Usurpation du nom d'affichage

Ce guide fait partie de notre guide complet sur l’usurpation d’e-mail. Voir aussi : usurpation de domaine et usurpation d’e-mail vs phishing.

Qu’est-ce que l’usurpation du nom d’affichage et pourquoi c’est important

L’usurpation du nom d’affichage est une technique d’usurpation d’identité par e-mail dans laquelle un attaquant modifie le nom d’expéditeur visible dans un client de messagerie tout en utilisant une adresse e-mail sous-jacente différente. Par exemple, un message peut sembler provenir de « Microsoft Support », de « PDG Jane Smith » ou d’un directeur financier de confiance, alors même que l’adresse e-mail réelle appartient à un compte contrôlé par un attaquant. Cela est important car de nombreux utilisateurs — en particulier sur les appareils mobiles — peuvent remarquer le nom d’affichage avant de vérifier l’adresse e-mail complète.

Contrairement à l’usurpation de domaine, où les attaquants enregistrent des adresses e-mail similaires ou des domaines ressemblants tels que M1crosoft.com au lieu de Microsoft.com, l’usurpation du nom d’affichage ne nécessite souvent aucun contrôle sur le domaine d’expéditeur légitime. L’attaquant modifie simplement le nom « From » pour créer l’usurpation d’identité. Cela rend l’usurpation du nom d’affichage courante dans le phishing, le spear-phishing, la compromission de la messagerie d’entreprise et les campagnes BEC.

De solides contrôles de sécurité des e-mails sont essentiels car l’usurpation du nom d’affichage cible la confiance humaine plutôt que seulement les faiblesses techniques. Un filtre d’e-mail traditionnel peut arrêter un contenu malveillant, du spam ou des URL connues comme mauvaises, mais de nombreux messages d’usurpation du nom d’affichage ne contiennent aucun logiciel malveillant. Ils reposent sur l’ingénierie sociale : urgence, autorité, secret ou peur. C’est pourquoi l’usurpation du nom d’affichage est fréquemment associée à la fraude au PDG, au whaling et à l’usurpation d’identité de dirigeants.

L’impact commercial peut être grave. Le rapport sur la criminalité IC3 du FBI a identifié à plusieurs reprises la compromission de la messagerie d’entreprise comme l’une des formes les plus coûteuses de pertes liées à la cybercriminalité. Statista et d’autres sources sectorielles montrent également que le phishing reste un vecteur d’attaque initial dominant. Que la cible soit un PDG, un directeur financier, une équipe financière, un service RH ou un MSP gérant plusieurs clients, l’usurpation du nom d’affichage peut conduire à la fraude électronique, au vol d’identifiants, à la compromission de messagerie et à l’exposition de données.

Comment fonctionne l’usurpation du nom d’affichage dans les attaques réelles

Dans une attaque par usurpation de nom d’affichage typique, l’acteur malveillant crée ou compromet un compte e-mail, puis définit le nom d’affichage de l’expéditeur pour qu’il corresponde à une personne ou une marque de confiance. L’attaquant peut utiliser une boîte aux lettres gratuite, un domaine nouvellement enregistré ou une adresse e-mail qui paraît crédible au premier coup d’œil. Le domaine de l’expéditeur peut être sans rapport avec l’organisation, mais le nom d’affichage crée l’illusion de la légitimité.

Manipulation du nom From et usurpation d’identité de l’expéditeur

L’usurpation d’identité de l’expéditeur se produit lorsque des attaquants utilisent une adresse e-mail frauduleuse tout en affichant un nom de confiance, tel qu’un administrateur informatique, un employé des finances ou un dirigeant de l’entreprise. Sur les clients de messagerie mobiles, l’adresse complète de l’expéditeur peut être masquée, rendant ces messages plus difficiles à reconnaître. Les attaquants peuvent également rechercher des informations sur les employés et les organisations afin de créer des e-mails convaincants impliquant des factures, des paiements, des projets ou des demandes de compte.

