Module 1Introduire la sécurité informatique
Chapitre 3 sur 9
Reconnaître l'hameçonnage et ses variantes, lire une URL piégée, et comprendre le SYN flood, le teardrop, le Smurf, le ping de la mort et les botnets.
Objectifs
Avec ce chapitre, tu sauras…
Ce chapitre termine le chapitre officiel 2. Les deux familles d'attaques qu'il présente sont opposées : l'hameçonnage vise l'humain (le maillon le plus facile à tromper), le déni de service vise la disponibilité des serveurs et des réseaux.
Leçon 1
Les hameçonneurs jouent sur quatre émotions : la peur (« votre compte sera suspendu »), l'urgence (« sous 24 heures »), la curiosité (« voici les photos de la soirée ») et l'avidité (« vous avez gagné un iPhone »). Une seule victime suffit pour compromettre tout un réseau.
Comment fonctionne l'hameçonnage
Le circuit d'une attaque par hameçonnage
| Variante | Cible et canal | Exemple |
|---|---|---|
| hameçonnage par courriel | des milliers d'adresses, message générique | « Votre colis est bloqué, payez 12,90 DH de frais » |
| harponnage (spear phishing) | une personne ou une organisation précise, message personnalisé avec des informations recueillies sur elle (réseaux sociaux, site de l'entreprise) | un e-mail au comptable qui cite son nom, son chef et un vrai fournisseur |
| chasse à la baleine (whaling) | un dirigeant (PDG, directeur financier) | « Procédure judiciaire en cours contre l'entreprise, consultez le dossier » |
| smishing | par SMS | « Votre carte bancaire est bloquée, appelez ce numéro » |
| Technique | Faux domaine | Pourquoi c'est un piège |
|---|---|---|
| ajout ou remplacement d'un caractère | banque-zitoun.ma, banquezitoum.ma | une lettre ou un tiret de différence passe inaperçu |
| sous-domaine trompeur | banquezitoun.ma.securite-client.com | le vrai domaine est securite-client.com |
| nom de l'organisation comme nom d'utilisateur | banquezitoun@gmail.com | n'importe qui peut créer cette adresse |
| caractères qui se ressemblent | banquezit0un.ma (zéro au lieu du O), rn qui imite m | l'œil confond les formes |
Leçon 2
| Famille | Cible | Exemples |
|---|---|---|
| volumétrique | la bande passante du réseau | inondations UDP ou ICMP, attaques par amplification (Smurf) |
| protocolaire | les ressources des serveurs et des équipements (tables de connexions) | SYN flood, ping de la mort, teardrop |
1Un e-mail personnalisé envoyé à une personne précise est du…
2Le whaling vise surtout…
3Dans https://ofppt.ma.inscription-2026.com/form, le domaine réel est…
4Un SYN flood exploite…
5Dans une attaque Smurf, les réponses sont envoyées…
6Le teardrop utilise…
7Les machines infectées d'un botnet s'appellent…
8La taille maximale d'un paquet IPv4 est…
L'essentiel du chapitre
/ ; parades : ralentir, ne pas cliquer, vérifier par un autre canal, MFA, signaler ; côté serveur SPF, DKIM, DMARC.| vishing | par appel téléphonique (voix) | un faux conseiller bancaire demande le code reçu par SMS |
| compromission de messagerie d'entreprise (BEC) | un employé reçoit un ordre d'un faux dirigeant | « Je suis en réunion, fais ce virement urgent et confidentiel » |
| fausse commande ou livraison | client d'une marque connue | « Annulez cette commande de 4 999 DH que vous n'avez pas passée » |
| fausse facture | service comptable | un faux fournisseur réclame une facture impayée sur un nouveau RIB |
| faux e-mail de réinitialisation | tout utilisateur | « Cliquez ici pour réinitialiser votre mot de passe » sans l'avoir demandé |
banquezitoun.com au lieu de .ma |
| le domaine appartient à quelqu'un d'autre |
| applicative (couche 7) | l'application elle-même | des milliers de requêtes HTTP lourdes (recherche, connexion) par seconde |
| Mesure | Contre |
|---|---|
| services anti-DDoS et réseaux de diffusion de contenu (CDN) qui absorbent le trafic sur des centaines de serveurs | les attaques volumétriques |
| SYN cookies, réglage des délais d'attente | le SYN flood |
| limitation du débit (rate limiting) : nombre maximal de requêtes par adresse IP et par seconde | les attaques applicatives, la force brute |
| pare-feu et IPS qui filtrent les paquets malformés | teardrop, ping de la mort |
| routeurs configurés pour refuser les pings vers une adresse de diffusion | Smurf |
| mises à jour des systèmes et des équipements | toutes les attaques par paquet malformé |
| sécuriser ses propres appareils (mots de passe, mises à jour) | éviter de devenir un zombie |
Associe chaque description à une attaque (SYN flood, teardrop, Smurf, ping de la mort, DDoS applicatif, BEC) : (1) 20 000 adresses IP demandent la page de recherche du site toutes les secondes ; (2) le comptable reçoit un e-mail du « directeur » pour un virement urgent ; (3) le serveur accumule des connexions TCP jamais terminées ; (4) un vieux routeur redémarre après avoir reçu des fragments aux décalages incohérents ; (5) la victime reçoit des centaines de réponses à des pings qu'elle n'a jamais envoyés ; (6) un unique paquet ICMP surdimensionné après réassemblage fait planter une machine.
