L’âge d’or des escrocs : l’hameçonnage propulsé par l’IA

Longue vie au prince nigérian, il aura fait un beau parcours.

Révolue l’époque où les escrocs exerçaient le même pouvoir médiocre qu’un charlatan, s’en remettant à leur propre force de persuasion et à leur compréhension des langues et des processus. Grâce à l’IA générative, les auteurs d’hameçonnage et de spam disposent désormais d’une panoplie d’outils plus vaste avec laquelle s’amuser. On peut affirmer sans risque que les règles ont changé, mais qu’en est-il de nos défenses ? Poursuivez votre lecture pour découvrir comment protéger votre programme d’emailing contre ces nouvelles formes d’attaques.

Avant de vous raconter des histoires d’horreur, commençons par en donner la définition. L’hameçonnage par l’IA exploite la technologie de l’IA pour faciliter l’exécution massive d’escroqueries plus convaincantes aux yeux des victimes potentielles. Et cela fonctionne. Au cours des dernières années, l’IA a rationalisé et intensifié les tactiques d’hameçonnage, permettant aux escrocs d’empocher plus de deux milliards de dollars rien qu’en 2022. Depuis le quatrième trimestre 2022 (qui correspond à peu près à l’entrée en scène de ChatGPT), on a enregistré une augmentation de 1 265 % des emails d’hameçonnage malveillants, selon l’entreprise de cybersécurité SlashNext.

La disponibilité de l’IA couvre un large spectre, allant des textes générés par l’IA aux outils de piratage gratuits comme WormGPT – une version sombre de l’outil OpenAI, ou son homologue payant FraudGPT, disponible sur le dark web. Ces deux outils sont des IA génératives dépourvues de garde-fous qui exécuteront volontiers des requêtes pour créer des emails d’hameçonnage, générer du code pour usurper des sites web spécifiques, ou toute autre série de requêtes malveillantes.

Pour comprendre ce pouvoir, examinons la différence entre une escroquerie par hameçonnage traditionnel et une escroquerie par l’IA utilisant un outil tel que WormGPT.

Une attaque par hameçonnage classique commence généralement par un message trompeur. À première vue, l’email ou le SMS semble provenir d’une source légitime comme votre banque ou les services postaux. Pour vous empêcher de vérifier par deux fois, ces messages présentent généralement un caractère d’urgence.

Dans le message, le danger se présente sous la forme d’un lien ou d’une pièce jointe qui, lorsqu’on clique dessus ou qu’on le télécharge, vous renvoie vers un site web usurpé ou installe un logiciel malveillant sur votre appareil. Ce faux site web ou ce logiciel collecte ensuite les informations sensibles que vous lui fournissez, telles que vos identifiants de connexion, vos données financières ou vos données personnelles.

L’attaquant peut alors utiliser ces informations volées à diverses fins malveillantes, telles que l’usurpation d’identité, la fraude financière ou l’obtention d’un accès non autorisé à des comptes. Les attaques par hameçonnage traditionnel s’appuient sur des techniques d’ingénierie sociale pour inciter les individus à révéler des informations confidentielles à leur insu.

Nous allons insister sur ce dernier point : les attaques par hameçonnage traditionnel reposent sur des techniques d’ingénierie sociale, tandis que les attaques par hameçonnage par l’IA s’appuient sur des techniques d’apprentissage automatique.

Une attaque par hameçonnage par l’IA exploite l’intelligence artificielle pour rendre les emails d’hameçonnage plus convaincants et personnalisés. Un acteur malveillant peut utiliser des algorithmes d’IA pour analyser de vastes quantités de données sur un segment cible, comme les profils sur les réseaux sociaux, le comportement en ligne et les informations accessibles au public, ce qui lui permet de créer des campagnes personnalisées.

Le message d’hameçonnage pourrait même inclure des touches familières, comme des références aux achats récents, aux centres d’intérêt ou aux interactions d’un utilisateur. Ce niveau de personnalisation augmente les chances de réussite. L’IA peut également générer facilement des répliques convaincantes de sites web légitimes, ce qui empêche les destinataires de distinguer les faux sites des vrais.

L’hameçonnage par l’IA repose sur un ensemble de principes fondateurs, qui dessinent un tableau illimité de possibilités.

