Quand les pièces jointes d'un courriel peuvent-elles être ouvertes en toute sécurité ?

Quand les pièces jointes d'un courriel peuvent-elles être ouvertes en toute sécurité ?

La possibilité de joindre des fichiers aux courriels est utile, mais elle présente également des risques. Les pièces jointes des courriels provenant de parties malveillantes peuvent contenir un logiciel malveillant, ce qui peut entraîner un piratage ou une violation des données.Il n'existe pas de moyen infaillible de savoir si une pièce jointe à un courriel peut être ouverte sans danger, mais les pièces jointes inattendues provenant de personnes inconnues sont doivent être traitées avec une prudence particulière.

Pourquoi les pièces jointes aux courriels sont-elles dangereuses ?

Une pièce jointe à un courriel est un fichier envoyé dans le même temps qu'un courriel — comme un cadeau qui videndrait avec une carte. Presque tous les types de fichiers peuvent être joints à un courriel ; la seule limite est généralement la taille du fichier ou le nombre de fichiers que le client de messagerie accepte. Mais comme tout fichier envoyé sur un réseau, les pièces jointes aux courriels peuvent parfois consister en des contenus dangereux ou malveillants susceptibles d'infecter un appareil avec un logiciel malveillant.

Les attaquants tentent souvent de diffuser des logiciels malveillants en les joignant à des courriels. Parfois, ils joignent un logiciel malveillant sous la forme d'un fichier exécutable (EXE) et tentent d'inciter le destinataire du courrier électronique à télécharger et à ouvrir le fichier, ce qui permet d'exécuter le logiciel malveillant. D'autres fois, ils peuvent dissimuler un script malveillant dans un fichier d'apparence inoffensive, comme un document Microsoft Word (DOC, DOCX) ou un fichier d'archive (ZIP, RAR, etc.). Une fois le script exécuté, il télécharge et installe un logiciel malveillant ou effectue une autre action malveillante. Enfin, les attaquants peuvent dissimuler des logiciels malveillants ou des scripts dans des types de fichiers qui semblent peu susceptibles de les contenir, comme des images ou des fichiers vidéo.

Imaginez une pièce jointe à un courriel comme un cadeau emballé et le courriel auquel elle est jointe comme une carte qui l'accompagne. La personne qui reçoit le cadeau ne peut pas savoir ce qu'il contient avant de l'ouvrir. De même, il est impossible d'être sûr de ce que contient réellement une pièce jointe à un courriel. Et malheureusement, comme presque tout le monde peut s'envoyer des courriels, cela signifie que toutes les pièces jointes doivent être traitées avec méfiance. C'est le cas même si le courriel d'accompagnement — la "carte" pour rester dans la même analogie —semble provenir d'une personne de confiance.

Quelles sont les pièces jointes que l'on peut ouvrir en toute sécurité ?

Comme pour tous les aspects de la sécurité, il n'existe aucun moyen de garantir qu'un fichier donné est sûr. Toutefois, répondre aux questions suivantes peut aider à déterminer si une pièce jointe à un courriel doit être fiable. Si la réponse à l'une de ces questions est "non," il est sage pour les utilisateurs de contacter l'expéditeur présumé - ou de contacter l'équipe de sécurité de leur organisation.

• Connaissez-vous l'expéditeur ? Les pièces jointes d'un courriel provenant d'une source connue ont plus de chances d'être dignes de confiance que celles provenant d'une source inconnue. Une personne que le destinataire n'a jamais rencontrée a beaucoup moins de chances d'avoir une raison légitime d'envoyer une pièce jointe à un courriel - tout comme il est peu probable que l'on reçoive des cadeaux d'anniversaire de la part d'inconnus.
• Pouvez-vous confirmer que l'expéditeur a réellement envoyé l'e-mail ? Parfois, des parties malveillantes se font passer pour un expéditeur connu et digne de confiance, voire pour une personne figurant dans la liste de contacts ou l'organisation du destinataire. Ils peuvent le faire en falsifiant ou en usurpant l'adresse électronique de l'expéditeur, ou en s'introduisant dans la boîte de réception de l'expéditeur et en envoyant l'e-mail en son nom.
• Attendiez-vous cet email ?Les courriels inattendus sont souvent le signe d'une tentative d'attaque. La plupart des courriels malveillants ne sont pas attendus - personne ne veut se faire pirater, après tout.
• Vous attendiez-vous à ce que l'e-mail contienne une pièce jointe ? Même si le courriel lui-même est attendu, une pièce jointe inattendue ou non pertinente peut être malveillante.
• La pièce jointe est-elle un type de fichier attendu ? Par exemple, si l'expéditeur indique qu'il a joint ou qu'il joindra une image, mais que le fichier reçu est un PDF ou un EXE, cela peut être un signe que le fichier n'est pas fiable.

Si vous pouvez répondre par l'affirmative à toutes ces questions, il est plus probable, mais pas encore garanti, que la pièce jointe du courrier électronique soit sûre.

Quand les pièces jointes d'un courriel ne sont pas suffisamment sûres pour être ouvertes en toute sécurité ?

