Des analystes de l’éditeur de sécurité RSA signalent l’existence d’un logiciel permettant aux professionnels de l’hameçonnage d’installer, grâce à un petit bout de code PHP, un site sur un serveur compromis, et cela, en moins de dix secondes.
Ce code contient, l’ensemble du code HTML et des éléments graphiques nécessaires à la création d’une page Web frauduleuse.
Bien entendu pour des raisons de sécurité ni RSA, ni silicon.fr ne souhaitent divulguer le nom de ce logiciel. Le fichier .exe du soft installe automatiquement le code et les éléments graphiques dans le bon dossier.
Un système automatisé qui apporte rapidité et confort d’utilisation aux cybercriminels, on croit rêver…
Le hacker n’a donc plus à répéter ses attaques pour accéder au serveur compromis, un seul passage suffit pour envoyer toutes les données nécessaires à la configuration du faux site. Qui plus est, le hacker restant moins longtemps sur la plate-forme piratée, il est nettement moins à même de se faire repérer et identifier par les logiciels de sécurité de sa cible.
« En utilisant ces kits, les fraudeurs automatisent le processus de piratage et peuvent créer des centaines de sites en une journée » peut-on lire dans le rapport de RSA.
C’est une très mauvaise nouvelle, pour les sociétés de sécurité qui essayent de limiter le phishing et également pour les institutions financières qui sont de plus en plus exposées à ce problème.
Qui plus est, généralement avant de se lancer dans une attaque par phishing les hackers enquêtent et se livrent à de l’ingénierie sociale. Ils cherchent à identifier les OS utilisés par la cible, trouver des éléments pour identifier les mots de passe, etc. Avec ce kit « clé en main » cette étape longue et pénible peut être oubliée.
Malgré des efforts intensifs des éditeurs de sécurité, la durée de vie d’un site de phishing était au mois de mai 2007, de l’ordre de 3 à 8 jours.
Des données, fournies par les analystes de Gartner montre que le nombre de sites de phishing a doublé de 2006 à 2007.
Selon l’institut, 3,5 millions d’internautes ont déjà donné des informations confidentielles à un hameçonneur et 2,3 millions ont déjà été les victimes d’un de ces arnaqueurs de la Toile.
Aux USA, la perte moyenne occasionnée par une attaque de phishing est de l’ordre de 1,250$ par victime.