L’hameçonnage par l’IA s’apparente à du marketing obscur : c’est ce qui pourrait être possible sans l’éthique et la législation auxquelles sont soumis les expéditeurs légitimes. Cela dit, les processus de base sont similaires, mais sans limites. Voici à quoi pourrait ressembler l’utilisation d’un outil tel que WormGPT :

1. Analyse des données : l’attaquant utilise des algorithmes et des outils comme WormGPT pour parcourir Internet à la recherche de vastes quantités de données sur le groupe ou la personne cible. Cela inclut les profils sur les réseaux sociaux, les registres publics et les activités en ligne. WormGPT peut analyser ces données pour comprendre les centres d’intérêt, les comportements et les préférences de la cible.
2. Personnalisation : grâce aux données collectées, l’IA génère des emails d’hameçonnage hautement personnalisés. Ces emails peuvent faire référence à des achats récents, à des passe-temps ou à des événements spécifiques de la vie de la cible. Ce niveau de personnalisation rend les emails plus légitimes et augmente la probabilité que la victime tombe dans le piège.
3. Création de contenu : l’IA est ensuite utilisée pour générer un contenu d’email convaincant qui imite le style d’écriture des contacts de la cible ou d’institutions connues. Cela permet de créer un sentiment de familiarité et de confiance tout en s’affranchissant des barrières linguistiques.
4. Mise à l’échelle et automatisation : enfin, l’IA permet aux attaquants de faire évoluer facilement et efficacement leurs opérations. Ils peuvent générer de nombreux emails d’hameçonnage uniques en peu de temps et utiliser l’IA pour cibler un large éventail d’individus ou d’organisations, tout en l’utilisant également pour générer du code, aider au déclenchement d’automatisations et configurer des webhooks et des intégrations.

L’IA génère des résultats plus rapidement que les êtres humains. Fin de l’histoire. Nous pouvons débattre (comme nous l’avons fait dans d’autres articles) de la qualité et des meilleures utilisations de ces résultats, mais les escrocs ne s’arrêtent pas pour avoir cette conversation.

Un groupe d’ingénieurs d’IBM a récemment fait la course avec l’IA pour créer une campagne d’hameçonnage. Ils ont découvert que l’IA obtenait de meilleurs résultats en un temps record. Et de cette expérience est née la règle des 5/5.

La règle des 5/5 stipule qu’il suffit de cinq invites et de seulement cinq minutes pour créer une campagne d’hameçonnage presque aussi réussie qu’une campagne générée par des ingénieurs d’IBM. Ce qui a pris 16 heures à des humains techniquement avancés, l’IA générative l’a fait en cinq minutes – et les outils d’IA vont évoluer pour devenir plus rapides et plus efficaces, de manière potentiellement exponentielle. Les êtres humains ont leurs limites.

Les cinq invites définies par IBM :

1. Dressez la liste des préoccupations d’un [groupe spécifique] dans un [secteur spécifique]
2. Rédigez un email exploitant des techniques d’ingénierie sociale
3. Appliquez des techniques de marketing courantes à l’email
4. À qui devons-nous envoyer l’email ?
5. De qui devons-nous dire que l’email provient ?

L’année 2024 a déjà été marquée par des attaques majeures d’hameçonnage par l’IA. Certaines rappellent davantage les attaques par hameçonnage classique, tandis que d’autres prennent la forme de deepfakes très coûteux.

Cette nouvelle du début de l’année 2024 est rapidement devenue tristement célèbre en raison de son coût exorbitant et du fait que des outils vidéo basés sur l’IA ont réussi à convaincre totalement un employé du service financier d’une multinationale non divulguée dont le siège est en Chine de débloquer des fonds importants. Cet employé a été la malheureuse cible d’un deepfake par l’IA dans lequel des acteurs malveillants ont réussi à se faire passer pour le directeur financier de l’entreprise et d’autres dirigeants lors d’une visioconférence, pour un montant de 25 millions de dollars.

Nous commençons par cet exemple, car il illustre deux points très importants.