SPF, DKIM et DMARC peuvent aider à réduire le risque d’usurpation et d’usurpation d’identité par e-mail. SPF identifie les serveurs d’envoi autorisés, DKIM aide à vérifier l’authenticité et l’intégrité des messages, et DMARC fournit des instructions pour traiter les messages qui échouent à l’authentification. La vérification et la surveillance régulières de ces enregistrements peuvent aider les organisations à détecter les expéditeurs non autorisés et à renforcer la sécurité des e-mails.

Scénarios de BEC, de spear-phishing et d’ingénierie sociale

Les attaques par compromission de la messagerie d’entreprise (BEC) commencent souvent par un simple message tel que « Êtes-vous disponible ? » ou « J’ai besoin que vous gériez quelque chose de confidentiel. » Ces e-mails peuvent ne contenir aucun lien malveillant, pièce jointe ou signe d’avertissement évident. Au lieu de cela, les attaquants établissent la confiance à travers une courte conversation avant de demander des cartes-cadeaux, des changements de paie, des virements bancaires, des informations financières ou des documents sensibles.

Les campagnes de spear-phishing peuvent utiliser l’usurpation du nom d’affichage pour se faire passer pour des dirigeants, des administrateurs, des équipes informatiques, des représentants du support client ou d’autres contacts de confiance. Un message peut prétendre qu’un mot de passe e-mail expire, qu’un compte nécessite une vérification ou qu’une mise à jour de sécurité importante est nécessaire. Les campagnes plus sophistiquées combinent l’usurpation du nom d’affichage avec l’usurpation de domaine, des domaines ressemblants et des adresses e-mail similaires pour donner un air légitime aux messages frauduleux.

Cibles courantes, signes d’alerte et risques commerciaux

L’usurpation du nom d’affichage cible les personnes qui peuvent autoriser des mouvements d’argent, accéder à des identifiants ou influencer les processus commerciaux. Les équipes financières, les dirigeants, le personnel RH, les administrateurs informatiques, les services juridiques et les services d’assistance MSP sont des cibles fréquentes. Un attaquant peut se faire passer pour un PDG afin de commettre une fraude au PDG, pour un directeur financier afin de rediriger des factures, ou pour un administrateur Microsoft afin de voler des identifiants M365. Les signes d’alerte incluent :

• Le nom d’affichage correspond à une personne connue, mais l’adresse e-mail n’est pas familière.

• Le domaine de l’expéditeur ne correspond pas à l’organisation légitime.

• Le message crée de l’urgence, du secret ou de la pression.

• La demande implique un paiement, des cartes-cadeaux, la paie, des changements bancaires ou des identifiants.

• Le ton ou le moment est inhabituel pour l’expéditeur supposé.

• Le client de messagerie n’affiche que le nom d’affichage, en particulier sur les appareils mobiles.

• Le message provient d’expéditeurs externes mais semble représenter des utilisateurs internes.

• Des bannières contextuelles ou d’avertissement indiquent un premier expéditeur ou une source externe.

  Les risques commerciaux sont plus larges qu’un seul paiement frauduleux. L’usurpation du nom d’affichage peut conduire au vol d’identifiants par phishing, à la compromission de la messagerie d’entreprise, à la fraude au paiement BEC, à la compromission de messagerie, à la perte de données, à l’exposition réglementaire et à l’atteinte à la réputation. Les attaques de whaling contre les dirigeants peuvent exposer des plans stratégiques, des discussions de fusion-acquisition, des questions juridiques ou des communications du conseil d’administration. La fraude au PDG peut également perturber les contrôles comptables et la confiance des fournisseurs.

