Je vais me permettre de refaire un tour d'horizon sur les menaces qui sont liées à l'usage des boites e-mail. Je vais vous montrer qu'une boite e-mail est bien plus dangereuse qu'une potentielle usine à spam et qu'elle peut se transformer en vrai cauchemar pour vous. Notamment être la cause de vos plus grosses fuites de données. Bien sûr à la fin je vous donne une liste de bonnes pratiques.
Usage classique des boîtes e-mail
Globalement on peut estimer que 80 % des personnes utilisent leur boite e-mail comme zone de stockage, d'archivage etc. On rappellera juste qu'une boite e-mail c'est fait pour recevoir et envoyer des e-mails… Imaginez votre boite-aux-lettres chez vous ou au bureau, vous l'utiliseriez vraiment comme zone d'archivage ou de stockage ? Au vu de la taille je suis certain que non et c'est sans parler de la sécurité, intempérie, vol etc.
Ces e-mails légitimes qui sont dangereux
Un e-mail dangereux c'est quoi ? Tout d'abord, ce n'est pas forcément un e-mail envoyé par un pirate informatique. Et oui bien souvent on peut considérer que les e-mails dangereux sont des e-mails légitime que vous avez envoyés et/ou reçus.
Je développe, il est quasi systématique que lorsque vous vous inscrivez sur un site, vous recevez un e-mail. Par moment dans cet e-mail on trouve votre identifiant et votre mot de passe. Vous voyez où je veux en venir ? Eh bien oui dans 90 % des cas vous ne supprimez pas cet e-mail. Pire dans certain cas, les plus ordonnées le rangent dans un dossier « Mot de passe » dans leur boite e-mail ! Ou encore vous gardez factures, déclarations d'impôts et que sais-je encore de sensible.
Mais il arrive aussi souvent que pour un point de vue professionnel, du moins pour les agences informatiques, agence web etc. ; vous devez créer des couples identifiants/mots de passe pour vos clients. Une fois que vous avez créé ces comptes vous les envoyez très souvent par… e-mail bien entendu.
Imaginez si un pirate prend le contrôle de votre boite e-mail ? Toutes ces informations importantes seraient en sa possession rapidement. Avec un outil tel qu'IMAPSize on peut copier 100 % d'une boite e-mail sans éveiller les soupçons. Le pirate a juste besoin de vos accès, qui ne sont pas toujours compliqués à deviner.
Les menaces venant des pirates
Voici une liste la plus complète possible des e-mails malveillant que vous pouvez recevoir.
Virus :
Principalement des virus contenus dans des pièces jointes. Certains vont installer des logiciels pour voler des fichiers/informations sur votre PC. Bien sûr vous allez aussi trouver des ransonwares, logiciels qui vont chiffrer vos fichiers personnels et vous demander une rançon pour les récupérer.
De plus en plus je vois arriver des e-mails soi-disant envoyés par moi-même avec des pièces jointes. Il s'agit en fait d'un pirate qui en est à l'origine et la pièce jointe comporte un virus.
Phishing :
Vous allez aussi très souvent recevoir des e-mails de « phishing », c'est-à-dire vous envoyer sur un faux site de votre banque pour récupérer vos informations personnelles. Pour en savoir plus sur le phishing, ou le Spear-phishing.
Social engineering :
Vous avez peut-être déjà eu aussi des e-mails ou l'on vous demande des informations personnelles. Le but du pirate est de vous dérober des informations précieuses. Le but étant pour lui de mener une attaque plus complexe, ou simplement de se connecter à l'un de vos comptes. Plus d'information sur le Social engineering sur wikipédia.
Pirater une boite e-mail complexe ?
Comme tout en informatique une boite e-mail peut être piratée. Soit en vous envoyant un virus ou en récupérant des informations pour deviner votre mot de passe, ou en essayant toutes les combinaisons possibles. Vous voyez le lien avec ce qui est écrit au-dessus ? Et oui répondre à un e-mail anodin sur des informations personnelles ça peut vous nuire.
Moins rassurant comme on peut le lire dans le rapport Underground Hacker Markets paru en avril 2016, on peut acheter le piratage d'une boîte e-mail pour environ 129 $ (Gmail, Hotmail, Yahoo, etc.), compter 500 $ pour les plus complexes (principalement des grands comptes). Vu l'usage classique que je vous ai expliqué plus haut vous prenez la mesure des informations importantes qui peuvent fuiter...
Pour conclure, les bonnes pratiques
Après vous avoir effrayé, ou pas, je vais tout de même vous donner une liste de bonnes pratiques pour utiliser au mieux cet outil indispensable qu'est la boite e-mail.
- Tout e-mail avec un mot de passe doit être supprimé, suivie immédiatement par un « vider la corbeille »
- Si vous envoyez un mot de passe ou une information sensible par e-mail, supprimez la copie de votre e-mail qui se trouve dans votre dossier « messages envoyés », suivie immédiatement par un « vider la corbeille »
- Quand vous faites répondre à tous, répondre ou transférer, faîtes attention de retirer du message les informations sensibles qui peuvent s'y trouver.
- N'hésitez pas à demander au destinataire de l'e-mail de le détruire à réception. C'est ce que je fais systématiquement lors de l'envoi d'informations sensibles.
- Tout e-mail louche qui contient une pièce jointe, ou pas, directement à la corbeille et avertissez votre équipe informatique DSI + RSSI.
- Si vous avez un lien dans un e-mail avant de cliquer dessus regardez ou lien vous emmène (juste en passant votre souris au dessus vous devriez voir en bas à gauche de votre écran la destination réel du lien)
- Si vous le pouvez étudiez la possibilité de mettre en place une double authentification
- Pour vos smartphone et PC Portable installer des logiciels vous permettant d'effacer des données à distance en cas de vol, pertes etc. tel que Kaspersky Lab Internet Security.
Crédit photo : Designed by Freepik
