La lutte contre le phishing : pourquoi la collaboration est essentielle

Qui est responsable lorsqu'une attaque par hameçonnage réussit et que quelqu'un tombe dans le piège ? Comment les banques, les prestataires de services de paiement et les autres acteurs de la chaîne peuvent-ils collaborer pour mettre les fraudeurs hors jeu ? Et comment l'IA transforme-t-elle la manière les méthodes de phishing et la façon dont nous nous en protégeons ?

Une chose devient rapidement évidente au cours de la discussion : la lutte contre le phishing ne relève pas de la responsabilité d'un seul acteur, mais constitue un défi pour l'ensemble de la chaîne.

Le phishing est devenu un modèle économique

L'époque où le phishing était l'œuvre d'un individu envoyant des messages au hasard est révolue. Selon Gert-Jan, nous devons aujourd'hui faire face à des organisations criminelles structurées qui gèrent leurs activités de phishing presque comme une véritable entreprise.

Des messages sont envoyés à grande échelle afin d'identifier des victimes potentielles. Une grande partie de ce processus est automatisée. Ce n'est que lorsqu'une personne clique sur un lien ou réagit qu'elle progresse dans ce que Gert-Jan décrit comme un tunnel de phishing.

À partir de là, les fraudeurs travaillent de manière extrêmement professionnelle. L'énorme volume de messages qu'ils envoient leur fournit une grande quantité de données sur ce qui fonctionne et ce qui ne fonctionne pas. Ils exploitent ces informations pour ajuster continuellement leur approche. À l’image des entreprises qui optimisent leur marketing, les gangs de phishing pratiquent l'A/B testing : les messages efficaces sont affinés pour obtenir des résultats encore meilleurs lors de la tentative suivante.

Ce professionnalisme rend les messages de phishing de plus en plus difficiles à détecter.

Tout le monde peut être victime

Faire porter toute la responsabilité sur la victime est, selon Gert-Jan, une vision trop simpliste.

Bien entendu, la vigilance reste essentielle. Les consommateurs doivent examiner attentivement ce qui leur est demandé et savoir s'arrêter à temps si quelque chose leur semble suspect. Mais les fournisseurs de technologies et de services de paiement ont eux aussi la responsabilité de rendre le plus clair possible ce qui se passe lors d'un paiement.

À cela s'ajoute le fait que les fraudeurs peuvent cibler leurs victimes de manière toujours plus précise. Ils disposent souvent de bien plus qu'un simple numéro de téléphone ou une adresse e-mail. Des données personnelles dérobées ailleurs peuvent être utilisées pour construire un scénario crédible et gagner la confiance de leur cible.

L'idée selon laquelle le phishing ne toucherait qu'un groupe spécifique de personnes moins attentives est donc fausse. Tout le monde peut être ciblé au mauvais moment par le bon message.

Même si vous identifiez une tentative de phishing à temps, vous pouvez contribuer à la lutte contre la fraude. En signalant les messages suspects à, par exemple, Safeonweb ou à la banque concernée, les organisations obtiennent des informations précieuses sur les techniques utilisées par les fraudeurs, ce qui permet ensuite d'améliorer les systèmes de sécurité.

Rendre le phishing moins rentable

Face à un phishing organisé de manière aussi professionnelle, nous devons repenser notre manière de le combattre.

Au cours de l'entretien, Gert-Jan établit une comparaison intéressante : les réseaux de phishing raisonnent eux aussi en termes de rentabilité. Rechercher et convaincre des victimes demande du temps et de l'argent. Le rendement doit donc être suffisant pour justifier leurs efforts.

Le défi pour les banques, les prestataires de services de paiement et les entreprises technologiques n'est donc pas seulement de bloquer les tentatives individuelles de phishing, mais aussi de rendre le modèle économique qui le sous-tend aussi complexe et peu rentable que possible.

Cela signifie qu'il faut multiplier les obstacles pour le fraudeur, sans pour autant compliquer le parcours du consommateur. Aucun acteur de la chaîne ne peut atteindre cet équilibre seul. C'est précisément pour cette raison qu'une bonne collaboration est essentielle.

