Mois de la sensibilisation à la cybersécurité – Ne soyez pas poisson et ne cliquez pas surtout pas sur le lien!

Le 15 décembre 2020 – Nouvelles de la Défense

Octobre est le mois international de la sensibilisation à la cybersécurité (MSCS). Cette période a été marquée d’une série d’initiatives ayant pour but d’amener les membres de l’Équipe de la Défense à réfléchir à la cyberrésilience, ainsi qu’à la façon de mieux se protéger et, par voie de conséquence, de mieux protéger le Ministère dans le cyberespace.

L’une de ces activités a été le cadre d’un exercice d’hameçonnage simulé.

Qu’est-ce que l’hameçonnage?

L’hameçonnage consiste à envoyer un courriel qui a toutes les apparences d’un message légitime – mais sans l’être – à un utilisateur. Il a pour but de le convaincre que son expéditeur travaille pour un établissement financier reconnu, un ministère ou une grande entreprise, ou encore qu’il est une personne digne de confiance.

En règle générale, un courriel d’hameçonnage contient un lien ou une pièce jointe qui exécute un programme informatique malveillant, ou maliciel, ou qui redirige le destinataire vers un site Web conçu spécialement pour le tromper et l’amener à divulguer des renseignements personnels. Les mots de passe, l’information sur les cartes de crédit et les numéros d’assurance sociale, de passeport et de compte bancaires sont autant d’exemples de l’information que veut soutirer l’expéditeur.

Nature de l’exercice d’hameçonnage simulé

La simulation prévoyait l’envoi de courriels d’apparence familière à certains membres de l’Équipe de la Défense choisis au hasard. Voici quelques objets de courriel utilisés dans le cadre de l’exercice d’hameçonnage simulé :

• « Nouvelles de l’Équipe de la Défense »
• « Récupération de votre compte Microsoft 0365 de la Défense »
• « Tirez profit de GCApprentissage – Formation en ligne obligatoire pour tout le personnel du MDN », et
• « Apprentissage de la Défense »

Si vous avez cliqué sur le lien dans l’un ou l’autre de ces courriels qui vous a été envoyé, vous avez été automatiquement redirigé vers une page Web à contenu éducatif destiné à vous expliquer le bon comportement à adopter en présence d’un courriel d’hameçonnage. Dans le cs présent, ce courriel vous enjoignait de porter une attention particulière aux renseignements sur l’expéditeur et sur le lien lui-même. Pour réussir le test, il vous suffisait de supprimer le courriel sans cliquer sur le lien! Mais si vous avez également signalé le courriel d’hameçonnage à votre officier de la sécurité des systèmes d’information (OSSI), alors vous l’avez passé haut la main!

Bien entendu, vous pouvez faire entièrement confiance à la suite infonuagique Office 365 de la Défense et aux nouvelles de l’Équipe de la Défense, tout comme aux avis que vous envoie l’École de la fonction publique au sujet de la formation!

L’exercice d’hameçonnage a été réalisé dans le but de nous sensibiliser davantage à ce type de courriels et sur la façon d’y réagir. Il reposait sur l’envoi de messages portant sur des thèmes que vous connaissez bien à titre de membre de l’Équipe de la Défense, mais rédigés à la manière des cybercriminels. Pas un jour ne passe sans que nos systèmes de cybersécurité ne bloquent un grand nombre de telles attaques qui sont monnaie courante. Malheureusement, l’un de ces courriels malveillants échappe de temps à autre à leur vigilance. C’est à ce moment que nous avons besoin de chacun de vous à titre de dernière ligne de défense pour l’identifier et empêcher qu’il ne fasse des dégâts.

Dans le doute, communiquez avec votre OSSI

Si un courriel ou un message contextuel ne vous semble pas légitime ou si vous avez des préoccupations au sujet de la sécurité des technologies de l’information (TI), il est toujours préférable de communiquer avec votre OSSI qui est le mieux placé pour répondre à vos questions ou trouver la bonne personne-ressource pour vos besoins en soutien technique.

Pour plus d’informations sur l’hameçonnage et d’autres risques et conseils en matière de sécurité informatique, veuillez consulter la page Sécurité de la TI – Risques et conseils.