Les faux formulaires d’embauche : une menace de phishing ciblant les organisations et les candidats

Dans un monde de plus en plus numérique, les attaques de phishing prennent des formes variées et sophistiquées. Parmi ces menaces, les faux formulaires d’embauche se distinguent comme une méthode redoutable pour voler des informations sensibles, infiltrer des systèmes, ou compromettre des organisations. Ces attaques, qui ciblent à la fois les candidats et les entreprises, exploitent des techniques d’ingénierie sociale et des vulnérabilités humaines. Cet article explore en détail les mécanismes de ces attaques, leurs conséquences, et les meilleures pratiques pour s’en protéger.

Comprendre le phishing via les faux formulaires d’embauche

Le phishing (hameçonnage) est une technique de cyberattaque visant à tromper les utilisateurs pour qu’ils divulguent des informations sensibles (mots de passe, données personnelles, etc.) ou téléchargent des logiciels malveillants. Les faux formulaires d’embauche sont une variante de cette technique, où les pirates se font passer pour des recruteurs légitimes afin de cibler des candidats ou des organisations.

Les pirates conçoivent des sites web imitant les pages de recrutement d’organisations réputées. Ces sites utilisent des logos officiels, des designs professionnels, et des URL similaires à celles des entreprises ciblées (exemple : pam-careers.com au lieu de pam.com, newyr-gift.org/unicef-french) attention , sites dangereux.

Depuis quelques semaines, un message contenant un lien vers un site non sécurisé se propageait massivement sur les applications de messagerie de Meta, notamment WhatsApp, Messenger et Facebook. Ce message prétend que l’UNICEF a lancé un portail de candidature pour le recrutement 2025-2026.

Notre équipe de fact-checking a vérifié l’authenticité de cette information, en contactant le chargé de la communication digitale de l’UNICEF en RDC et en analysant la fiabilité du site à l’aide de l’outil Urlvoid.com et effectué des recherches sur le site officiel de l’organisation. Nos investigations ont confirmé qu’il s’agissait d’une fausse offre et qui avait des risques de phishing.(lien de l’article ici)

Ce formulaire d’embauche demandait aux utilisateurs de soumettre les données sensibles contenant les noms, le mot de passe de leurs comptes, ce qui présentait un risque de vol des données personnelles.

Dans le cas general, les candidats reçoivent des e-mails prétendant provenir des services de recrutement de l’organisation. Ces e-mails contiennent des liens vers des formulaires malveillants.

Les pirates exploitent la crédulité et les émotions des candidats en créant un sentiment d’urgence (exemple : « Postulez rapidement, le poste est très demandé ») ou en promettant des avantages attractifs.

Les risques pour les candidats et les organisations

Le phishing, ou hameçonnage, est l’une des cybermenaces (risque d’attaque de systèmes informatiques privés ou publics) les plus répandues et insidieuses de notre époque. Cette technique frauduleuse consiste à tromper les individus ou les organisations en se faisant passer pour une entité de confiance, dans le but de voler des informations sensibles telles que des mots de passe, des données bancaires ou des informations personnelles. Avec l’évolution des technologies et l’augmentation des interactions en ligne, les attaques de phishing sont devenues de plus en plus difficiles à détecter. 

Dans les jours précédents, notre équipe a vérifié un faux message qui circulait sur les réseaux sociaux attribué à l’entreprise meta. Ce message demandait aux utilisateurs qui possèdent des pages Facebook de completer un formulaire avec des informations sensibles liées à leurs pages au risque de voir les supprimées et/ou suspendues du réseau social Facebook

Nous avons ainsi mené une vérification approfondie du message en question pour déterminer son authenticité. Tout d’abord, nous avons analysé plusieurs éléments clés du message, notamment l’expéditeur, le ton employé et la structure du lien fourni. Nous avons remarqué que l’adresse utilisée ne provenait pas d’un domaine officiel de Meta, un premier indice suggérant une tentative d’hameçonnage.

Ensuite, nous avons examiné le contenu du message. Celui-ci présentait un ton alarmiste, affirmant que les pages Facebook des utilisateurs risquaient d’être supprimées s’ils ne remplissaient pas un formulaire. Or, les grandes entreprises comme Méta ne communiquent jamais de cette manière pour des questions de sécurité.

Nous avons également testé le lien contenu dans le message. En l’ouvrant dans un environnement sécurisé, nous avons constaté qu’il redirigeait vers un site web imitant l’interface de connexion de Facebook. Ce site frauduleux avait pour but de recueillir les identifiants et mots de passe des victimes, ce qui est une technique typique du phishing.

Enfin, pour confirmer nos soupçons, nous avons comparé ce message avec les communications officielles de Meta et avons constaté qu’aucune annonce similaire n’avait été faite par l’entreprise. Tous ces éléments nous ont permis de conclure que ce message était une tentative de phishing visant à voler des informations personnelles et à compromettre des comptes Facebook.

Vous pouvez lire l’article ici

Dans un monde où la numérisation est omniprésente, comprendre les risques associés au phishing et mettre en place des mesures de prévention efficaces est essentiel pour protéger à la fois les individus et les structures professionnelles.