Les questions de la section précédente constituent un bon point de départ pour identifier les pièces jointes potentiellement dangereuses. Les indicateurs supplémentaires indiquant qu'un message peut être dangereux à ouvrir sont les suivants :

• Urgence : Les attaquants veulent que les personnes qui reçoivent leurs e-mails agissent rapidement, avant qu'elles n'aient le temps de se poser des questions ou d'enquêter davantage. L'e-mail peut exiger que le destinataire télécharge ou ouvre rapidement la pièce jointe.
• L'e-mail est envoyé à un grand groupe ou à des destinataires inconnus : Les attaquants tendent parfois un filet aussi large que possible pour augmenter les chances qu'une personne télécharge la pièce jointe malveillante. Pour ce faire, ils envoient le courriel malveillant à de longues listes de destinataires ou à des alias de courriel de grands groupes. Ils peuvent essayer de dissimuler le nombre de personnes auxquelles l'e-mail est envoyé en utilisant la fonction BCC et en laissant le champ "To" vide.
• Style d'écriture inhabituel dans un courriel : Les fautes d'orthographe et de grammaire sont un signe courant qu'un courriel peut provenir d'un escroc. Mais parfois, les expéditeurs légitimes ignorent aussi ces conventions. Les destinataires doivent comparer l'e-mail au style de rédaction typique de l'expéditeur. En outre, si l'e-mail porte sur des sujets que l'expéditeur n'aborde pas habituellement, il se peut que l'e-mail ne provienne pas réellement de l'expéditeur supposé.
• Absence d'accueil personnalisé : Les attaquants n'ont pas toujours le temps de cibler leurs victimes une par une. Un message d'accueil générique, ou l'absence de message d'accueil, peut être un signe que le courriel n'est pas légitime. (Ce n'est pas toujours le cas - notamment dans les attaques de spear phishing et de compromission des e-mails professionnels , les menaces par e-mail sont parfois très ciblées et personnalisées).
• Le fichier joint contient un logiciel malveillant : De nombreux fournisseurs de messagerie identifient les éventuels logiciels malveillants à l'aide d'une analyse anti-malware et signalent les pièces jointes dangereuses - un signe clair que l'e-mail ne doit pas être ouvert.

Quels types de pièces jointes aux courriels peuvent contenir des logiciels malveillants ?

Tout type de fichier peut contenir un code malveillant. Les fichiers d'archives, les PDF, les documents Microsoft Word et les feuilles de calcul Microsoft Excel ont été utilisés dans de nombreuses attaques de logiciels malveillants. Cependant, les attaquants ne se limitent pas à ces types de fichiers. Tout, des images aux fichiers texte, peut être dangereux.

L'un des types de fichiers les plus dangereux est le fichier exécutable. Les fichiers exécutables sont des instructions de programmation qu'un ordinateur exécute lorsque les fichiers sont ouverts. Il est rare qu'un expéditeur légitime joigne un code exécutable à un courrier électronique - généralement, un logiciel est envoyé d'une autre manière. Les fichiers exécutables ont une extension de fichier EXE (sous Windows) ou APP (sous Mac).

Qu'est-ce qu'une extension de fichier ?

Une extension de fichier est le texte qui suit le point qui marque la fin du nom d'un fichier. Par exemple, dans le nom de fichier "quiche-recipe.doc", l'extension de fichier est .doc. ou DOC. Les extensions de fichier indiquent le type de fichier - une extension de fichier DOC indique qu'il s'agit d'un document Microsoft Word.

Les extensions de fichiers peuvent être falsifiées ou contrefaites. L'identification de l'extension du fichier n'est pas un moyen fiable de déterminer si un fichier est sûr ou non.

D'autres extensions de fichiers courantes à connaître incluent, sans s'y limiter :

• Microsoft Word : .doc, .docx (DOC, DOCX)
• Microsoft Excel : .xls, .xlsx (XLS, XLSX)
• Adobe Acrobat PDF : .pdf (PDF)
• Fichiers exécutables : .exe, .app (EXE, APP)
• Fichiers d'archives : .zip, .rar, .iso (ZIP, RAR, ISO)
• Fichiers image : .jpeg, .png, .gif (JPEG, PNG, GIF)
• Fichiers audio : .mp3, .wav (MP3, WAV)
• Fichiers Web : .html, .css, .js (HTML, CSS, JavaScript)
• Fichiers de texte brut : .txt (TXT)

Comment les attaquants intègrent-ils des macros, des scripts et d'autres contenus dangereux dans des fichiers courants ?

Dossiers de bureau

Une macro est un script exécutable à utiliser dans les fichiers Microsoft Office tels que Word et Excel. Si les macros ont de nombreuses utilisations légitimes, elles ont également été utilisées dans des attaques. Si une pièce jointe demande au destinataire d'activer des macros, elle peut être malveillante.

PDFs

Les attaquants peuvent intégrer du JavaScript malveillant dans les PDF, ainsi que des liens vers des sites web dangereux ou des fichiers hébergés dans le cloud et contrôlés par ces personnes.