1. L’IA est un outil très puissant en matière de deepfake, non seulement pour la vidéo, mais aussi pour les textes, les sites web usurpés, les appels vocaux et les SMS.
2. Il illustre l’importance pour les entreprises de former leurs équipes en interne à l’identification et à la prévention de ce nouveau niveau d’attaque.

La vérité est que les escroqueries par hameçonnage par l’IA n’ont pas besoin d’être aussi élaborées pour être efficaces. Jouons à un petit jeu :

Vous recevez l’email suivant :

Objet : réinitialisation du mot de passe de votre compte requise

Bonjour [Name],

Nous avons détecté un accès non autorisé potentiel à votre compte. Par mesure de précaution, nous procédons donc à la réinitialisation de votre mot de passe.

Veuillez utiliser ce lien pour créer un nouveau mot de passe.

Notre équipe s’efforce de garantir la sécurité de votre compte et de vos informations. Si vous avez des questions, il vous suffit de répondre à cet email et un membre de notre équipe vous aidera.

Cordialement, [Your Company’s Support Team]

Est-ce que cela semble légitime ? Si c’est le cas, vous cliquez sur le lien et vous atterrissez sur une page qui semble émaner de l’organisation en question. Elle semble réelle, car il existe des outils d’IA capables de copier le design et le codage de pages web avec peu ou pas d’effort.

Récapitulons : l’email ne contient aucune formulation ou grammaire étrange. En fait, il vous a même invité à le contacter (et si vous l’aviez fait, un chatbot propulsé par l’IA serait prêt à vous répondre). Le site web semble réel et vous êtes finalement accueilli par des champs de formulaire discrets qui n’attendent que de capturer vos identifiants :

Il nous a fallu environ 20 secondes pour générer ceci avec ChatGPT :

Tomberiez-vous dans le panneau ? Si le domaine usurpé correspondait à un outil interne, vos équipes s’y laisseraient-elles prendre ? Vérifieriez-vous le domaine ? Vérifieriez-vous l’adresse d’expédition ? Êtes-vous désormais condamné à faire preuve de diligence raisonnable pour chaque email que vous recevez ?

Passons maintenant à la question à un milliard de dollars (plus de 2 milliards, pour être plus précis) : que pouvez-vous faire pour protéger votre organisation et votre programme d’emailing contre cette nouvelle forme d’hameçonnage ? faire pour protéger votre organisation et votre programme d’emailing contre cette nouvelle forme d’hameçonnage ?

En tant qu’expéditeur, vous avez deux objectifs à défendre. Votre propre réputation et sécurité, ainsi que la sécurité et la protection des données de votre clientèle. Et il n’existe qu’une seule défense en matière d’email : DMARC.

Ainsi, avant de nous plonger dans les bonnes pratiques, voici ce qu’il advient de DMARC à l’ère de l’IA.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) a parcouru un long chemin, de sa création à sa mise en œuvre. Étonnamment, son adoption a été faible. Peut-être parce que le processus est plus technique que celui des autres authentifications standard. Peut-être en raison des coûts associés. Quoi qu’il en soit, DMARC est là pour durer. Voici son parcours jusqu’à présent :

• 2007-2008 : la nécessité d’un système d’authentification des emails plus robuste s’est fait sentir à mesure que les attaques d’hameçonnage par email devenaient plus sophistiquées. SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) étaient déjà utilisés pour aider à vérifier l’authenticité des expéditeurs d’emails, mais ils présentaient des limites.
• 2011 : un groupe d’entreprises, dont Google, Microsoft, Yahoo et PayPal, s’est réuni pour travailler sur une nouvelle norme visant à pallier les limites de SPF et de DKIM. Cette collaboration a conduit au développement de DMARC.
• 2012 : publication de DMARC en janvier 2012. Il a fourni aux expéditeurs d’emails un moyen de définir des politiques sur la manière dont leurs emails devaient être authentifiés et traités en cas d’échec de l’authentification.
• 2018 : le ministère de la Sécurité intérieure des États-Unis a exigé de toutes les agences fédérales qu’elles déploient DMARC d’ici octobre 2018 pour aider à atténuer l’utilisation illégitime des emails organisationnels.
• 2018-2023 : l’adoption de DMARC n’a pas été aussi massive que le souhaitaient ses créateurs. Sans une adoption généralisée, l’application des politiques DMARC s’avère problématique pour les fournisseurs. Selon spamresource, sur les 10 millions de domaines les plus importants, seuls environ 1,23 million de domaines disposaient d’un enregistrement DMARC actif à la fin de l’année 2023. Les choses vont changer.
• 2024 : en octobre 2023, Gmail et Yahoo ont annoncé ils allaient appliquer des exigences strictes en matière d’expéditeurs afin de reprendre le contrôle sur les normes des boîtes de réception et de protéger aussi bien les utilisateurs que les expéditeurs. L’une des exigences est que DMARC soit déployé avec une politique minimale de p=none. Ce changement de responsabilité contribuera à rétablir l’équilibre des boîtes de réception.

