer (Brinton Anderson et al., 2016). C'est comme quand on s'habille. Nous sentons nos vêtements sur notre peau pendant quelques minutes, ou quelques secondes, puis nous en faisons abstraction et nous n'y pensons plus. En changeant le signal, nous recommençons à y prêter attention.

Apprendre dans le contexte

Cela suffira-t-il ? Probablement pas. Nous devons maintenant former nos utilisateurs à repérer une tentative phishing par mail. En tout premier lieu, nous devons parvenir à ce qu'ils réfléchissent avant de cliquer. Pour certains d'entre nous, la lecture du courrier électronique est devenue une habitude. Nous parcourons nos courriels d'un seul coup d'œil. Nous apercevons un mot lié à quelque chose que nous attendons et cela déclenche une réaction automatique : nous cliquons. Selon certains experts, le phishing est une question d'influence. Mais ce serait ignorer que tout événement social se produit dans un contexte. Le contexte définit la manière dont nous allons réagir. Quand on conduit une voiture, on freine avec le pied droit. Lorsque nous sommes à vélo, nous utilisons nos mains pour faire la même chose. Nous n'avons pas à y penser, le contexte conditionne nos réflexes. C'est pourquoi nous devons former les gens en contexte. Nous n'avons pas appris à conduire une voiture en lisant un livre. Nous n'avons pas non plus appris à nager en restant au bord de la piscine. Les livres ou notre professeur nous ont enseigné la théorie.

On n'obtient rien avec des reproches

Nous devons veiller à être positifs face au phishing. Blâmer les utilisateurs pour quelque chose qu'ils pourraient faire par accident n'aidera pas. Pire, cela pourrait augmenter la charge de travail de notre service d'assistance ou de notre SOC (centre des opérations de sécurité). Les utilisateurs pourraient en venir à signaler tout e-mail suspect, spam, escroquerie ou même communications internes pour ne pas commettre d'erreur. Nous ferions alors peser une charge inutile sur notre première ligne d'assistance. Nous devons rendre les utilisateurs prudents, pas paranoïaques.

Les exercices de phishing ne servent pas seulement à la formation, ils permettent également de maintenir la vigilance de nos utilisateurs. De même que les rappels de vaccin sont nécessaires, nous devons répéter les exercices de phishing. D'expérience, une fréquence mensuelle est idéale. Cela permet aux gens d'être conscients et attentifs et ne prend que quelques secondes de leur temps. Ce n'est pas un prix élevé à payer pour éviter de perdre notre réseau, notre travail de recherche ou de l'argent.

Une voie à suivre

La recherche sur le phishing n'en est qu'à ses débuts. Nous commençons à mieux comprendre son fonctionnement, ce qui nous pousse à cliquer et la façon dont nous pouvons nous améliorer. Pourtant, nous sommes certains de bien peu de choses. Nous faisons de notre mieux jusqu'à présent en réduisant l'exposition, en facilitant la détection et en formant nos utilisateurs. C'est un travail collectif, car tous ces changements nécessitent l'implication de différentes équipes, voire de différentes entités. Nous avons tous notre part à faire, et quand nous le faisons, nous réussissons.