Fichiers d'archives

Un fichier d'archive est un format de fichier permettant de stocker un ou plusieurs fichiers dans un ensemble unique, ainsi que des métadonnées contenant ces fichiers. Les fichiers d'archives sont également souvent compressés afin de les rendre plus portables. Un fichier d'archive n'est qu'un emballage pour le(s) fichier(s) qu'il contient - il peut contenir n'importe quoi. Cela les rend pratiques pour les attaquants, qui peuvent dissimuler un fichier malveillant dans un fichier d'archive, puis inciter un utilisateur à télécharger le fichier et à ouvrir son contenu.

Autres fichiers

Des scripts et des liens non sécurisés peuvent être inclus dans presque tous les types de fichiers, soit directement dans le fichier, soit cachés dans ses métadonnées. En outre, les attaquants peuvent falsifier l'extension d'un fichier de sorte qu'un fichier malveillant semble être une image, un fichier audio, un fichier vidéo, un fichier TXT ou un autre type de fichier auquel l'utilisateur est plus susceptible de faire confiance.

Quelles sont les attaques de ransomware qui ont utilisé des pièces jointes à des courriels ?

Au fil des ans, de nombreuses attaques de ransomware ont pénétré dans une organisation ou atteint l'ordinateur de la victime par le biais d'une pièce jointe à un courriel. En voici quelques exemples :

• Le ransomware Petya se propage souvent par le biais de courriels adressés aux services des ressources humaines, avec de fausses demandes d'emploi jointes en PDF.
• Très tôt, le ransomware Maze s'est propagé à ses victimes par le biais de pièces jointes d'emails malveillants (Cette méthode peut encore être utilisée, mais Maze se propage également par le biais de exploits de vulnérabilité RDP et d'autres vecteurs d'attaque.)
• On sait que le groupe REvil a utilisé pièces jointes d'emails pour diffuser son ransomware.

Certaines attaques de ransomware ne font pas directement appel à des pièces jointes de courriels, mais s'appuient sur des attaques précédentes qui ont, elles, eu lieu avec des pièces jointes. Le ransomware Ryuk pénètre souvent dans une organisation par le biais d'une infection TrickBot, qui se propage à son tour souvent via le botnet Emotet. (Ces attaques multicouches sont courantes et démontrent la variété des actions dont dispose un attaquant une fois qu'il a pris pied sur le réseau d'une organisation). Emotet s'est le plus souvent propagé par le biais de documents Word malveillants joints à des courriels.

Quelles autres attaques utilisent les pièces jointes des e-mails ?

Tout script ou logiciel malveillant peut être caché dans une pièce jointe d'un courriel, ce qui permet ensuite aux attaquants d'accéder aux réseaux, de voler des données confidentielles et d'effectuer d'autres actions malveillantes. Une fois que la pièce jointe a été ouverte par son destinataire, elle peut être utilisée pour diffuser des logiciels espions, des logiciels publicitaires, des vers ou même des réseaux de zombies.

Les passerelles de messagerie sécurisées bloquent-elles les pièces jointes malveillantes ?

Les passerelles de messagerie sécurisées filtrent le trafic de messagerie non sécurisé, notamment les spams, les courriers électroniques de phishing, et les pièces jointes dangereuses. De nombreuses passerelles de messagerie sécurisées sont dotées de fonctions d'analyse anti-malware, ce qui leur permet d'identifier les malwares dans les fichiers joints. Ils tiennent également à jour des listes de menaces connues et bloquent tous les courriels provenant de ces dernières.

Mais les passerelles de messagerie sécurisées ne constituent pas une garantie contre les attaques visant les pièces jointes aux messages électroniques. De nouveaux types de logiciels malveillants peuvent ne pas être détectés ; les courriels envoyés par des sources fiables ou inconnues peuvent ne pas être bloqués ; et même les contenus malveillants connus peuvent parfois passer à travers les défenses.

De nombreuses organisations essaient d'éviter complètement l'utilisation de pièces jointes dans les courriels et préfèrent utiliser des portails de téléchargement de fichiers sécurisés ou partager des liens vers des fichiers dans le nuage (ce qui comporte ses propres risques). Parmi les autres stratégies visant à réduire la menace que représentent les pièces jointes aux courriels, citons les suivantes :

• Les services de sécurité du courrier électronique qui identifient de manière anticipée l'infrastructure d'attaque du courrier électronique, y compris les domaines et les serveurs, peuvent bloquer les attaques avant qu'elles ne commencent. Cloudflare Area 1 Email Security fonctionne ainsi.
• Les passerelles Web sécurisées, , le filtrage DNS, et , le filtrage des URL peuvent bloquer les requêtes des pièces jointes aux courriels vers les serveurs des attaquants, une étape souvent nécessaire au téléchargement de la charge utile malveillante que l'attaquant veut installer.
• L'architecture de réseau à confiance zéro (ZTNA) isole rapidement les dommages si une infection entre par le biais d'une pièce jointe à un courriel, empêchant ainsi le mouvement latéral.

Même avec la myriade d'applications de communication disponibles aujourd'hui, le courrier électronique reste la méthode de communication la plus utilisée par de nombreuses organisations, ce qui rend la sécurité du courrier électronique cruciale pour la protection contre les attaques. En savoir plus sur la sécurité des e-mails.