Aucun acteur ne dispose d’une vue d’ensemble

En effet, plusieurs acteurs interviennent dans le traitement d'un seul paiement en ligne. Ce qui semble être une opération simple pour le consommateur repose, en coulisses, sur toute une chaîne.

Chaque partie de cette chaîne dispose d'informations différentes. L'émetteur de la facture en connaît le contexte. Un prestataire de paiement voit d'autres éléments de la transaction. Un système de paiement comme Bancontact dispose, quant à lui, d'autres données transactionnelles.

Mais aucune partie ne voit, à elle seule, une vue d’ensemble.

Selon Gert-Jan, c'est là que réside l’une des clés d’une lutte plus efficacement contre le phishing. En partageant des informations et des signaux pertinents au-delà des frontières organisationnelles, les différentes parties peuvent ensemble mieux contextualiser les transactions et les risques.

Cela permet de mieux réagir aux nouvelles méthodes de phishing qui apparaissent.

La lutte contre le phishing ne se limite donc pas à une meilleure sécurité au sein de chaque organisation. Plus les différents maillons de la chaîne collaborent, plus l'ensemble devient robuste.

POM, Bancontact et itsme® unissent leurs forces

C'est précisément l’idée qui sous-tend la collaboration entre POM, Bancontact et itsme®.

Ensemble, nous veillons à ce que les factures puissent être transmises directement dans l'application Bancontact Pay. Les factures disposent ainsi, en quelque sorte, d’un port d’attache sécurisé, où le consommateur peut les recevoir et les payer dans un environnement de confiance.

Cette approche crée un parcours sûr et direct, de la facture au paiement, mettant les fraudeurs hors-jeu tout en préservant la simplicité pour le consommateur.

C'est un bel exemple de ce qu'il est possible d'accomplir lorsque différents acteurs de la chaîne mettent en commun leurs technologies et leur expertise : renforcer la sécurité sans ajouter de friction pour l'utilisateur final.

L'IA change la donne des deux côtés

Parallèlement, les technologies utilisées pour le phishing continuent d’évoluer. L'IA peut notamment accélérer encore davantage sa professionnalisation et son automatisation.

Dans le POMcast, Gert-Jan cite un exemple frappant tiré d’une compétition d'ingénierie sociale lors de DEF CON. Alors qu'auparavant les participants tentaient eux-mêmes d'obtenir des informations par téléphone, des systèmes d'IA ont également pu participer l'an dernier. Une IA capable d’appeler de manière autonome et tente de convaincre quelqu'un : voilà qui illustre la vitesse à laquelle la technologie évolue.

Pour les gangs de phishing, cela signifie qu'une nouvelle partie de leur processus peut être automatisée. Des tâches qui nécessitent encore une intervention humaine aujourd'hui pourraient, à l'avenir, être de plus en plus souvent confiées à l'IA.

Mais heureusement, cette évolution fonctionne dans les deux sens.

Les entreprises technologiques et les prestataires de services de paiement peuvent également utiliser l'IA pour mieux détecter la fraude, reconnaître de nouveaux schémas et réfléchir à de nouveaux mécanismes de défense. La question est donc de savoir comment les deux camps utiliseront cette technologie et à quelle vitesse les possibilités continueront d'évoluer.

Gert-Jan ne considère pas nécessairement la réglementation actuelle comme un frein. Selon lui, les entreprises technologiques disposent encore d’une importante marge de manœuvre pour lutter contre le phishing.

La lutte contre le phishing se gagne ensemble

Le phishing n'est donc pas une problématique binaire. Le consommateur a un rôle à jouer, mais il en va de même pour les banques, les prestataires de services de paiement, les entreprises technologiques et toutes les autres parties qui font partie de la chaîne.

Parallèlement, les adversaires se professionnalisent toujours davantage. Ils automatisent, expérimentent et utilisent les nouvelles technologies pour affiner constamment leur approche.

C'est pourquoi une part essentielle de la réponse réside dans la collaboration: partager les signaux pertinents, combiner technologie et expertise, et créer des parcours sécurisés qui réduisent au maximum les possibilités d’intervention des fraudeurs.

___

➡️ Regardez ou écoutez l'épisode complet du POMcast (en néerlandais) sur YouTube, Spotify ou Apple Podcasts.