Moment de sécurité
Quelqu’un a cliqué sur un lien d’hameçonnage.
Respirez. Puis faites ces cinq choses.
La plupart des clics sur un lien d’hameçonnage sont rattrapables si vous agissez dans la première heure. Voici la liste de vérification que nous utilisons dans de vrais incidents, gratuite à suivre, sans inscription.
Obtenir de l’aide en cas d’incident maintenant (en anglais) Voir la liste de vérification
Intrusion en cours? Appelez ThreeShield : 1-403-538-5053
La première heure
1. N’effacez rien pour l’instant
Résistez à l’envie de réinitialiser aussitôt l’ordinateur, car vous risquez de détruire les preuves qui vous diront si des identifiants ou des sessions ont été volés. Déconnectez-le plutôt du réseau.
2. Réinitialisez le mot de passe et révoquez les sessions
Une réinitialisation du mot de passe ne déconnecte pas l’attaquant à elle seule. Dans Microsoft 365, révoquez toutes les sessions actives et tous les jetons d’actualisation de l’utilisateur. Les trousses d’hameçonnage modernes volent les témoins de session, pas seulement les mots de passe.
3. Vérifiez les journaux de connexion et les autorisations OAuth
Cherchez les connexions depuis des endroits inhabituels et tout nouveau consentement à une application OAuth dans les minutes suivant le clic. Les attaquants installent des règles de courrier et des autorisations d’applications pour conserver leur accès après la réinitialisation du mot de passe.
4. Vérifiez les règles de boîte aux lettres et le transfert
Les règles de boîte de réception cachées qui transfèrent ou suppriment du courrier sont la technique de persistance la plus courante. Vérifiez la boîte aux lettres touchée, puis celle du chef de la direction financière, car c’est là que les attaquants rebondissent.
5. Trouvez qui d’autre a reçu le courriel
Un clic signifie habituellement vingt livraisons. Cherchez l’expéditeur et l’objet dans toutes les boîtes aux lettres et retirez le message avant que quelqu’un d’autre clique.
Cessez de courir après chaque nouvelle attaque
Phishing Reporter pour Outlook
Quand quelqu’un signale un courriel suspect, Lavawall® le vérifie immédiatement. Il analyse le message, ses PDF et ses pièces jointes, ainsi que chaque lien, y compris les liens encapsulés par des filtres antipourriel comme Proofpoint et Egress Defend, puis indique tout de suite à la personne s’il est dangereux. Aucune attente, aucun ticket. Votre centre d’assistance cesse de recevoir des questions du genre « est-ce sécuritaire? », vous voyez toutes les autres personnes qui ont reçu le même message, et chaque signalement devient une courte leçon pour son auteur. Et quand quelqu’un veut qu’un humain vérifie, les analystes de ThreeShield examinent le message, de sorte que votre équipe peut même prendre des vacances.
En savoir plus →Détection d’intrusions dans M365
Lavawall® met en corrélation les connexions à risque, les autorisations OAuth et les modifications de règles de boîte aux lettres (exactement les techniques de persistance de la liste de vérification ci-dessus) et vous alerte quand elles se produisent.
En savoir plus →Formation de sensibilisation à la sécurité
Une formation courte et réaliste qui transforme la personne qui a cliqué en personne qui signale. Incluse avec Phishing Reporter.
En savoir plus →Voyez les signaux que votre filtre cache, avant le prochain clic
Un clic de ce genre aboutit souvent parce que les signes d’alerte étaient cachés. Votre passerelle de courriel sécurisée a réécrit chaque lien en sa propre URL de suivi, de sorte que personne ne pouvait survoler le lien pour voir où il menait vraiment. Le Phishing Reporter de Lavawall® déballe ces liens et montre la vraie destination, son âge et sa réputation, directement dans Outlook, en trois secondes environ. Cette réponse rapide, en langage clair, permet aux équipes de réduire d’environ 93 % les tickets d’assistance liés à l’hameçonnage; pour les rares courriels qui exigent encore un humain, vos techniciens peuvent ouvrir le message original complet, même un fichier .eml qu’un autre outil de signalement comme KnowBe4 PhishAlert a envoyé en pièce jointe.
Lavawall® déballe les liens encapsulés par ces outils et fonctionne en parallèle avec eux :
Microsoft 365 Defender (EOP) · Microsoft Safe Links · Cisco Secure Email (IronPort) · Proofpoint · Proofpoint URL Defense · Mimecast · Mimecast URL Protect · Barracuda · Barracuda Link Protection · Egress Defend · Vade Secure · Sophos Email · Forcepoint · Symantec Email Security.cloud · Trend Micro Email Security · Storagepipe et Thrive · FireEye et Trellix.
Il transforme aussi vos simulations d’hameçonnage en renforcement positif, en reconnaissant et en récompensant l’utilisateur qui repère un test de Lavawall® ou de l’un de ces outils :
KnowBe4 · Microsoft Defender Attack Simulator · Proofpoint Security Awareness · Cofense PhishMe · IRONSCALES · Hoxhunt · Barracuda PhishLine · Mimecast Awareness Training · Infosec IQ · Sophos Phish Threat · Huntress Security Awareness · Abnormal Security · GoPhish · Lucy Security · Wombat et Proofpoint · Terranova Security · Ninjio · Curricula · Phished.io · LMS365 Awareness.
Vous voulez qu’un expert en sécurité chevronné s’en occupe avec vous?
ThreeShield, l’équipe CISSP/CISA qui conçoit Lavawall®, gère les incidents d’hameçonnage, le renforcement de M365 et les examens après incident pour les petites équipes TI. Aucun contrat de retenue pour le premier incident.
Questions fréquentes
- Un employé a cliqué, mais n’a pas saisi de mot de passe. Sommes-nous en sécurité?
- Probablement, mais pas à coup sûr. Certaines pages d’hameçonnage recueillent des jetons de session ou déclenchent un consentement OAuth sans demander de mot de passe. Vérifiez les journaux de connexion et les autorisations OAuth récentes avant de clore l’incident.
- Combien coûte Phishing Reporter?
- C’est un module Lavawall®, facturé mois par mois sans minimum, avec un essai gratuit sans carte de crédit. La plupart des équipes le déploient dans toutes les boîtes aux lettres en moins d’une heure.
- Quelqu’un peut-il simplement s’en occuper pour nous?
- Oui, c’est ThreeShield. Un seul appel, et l’équipe qui conçoit Lavawall® gère l’incident avec vous.