Les dangers du phishing

1. Pour les candidats (individus) :
2. Vol d’identité  : Les informations personnelles volées peuvent être utilisées pour usurper l’identité de la victime, ouvrir des comptes frauduleux, ou effectuer des achats non autorisés.
3. Pertes financières : Les attaquants peuvent accéder aux comptes bancaires ou de carte de crédit, entraînant des retraits ou des transactions frauduleuses.
4. Accès à des comptes personnels : Les mots de passe volés peuvent permettre aux pirates d’accéder à des comptes de messagerie, de réseaux sociaux, ou d’autres services en ligne, exposant la vie privée de la victime.
5. Risques professionnels : Si les informations volées sont liées au travail (comme des identifiants professionnels), cela peut compromettre la sécurité de l’employeur.
6. Hameçonnage secondaire : Les victimes peuvent être ciblées à nouveau avec des attaques plus personnalisées, car les pirates disposent déjà de certaines informations les concernant.
7. Installation de logiciels malveillants : Les formulaires peuvent inclure des champs pour télécharger des fichiers (CV, lettre de motivation). Ces fichiers peuvent contenir :

– Ransomware : Crypte les fichiers de la victime et demande une rançon pour les débloquer.

– Spyware : Surveille les activités de l’utilisateur et vole des données sensibles.

– Cheval de Troie : Permet aux pirates de prendre le contrôle à distance de l’ordinateur.

B. Pour les organisations :

• Violation de données : Les attaques de phishing peuvent permettre aux pirates d’accéder à des systèmes internes, exposant des données sensibles de l’entreprise (informations clients, propriété intellectuelle, etc.).
• Pertes financières : Les organisations peuvent subir des fraudes financières, comme des virements bancaires frauduleux.
• Atteinte à la réputation : Une violation de données peut nuire à la confiance des clients et partenaires, entraînant une perte de crédibilité et de parts de marché.
• Interruption des activités : Les attaques de phishing peuvent conduire à des ransomwares ou à des perturbations des systèmes, paralysant les opérations de l’entreprise.
• Sanctions réglementaires : Si des données sensibles sont compromises, l’organisation peut être confrontée à des amendes pour non-conformité aux réglementations

Comment se protéger contre le phishing?

Face à la menace croissante du phishing, il est essentiel de mettre en place des mesures préventives robustes pour protéger les individus et les organisations contre ces attaques sournoises.

Le phishing repose souvent sur l’exploitation de la confiance et de la négligence, ce qui en fait une menace particulièrement difficile à contrer. Cependant, avec une combinaison de sensibilisation, de technologies de sécurité et de bonnes pratiques, il est possible de réduire considérablement les risques. 

Les mesures préventives ne se limitent pas à l’utilisation d’outils technologiques ; elles incluent également une éducation continue des utilisateurs et une vigilance accrue dans la gestion des informations sensibles. Que ce soit pour un individu cherchant à protéger ses comptes personnels ou pour une organisation visant à sécuriser ses systèmes et ses données, adopter une approche proactive est la clé pour contrer les tentatives de phishing. 

Comment reconnaître une fausse offre d’emploi ?

1. Indicateurs techniques

• URL suspectes : Les liens inclus dans l’offre d’emploi sont souvent raccourcis ou mènent vers des domaines non officiels. Utilisez des outils comme ScamDoc ou VirusTotal pour analyser ces liens.
• Absence de HTTPS : Les sites légitimes utilisent le protocole HTTPS pour sécuriser les communications. Méfiez-vous des sites en HTTP.
• Pièces jointes suspectes : Ne téléchargez jamais de fichiers provenant de sources non vérifiées.

2. Indicateurs contextuels

• Urgence injustifiée : Les pirates créent un sentiment d’urgence pour empêcher les candidats de réfléchir.

• Demandes inhabituelles ( ex : “partagez ceci dans 10 groupes) : Les organisations légitimes ne demandent jamais des informations sensibles via des formulaires en ligne.
• Erreurs subtiles : fautes d’orthographe, adresses e-mail suspectes, ou logos de mauvaise qualité.

Conclusion

Les faux formulaires d’embauche représentent une menace sérieuse dans le paysage du phishing, ciblant aussi bien les candidats que les organisations. En usurpant l’identité de recruteurs réputés, les cybercriminels exploitent la confiance des utilisateurs pour voler des informations sensibles ou infiltrer des systèmes informatiques.

Face à cette menace, la vigilance est de mise. Il est crucial d’adopter de bonnes pratiques, comme la vérification des sources, l’analyse des URL et la sensibilisation aux techniques de manipulation utilisées par les fraudeurs. Les entreprises doivent également renforcer leurs protocoles de cybersécurité pour éviter que leurs noms ne soient exploités à des fins malveillantes.

En comprenant les mécanismes de ces attaques et en appliquant des mesures préventives, nous pouvons réduire considérablement les risques et protéger les données personnelles et professionnelles contre ces menaces insidieuses.