Les escroqueries par hameçonnage fiscal sont incroyablement courantes au Royaume-Uni, à tel point que HMRC publie un guide des types les plus courants. Bien qu'ils apparaissent le plus souvent à des dates limites fiscales importantes (par exemple, l'auto-évaluation en janvier, les rapports d'activité en mars), ils peuvent se produire tout au long de l'année. À propos de l'auteur Richard Meeus est directeur de la technologie et de la stratégie de sécurité chez Akamai. Les attaques de phishing peuvent être très gratifiantes pour les criminels, non seulement financièrement, mais aussi lorsqu'il s'agit de compromettre des données sensibles, entraînant une fraude ou un vol d'identité, et n'importe qui peut en être victime : d'un spécialiste informatique indépendant à une petite entreprise avec des millions de livres. . en revenu. L'hameçonnage est souvent considéré comme un type de cyberattaque d'"ingénierie sociale", qui consiste à inciter un utilisateur final à divulguer des informations sensibles en semblant provenir d'une source fiable. Les cyber-attaquants utilisent aussi souvent des "boîtes à outils" techniques pour les aider à mener à bien leurs arnaques. Les attaquants n'ont pas besoin d'être des hackers experts pour réussir une attaque de phishing, car il existe un énorme écosystème criminel de kits d'outils prêts à l'emploi disponibles à l'achat sur le dark web. Suivre l'évolution de l'utilisation de ces boîtes à outils peut nous en dire beaucoup sur les tendances sous-jacentes en matière de cybersécurité. Pour mieux comprendre la nature de ces escroqueries récurrentes, nous avons repéré cinq des plus grands ensembles d'outils de phishing recyclés et redéployés au cours des deux dernières années. Nous partageons ici nos principaux enseignements tirés des données pour aider à mieux protéger, informer et responsabiliser les consommateurs.
Les escrocs profitent de l'incertitude et de la peur
Au cours des 18 derniers mois, nous avons assisté à une vague d'escroqueries par hameçonnage fiscal qui ont été personnalisées pour faire référence au Covid-19, avec des messages liés à la pandémie inclus dans presque toutes. Ce n'est pas un phénomène nouveau, car les campagnes sont conçues pour répondre aux priorités et aux préoccupations des consommateurs, mais cette technique d'ingénierie sociale a été particulièrement prolifique jusqu'en 2020/21. De nombreuses escroqueries mentionnent des programmes d'aide gouvernementaux et des changements dans les heures de dépôt, imitant des sites Web légitimes. Par exemple, deux escroqueries bien connues ont imité HMRC, offrant prétendument des programmes de secours Covid-19, y compris un "programme de soutien au verrouillage" et un "remboursement Covid-19". Selon nos recherches, il y a eu une augmentation du volume des escroqueries juste après le début de la pandémie en avril 2020. En exploitant les peurs et les inquiétudes existantes concernant l'insécurité financière, les escrocs augmentent le volume de ces types de campagnes pour s'amuser.
Les escroqueries fiscales se multiplient
Nous avons repéré trois escroqueries au Royaume-Uni qui ont créé au total plus de 1000 650 domaines de phishing, avec une arnaque spécifique utilisant 2019 domaines. Nous avons trouvé des kits d'outils apparaissant à différents moments, utilisant des centaines de domaines et ayant un impact sur plusieurs organisations. Alors que certains étaient présents tout au long de notre surveillance, probablement avant 2020, une escroquerie a été identifiée pour la première fois en juillet 2020. Lorsqu'il s'agit d'étendre les escroqueries existantes, nous avons constaté que les criminels s'attaquent souvent à un vecteur d'attaque particulier et qu'ils le modifient et le perfectionnent au fil du temps. ; parfois ces modifications sont faites dans l'appareil technique et d'autres dans l'écriture. Les criminels de phishing profitent des nouvelles, exploitent et instillent la peur, et utilisent des délais stricts pour maximiser l'efficacité des attaques de phishing et créer un sentiment d'urgence. Par exemple, en décembre XNUMX, le lendemain de l'annonce par Boris Johnson du calendrier de déploiement du vaccin, des e-mails de phishing proposant le vaccin étaient déjà distribués. Cette attaque était prête à être lancée et a été déployée dès que le calendrier actuel a pu la rendre réalisable. Une fois qu'un kit de phishing est obsolète, il est ramené ou supprimé, laissant la place à de nouveaux kits d'outils améliorés qui ont appris des succès et des échecs de leurs prédécesseurs. De cette façon, les boîtes à outils des fraudeurs fiscaux suivent un cycle de vie similaire à un produit normal, ce qui signifie qu'il n'y a pas deux années de suivi des arnaques identiques.
Préparez-vous pour la prochaine étape
Comme nous l'avons vu, les escroqueries fiscales sont intrinsèquement insidieuses, manipulatrices et incroyablement dommageables. Ils profitent de nos peurs et de nos priorités pour exploiter, voler et imiter leurs victimes. Les criminels continueront de nous frapper lorsque nous serons les plus vulnérables et feront tout leur possible pour nous faire participer à leurs escroqueries en tirant parti de l'ingénierie sociale et en exploitant les sentiments associés à des événements mondiaux comme le Covid-19. L'un des principaux domaines dans lesquels nous prévoyons une augmentation des attaques est celui des appareils mobiles. Les victimes y sont particulièrement vulnérables et les criminels cibleront de plus en plus ce média. Cela se fera probablement à la fois par l'exécution explicite de campagnes ciblant les utilisateurs mobiles et, plus implicitement, par la façon dont nous consommons et utilisons de plus en plus les services Internet sur nos smartphones. Le déplacement d'un grand nombre de travailleurs rend également les attaques à partir d'appareils mobiles plus attrayantes, car davantage d'applications et de services liés au travail sont accessibles à partir de ces appareils. Cela crée une surface d'attaque soutenue dont les criminels bénéficieront sans aucun doute et continueront d'être un défi alors que nous naviguons dans de nouvelles méthodes de travail hybrides.