Les équipes de sécurité devraient traiter l’usurpation du nom d’affichage comme plus qu’une simple nuisance. C’est souvent une étape précoce d’opérations de cybercriminalité plus vastes. Les indicateurs de compromission peuvent inclure de nouvelles règles de transfert, des emplacements de connexion suspects, des alertes de détection d’e-mails anormaux, des changements inhabituels d’adresses e-mail dans les registres de fournisseurs ou des conversations inattendues entre expéditeurs externes et utilisateurs des finances.

Comment détecter et enquêter sur les tentatives d’usurpation du nom d’affichage

Détecter l’usurpation du nom d’affichage nécessite une combinaison d’analyse d’identité, d’inspection du contenu, de réputation de l’expéditeur et de contexte comportemental. Les contrôles d’authentification de base tels que SPF, DKIM et DMARC sont importants pour la sécurité des e-mails, mais ils n’empêchent pas totalement l’usurpation du nom d’affichage car l’attaquant peut ne pas usurper directement le domaine de l’expéditeur. L’e-mail peut réussir l’authentification pour le propre domaine de l’attaquant tout en utilisant un nom d’affichage trompeur.

Signaux de détection techniques

Les outils modernes de sécurité des e-mails inspectent de multiples signaux pour identifier l’usurpation du nom d’affichage et l’usurpation d’identité de l’expéditeur, notamment le nom d’affichage visible, le domaine de l’expéditeur, l’adresse reply-to, les résultats d’authentification, les en-têtes du message et le comportement historique de l’expéditeur. Les organisations peuvent utiliser des contrôles d’authentification et de sécurité des e-mails pour détecter les messages suspects, vérifier les expéditeurs légitimes et réduire le risque d’usurpation d’identité de domaine et d’identité.

Les administrateurs peuvent également configurer des politiques anti-phishing pour protéger les dirigeants, les employés, les utilisateurs importants et les domaines de confiance contre les tentatives d’usurpation d’identité. Des enregistrements SPF, DKIM et DMARC correctement configurés fournissent une couche de protection supplémentaire en aidant les serveurs de messagerie de réception à vérifier si les messages sont autorisés à utiliser un domaine. La surveillance régulière et les contrôles d’authentification peuvent aider les organisations à identifier les problèmes de configuration, les expéditeurs non autorisés et les tentatives d’usurpation potentielles avant qu’elles n’affectent les utilisateurs. La détection devrait inclure :

• Comparer le nom d’affichage aux utilisateurs internes connus.
• Vérifier si l’adresse e-mail a déjà communiqué avec le destinataire.
• Vérifier le domaine, l’adresse e-mail, la réputation et les résultats d’authentification de l’expéditeur pour détecter des signes d’usurpation d’identité.
• Identifier les adresses e-mail similaires et les tentatives d’usurpation de domaine.
• Appliquer une analyse de contenu avancée au langage, à l’intention et aux demandes de paiement.
• Utiliser l’apprentissage automatique et l’analyse comportementale pour identifier les messages suspects.
• Corréler le renseignement sur les menaces avec l’infrastructure de phishing connue.

Flux de travail d’enquête pour les équipes de sécurité

Lorsqu’une alerte d’usurpation du nom d’affichage apparaît, les enquêteurs devraient préserver les en-têtes du message et confirmer la véritable adresse e-mail, le chemin reply-to, le domaine de l’expéditeur et les résultats d’authentification. Ils devraient rechercher les messages liés dans les boîtes aux lettres, en particulier ceux envoyés aux finances, aux RH, aux dirigeants et aux utilisateurs critiques. L’analyse du trafic d’e-mails peut révéler si le même attaquant a contacté plusieurs utilisateurs internes ou tenté un BEC dans plusieurs services.

Les équipes de sécurité devraient également vérifier si un destinataire a répondu, cliqué sur un lien, ouvert un contenu malveillant ou modifié des détails de paiement. Si des identifiants ont été saisis, traitez le cas comme une possible compromission de messagerie et inspectez le compte e-mail affecté à la recherche de règles de transfert, d’autorisations OAuth, de règles de boîte de réception et de connexions suspectes. Si de l’argent a été transféré, une escalade vers les services juridiques, les partenaires bancaires, les assureurs et éventuellement le FBI peut être nécessaire.