Bien, maintenant que nous en avons terminé avec notre détour par DMARC, revenons à l’hameçonnage. Bien que DMARC constitue la première ligne de défense, il existe d’autres bonnes pratiques pour vous aider à élaborer une stratégie de combat complète.

La première étape consiste à en identifier les signes. On ne peut plus se fier aux fautes de grammaire et aux erreurs de personnalisation. Pour reconnaître les tentatives d’hameçonnage par l’IA, il faut changer de perspective. En fait, le changement de perspective est une compétence que vous devriez perfectionner, compte tenu de la vitesse à laquelle l’IA se développe et s’intègre.

Les marqueurs habituels tels que les erreurs grammaticales et les structures de phrase maladroites ne s’appliquent plus. Désormais, la première étape doit consister à valider directement la source. Les domaines cousins (également appelés domaines sosies) peuvent toujours être enregistrés en tant que domaines légitimes, mais leur nom ne sera pas tout à fait le même. Vérifiez l’URL et le domaine par rapport au domaine réel de l’entreprise. S’il s’agit d’un expéditeur inconnu, il est judicieux de le signaler à l’équipe de sécurité interne de votre entreprise ou de le déclarer comme spam auprès de votre fournisseur de messagerie.

L’hameçonnage par l’IA est littéralement intelligent. Peu importe que vous pensiez que l’IA est ou peut être dotée de sensibilité, car elle a effectivement la capacité de « penser » et d’itérer à partir des données qu’elle collecte. Les processus d’apprentissage automatique peuvent désormais être automatisés pour rechercher systématiquement des points d’entrée. La protection de votre organisation et de vos ressources en données nécessite des pare-feu robustes, des logiciels antivirus à jour et une formation continue de vos équipes.

L’hameçonnage n’est pas seulement une menace pour la sécurité, c’est aussi une menace pour la réputation. Les fournisseurs de messagerie tels que Gmail et Yahoo se tournent vers l’avenir en imposant des exigences aux expéditeurs de gros volumes, notamment le déploiement de DMARC, qui aidera grandement à se défendre contre les escroqueries par hameçonnage usurpant des domaines et des marques.

DMARC est la meilleure ligne de défense dont disposent les fournisseurs de messagerie pour protéger leur base d’utilisateurs contre les tentatives d’hameçonnage sophistiquées par email. Il peut empêcher ces messages malveillants d’atteindre les boîtes de réception. Toutefois, DMARC ne fonctionne que lorsque les organisations qui envoient des emails configurent et appliquent la spécification.

Si DMARC est en place, les serveurs de réception disposent d’un cadre et de politiques (définies par l’expéditeur) pour l’authentification des messages. Les domaines usurpés sont soumis à un rejet ou à une mise en quarantaine (selon votre politique DMARC) loin de la boîte de réception, et ils vous sont signalés en tant qu’expéditeur légitime.

L’IA constitue en soi un univers complexe de sujets, d’avantages et de défis. Restez au courant et profitez des conseils de nos pros sur la manière de vous adapter aux nouvelles menaces liées aux technologies émergentes. Abonnez-vous à notre newsletter et restez informé des bonnes pratiques générales en matière de délivrabilité relatives à l’authentification et à la sécurité.

Auteur·trice: Nick Lafferty Nick Lafferty was a Team Lead for our Growth team at Sinch Mailgun. An avid blogger himself, he focused on sharing strategies and initiatives to help businesses grow their reach and make the most of their email program.