Qu'est-ce que le spam malveillant ?

Le malspam, abréviation de spam malveillant ou de spam contenant des logiciels malveillants, est un e-mail de spam dont la charge active est un logiciel malveillant. Les e-mails de malspam contiennent des contenus malveillants, tels que des liens ou des pièces jointes contenant des virus ou des logiciels malveillants.

Les e-mails indésirables sont souvent vus comme de simples nuisances, mais les malspams sont en réalité de véritables menaces capables de causer de sérieux dommages à la machine infectée et aux autres appareils connectés au même réseau.

Fonctionnement du malspam

L'envoi et la réception d'e-mails sont aujourd'hui omniprésents dans le monde du travail. En raison de sa popularité et de son utilisation constante, l'e-mail est un vecteur d'attaque très efficace pour envoyer des messages chargés de logiciels malveillants à des destinataires peu méfiants.

La cybermenace des malspams est apparue à la fin des années 90 lorsque le virus Melissa a été massivement diffusé par e-mail. À la suite du succès du virus Melissa, l'attaque par le ver informatique ILOVEYOU a rapidement eu lieu au début de l'année 2000, touchant des millions de destinataires d'e-mails. Depuis lors, le volume, la variété et la sophistication des malspams n'ont cessé d'augmenter.

Les cybercriminels déploient diverses méthodes pour propager des logiciels malveillants par e-mail, en y intégrant des charges actives dangereuses. La démocratisation de l'automatisation et de l'IA au cours de la dernière décennie a permis aux cybercriminels d'évoluer sans cesse dans leurs méthodes d'attaques par malspam afin d'éviter la détection par les solutions de sécurité des e-mails.

Par exemple, l'avènement des réseaux sociaux et la tendance à partager notre quotidien en ligne ont offert aux cybercriminels de nouvelles techniques pour intensifier leurs attaques de malspam. Les cyberattaquants utilisent efficacement des techniques d'ingénierie sociale, qui incluent des copies très convaincantes, souvent copiées de l'empreinte sociale du destinataire, et y ajoutent un logiciel malveillant actif. Cette méthode s'avère être l'une des plus efficaces pour tromper les destinataires lors des campagnes de malspam, permettant ainsi aux attaquants de s'implanter dans leurs systèmes.

Identifier les spams malveillants

Les utilisateurs d'e-mails doivent toujours rester vigilants et surveiller activement les signes de malspam suspects, car les cyberattaquants utilisent de nombreuses techniques sophistiquées. Voici quelques indicateurs à surveiller :

• L'adresse e-mail de l'expéditeur est incorrecte ou contient des erreurs dans le nom de domaine
• Le ton d'un message semble inapproprié, par exemple, si un collègue avec qui vous n'êtes pas familier ou que vous ne connaissez pas s'adresse à vous de façon trop amicale
• Le message est truffé de fautes de grammaire et d'orthographe
• Le contenu donne un sentiment d'urgence et vous demande d'agir rapidement à la suite d'une demande
• Le contenu contient un dernier avertissement concernant la suspension d'un compte
• L'e-mail contient une pièce jointe suspecte que le destinataire n'a pas demandée
• Les liens intégrés ont des URL inhabituelles
• Le message demande des identifiants, des informations de paiement ou d'autres renseignements personnels
• Le destinataire n'a pas initié la conversation. Tout e-mail non sollicité doit être traité avec précaution

Comment se protéger contre les malspams ?

À terme, pour transmettre leur malware, les cyberattaquants ont besoin que le destinataire clique sur un lien malveillant ou télécharge une pièce jointe infectée. Les destinataires d'e-mails ne doivent pas réaliser ces actions à moins d'être sûrs que l'e-mail est légitime.

Par exemple, si un collègue vous envoie un e-mail en réponse à une demande d'informations spécifiques, vous pouvez généralement le considérer comme sûr. Si jamais vous n'êtes pas totalement certain, la meilleure pratique de sécurité consiste à éviter de cliquer sur des liens ou de télécharger des fichiers.

Ne vous fiez pas uniquement à votre jugement. Assurez-vous aussi d'appliquer ces bonnes pratiques :

• Formez vos collaborateurs : vos collaborateurs doivent apprendre à identifier le malspam, à rester vigilants face à ses signes et à alerter immédiatement l'équipe de sécurité de l'entreprise en cas de tentative détectée.
• Utilisez un logiciel antivirus : les antivirus analysent les appareils pour prévenir, détecter et supprimer les logiciels malveillants qui pénètrent dans le système par l'intermédiaire d'un malspam.
• Utilisez une solution de sécurité pour les e-mails : les solutions de sécurité des e-mails bloquent automatiquement l'envoi de malspam ou déplacent ce type de messages vers un dossier de courrier indésirable en utilisant des listes prédéfinies créées par des chercheurs experts en sécurité.
• Utilisez un navigateur et un logiciel à jour : assurez-vous d'utiliser la dernière version de votre système ou navigateur, quel qu'il soit. Les entreprises doivent constamment appliquer des correctifs et mettre à jour leurs solutions pour renforcer leurs défenses contre les cybermenaces, notamment le malspam, car de nouvelles attaques innovantes sont sans cesse lancées.
• Ne répondez jamais à des malspams ou à d'autres e-mails suspects : répondre à des e-mails de malspam indique aux cybercriminels que votre adresse est active. Ils mettront l'adresse en haut de leurs listes de priorités et la cibleront à nouveau.
• Utilisez l'authentification multifacteur (MFA) : même si les identifiants d'une victime ont été compromis lors d'une attaque par malspam, l'authentification multifacteur requiert une vérification supplémentaire, comme un code d'accès envoyé sur un téléphone portable, avant de permettre l'accès à un compte sensible.

Signaler un spam malveillant

Si vous recevez un e-mail suspect de type malspam ou autre dans votre boîte de réception, protégez-vous et freinez la propagation de ces e-mails en les signalant immédiatement dès que vous les identifiez.

Les collaborateurs peuvent signaler les e-mails suspects directement à leur service informatique. Ils sont aussi encouragés à envoyer ces e-mails à l'agence gouvernementale américaine de cybersécurité, la Cybersecurity and Infrastructure Security Agency (CISA), en utilisant l'adresse e-mail phishing-report@us-cert.gov pour contribuer à la sécurité informatique de tous.