Pour les MSP, l’enquête devrait inclure des recherches à l’échelle des locataires sur les clients gérés si une campagne est active. L’usurpation du nom d’affichage se répète souvent d’un secteur à l’autre, et un même leurre de phishing peut être réutilisé contre plusieurs organisations.

Bonnes pratiques pour prévenir l’usurpation du nom d’affichage

Prévenir l’usurpation du nom d’affichage nécessite une sécurité des e-mails en couches, des politiques claires et une sensibilisation des employés. Aucun contrôle unique ne peut arrêter toutes les tentatives d’usurpation d’identité, surtout lorsque les attaquants utilisent l’ingénierie sociale et une infrastructure propre.

Commencez par l’authentification et la gouvernance des domaines. Configurez SPF, DKIM et DMARC pour les domaines légitimes, surveillez les domaines personnalisés et réduisez les possibilités d’usurpation de domaine. Bien que ces contrôles n’éliminent pas l’usurpation du nom d’affichage, ils renforcent la sécurité globale des e-mails et aident à détecter les abus de votre domaine d’expéditeur.

Ensuite, activez la protection contre l’usurpation d’identité des utilisateurs dans Microsoft Defender for Office 365 ou des plateformes comparables. Protégez les dirigeants, les responsables financiers, les administrateurs informatiques et les autres utilisateurs critiques. Configurez les paramètres de la politique anti-phishing pour l’usurpation d’identité de l’expéditeur, l’usurpation de domaine et le renseignement de boîte aux lettres. Utilisez les expéditeurs de confiance et les domaines de confiance avec prudence ; abuser des expéditeurs de confiance ou des domaines de confiance peut affaiblir la protection contre l’usurpation du nom d’affichage si les attaquants exploitent la confiance présumée. Les organisations devraient également déployer des bannières contextuelles et des bannières d’avertissement pour les expéditeurs externes, les premiers contacts et les messages où le nom d’affichage ressemble à celui d’un utilisateur interne. Ces bannières sont particulièrement utiles sur les appareils mobiles où l’adresse e-mail complète peut être masquée. Par exemple, une bannière indiquant « Cet expéditeur est extérieur à votre organisation » peut interrompre les tentatives de fraude au PDG, de whaling et de spear-phishing avant qu’un utilisateur ne réponde.

Les bonnes pratiques supplémentaires incluent :

• Exiger une vérification hors bande pour les changements de paiement, les virements bancaires et les demandes sensibles.
• Former les employés à inspecter l’adresse e-mail complète, pas seulement le nom d’affichage.
• Simuler des scénarios de phishing et de spear-phishing impliquant la fraude au PDG et le BEC.
• Ajuster les politiques de filtrage des e-mails pour détecter l’usurpation d’identité sans bloquer les activités commerciales légitimes.
• Utiliser la détection de fraude et la détection d’e-mails anormaux pour les flux de travail financiers.
• Surveiller les indicateurs de compromission après des réponses suspectes ou la saisie d’identifiants.
• Appliquer l’apprentissage automatique, le renseignement sur les menaces et l’analyse de contenu avancée lorsque cela est possible.
• Maintenir des flux de travail de signalement rapides pour les suspicions d’usurpation du nom d’affichage.

La protection la plus solide contre l’usurpation du nom d’affichage combine technologie, politique et culture : domaines authentifiés, Microsoft Defender for Office 365 ou contrôles équivalents, paramètres de politique anti-phishing bien ajustés, processus d’approbation clairs et utilisateurs qui comprennent comment fonctionnent réellement l’usurpation d’identité, la compromission de la messagerie d’entreprise, le BEC, le whaling, le spear-phishing et la fraude au PDG.