Mishing : comment se protéger des arnaques sur votre smartphone

Les cyberattaques ciblant les utilisateurs de smartphones ne cessent de croître, en particulier via une technique appelée mishing. Cette forme de phishing (ou hameçonnage) s’attaque spécifiquement aux appareils mobiles, exploitant leur vulnérabilité pour tromper les utilisateurs et voler leurs données personnelles. Une menace dont il faut bien prendre conscience pour s’en prémunir et s’en protéger, que ce soit pour les particuliers ou pour les professionnels.

Qu’est-ce que le mishing et pourquoi augmente-t-il ?

Le mishing, contraction de « mobile » et « phishing », désigne des attaques de type hameçonnage, qui visent les utilisateurs via leur téléphone mobile. Ces attaques peuvent prendre la forme de SMS (smishing), d’appels vocaux frauduleux (vishing) ou encore d’emails piégés (phishing). Très similaires aux attaques visant les ordinateurs, les campagnes de mishing sont conçues spécifiquement pour être plus efficaces sur un appareil mobile, comme un smartphone.

Le développement du mishing s’explique d’abord par l’explosion du nombre d’utilisateurs de smartphones, qui dépassent aujourd’hui les 6,8 milliards dans le monde. En parallèle, l’utilisation des mobiles pour des tâches professionnelles a augmenté, avec plus de 71 % des employés ayant adopté le téléphone pour des communications ou l’accès à des informations professionnelles. Cette adoption massive des appareils mobiles pour le travail, couplée à une protection souvent insuffisante, en fait une cible de choix pour les cybercriminels. Selon le Global Mobile Threat Report 2024 de Zimperium, 82 % des sites de phishing sont aujourd’hui adaptés aux mobiles.

Comment se protéger du mishing et sécuriser son smartphone ?

Pour les professionnels du digital, protéger leurs organisations et leurs utilisateurs contre le mishing est essentiel. Voici quelques pratiques recommandées, aussi applicables par n’importe quel particulier :

• Éducation des utilisateurs : former les collaborateurs, ou vos proches, à reconnaître les tentatives de mishing est crucial. Ils doivent être sensibilisés aux signes avant-coureurs tels que les liens suspects, les fautes d’orthographe ou les demandes urgentes d’informations personnelles.
• Authentification multifactorielle : l’activation de l’authentification multifactorielle ajoute une couche supplémentaire de sécurité, rendant plus difficile pour les cybercriminels d’accéder aux comptes, même s’ils ont réussi à obtenir des identifiants via du mishing. Couplée à l’utilisation d’un gestionnaire de mots de passe, cette pratique renforce encore la protection des appareils.
• Solutions de sécurité mobile : l’adoption de solutions de défense mobile telles que des systèmes de détection des menaces sur les appareils (Mobile Threat Defense ou MTD) permet d’identifier et de bloquer les attaques avant qu’elles n’atteignent les utilisateurs​.
• Mise à jour régulière des appareils : les vulnérabilités dans les systèmes d’exploitation mobiles sont souvent exploitées dans les attaques de mishing. S’assurer que tous les appareils sont à jour avec les derniers correctifs de sécurité est donc primordial.
• Blocage des sites malveillants : mettre en place des filtres et des systèmes de blocage en temps réel des URL malveillantes peut réduire considérablement les risques pour les utilisateurs.
• Utilisation du VPN : encourager l’utilisation d’un VPN pour chiffrer les connexions lorsque les collaborateurs accèdent à des données sensibles via des réseaux publics ou non sécurisés permet de préserver les communications et de rendre plus difficile pour les cybercriminels d’intercepter des informations, même en cas de connexion sur un Wi-Fi public.

Les meilleures solutions VPN

Surfshark VPN

VPN

Proton VPN

VPN

VPN Avast SecureLine

VPN

Atlas VPN

VPN

Voir tous les outils VPN

Les marques les plus usurpées dans les campagnes de mishing

Les cybercriminels utilisent souvent l’image de grandes marques pour légitimer leurs attaques et tromper les utilisateurs. Ces dernières années, certaines marques sont devenues des cibles fréquentes d’usurpation dans les campagnes de mishing. Voici les marques les plus usurpées selon les régions du monde, d’après le rapport de Zimperium :

• Amérique du Nord : Microsoft est la marque la plus imitée avec 57 % des attaques, suivie de WhatsApp et Facebook​.
• Amérique du Sud : WhatsApp arrive en tête avec 33 % des attaques, suivie de banques locales comme DenizBank​.
• EMEA (Europe, Moyen-Orient, Afrique) : Gazprom, Facebook et Instagram sont les principales marques usurpées​.
• APAC (Asie-Pacifique) : Bet365, Facebook et Garena représentent les marques les plus utilisées dans ces attaques​.

Les cybercriminels misent sur la notoriété et la confiance que les utilisateurs ont envers ces marques pour les inciter à cliquer sur des liens frauduleux ou à fournir des informations personnelles sensibles.