Tableau: Les variantes
Repérer un faux domaine
Les pirates enregistrent des noms de domaine qui ressemblent à l'original. Exemple avec une banque fictive dont le vrai domaine est banquezitoun.ma :
Dans https://banquezitoun.ma.securite-client.com/connexion?id=12, repère la première barre oblique après https:// : ce qui est avant, c'est le nom d'hôte (banquezitoun.ma.securite-client.com). Le domaine réel est formé des deux derniers éléments du nom d'hôte : securite-client.com. Tout ce qui est à gauche (banquezitoun.ma.) est un sous-domaine que le propriétaire de securite-client.com choisit librement.
De : Service Client <alerte@banquezitoun-secure.com> ← domaine qui n'est pas celui de la banque
Objet : URGENT : votre compte sera suspendu sous 24 h ← urgence et peur
Cher client, ← pas de nom : envoi massif
Suite à une activité inhabituelle, votre compte a été bloqué.
Pour éviter sa suppression définitive, confirmez vos informations
en cliquant ici : https://banquezitoun.ma.verif-compte.net ← domaine réel : verif-compte.net
Vous devrez saisir votre identifiant, votre mot de passe ← une banque ne demande jamais
et le code reçu par SMS. le mot de passe ni le code SMSSe protéger de l'hameçonnage
Les bons réflexes
Côté technique, l'entreprise publie dans son DNS les enregistrements SPF (liste des serveurs autorisés à envoyer ses e-mails), DKIM (signature cryptographique des e-mails) et DMARC (consigne donnée aux destinataires : rejeter les messages qui échouent aux deux contrôles). Ensemble, ils empêchent un pirate d'envoyer des e-mails avec le vrai domaine de l'entreprise comme expéditeur. Ils ne protègent pas contre les domaines ressemblants : la vigilance humaine reste indispensable.
Une attaque par déni de service (Denial of Service, DoS) vise à rendre un service indisponible pour ses utilisateurs légitimes : en le saturant (trop de requêtes, trop de trafic) ou en le faisant planter (paquet malformé qui exploite un bug). Le déni de service distribué (DDoS) est une sous-classe où l'attaque vient de milliers de machines à la fois, en général un botnet.
Un restaurant a deux lignes téléphoniques. Un plaisantin appelle sans arrêt et raccroche : c'est un DoS, et il suffit de bloquer son numéro. Si mille personnes appellent en même temps depuis mille numéros différents, les vrais clients ne peuvent plus réserver, et on ne peut pas bloquer tout le monde : c'est un DDoS.
Rédige dans ton carnet de sécurité une fiche réflexe d'une page pour les formateurs qui utilisent l'application de gestion de stagiaires : (1) cinq signes qui doivent alerter dans un e-mail ou un SMS ; (2) ce qu'il faut faire en cas de doute ; (3) ce qu'il faut faire après avoir cliqué ou saisi son mot de passe sur un faux site ; (4) qui prévenir.
Le vrai domaine du service est cnss.ma. Pour chaque lien, donne le domaine réel et dis s'il est sûr : (1) https://www.cnss.ma/fr/espace-assure ; (2) https://cnss.ma.remboursement-rapide.com ; (3) https://cnss-ma.info/login ; (4) https://portail.cnss.ma/ ; (5) http://cnss.ma@193.32.12.5/ (indice : ce qui précède @ dans une URL est un nom d'utilisateur).
Un formateur reçoit ce SMS : « OFPPT : Votre prime de fin d'année de 2 500 DH est en attente. Validez votre RIB avant ce soir minuit : bit.ly/ofppt-prime ». Relève quatre indices d'hameçonnage, dis de quelle variante il s'agit et ce que le formateur doit faire.
Le SYN flood
Une connexion TCP s'ouvre par une poignée de main en trois temps (three-way handshake) :
client ── SYN ──────────► serveur 1. « je veux me connecter »
client ◄─────── SYN/ACK ── serveur 2. « d'accord » : le serveur réserve de la mémoire
client ── ACK ──────────► serveur 3. « c'est noté » : la connexion est ouvertepirate ── SYN (fausse IP 1) ──► serveur ── SYN/ACK ──► 1.2.3.4 (personne ne répond)
pirate ── SYN (fausse IP 2) ──► serveur ── SYN/ACK ──► 5.6.7.8 (personne ne répond)
pirate ── SYN (fausse IP 3) ──► serveur ── SYN/ACK ──► …
… des milliers par seconde : la table des connexions « semi-ouvertes » est pleine
client légitime ── SYN ──► serveur : demande rejetée, le serveur est saturéLe pirate envoie des milliers de paquets SYN sans jamais envoyer le ACK final, souvent avec des adresses source usurpées. Chaque demande occupe une place dans la file des connexions semi-ouvertes du serveur pendant plusieurs secondes : la file se remplit et les vrais clients ne peuvent plus se connecter. On l'appelle aussi attaque semi-ouverte.
L'attaque teardrop
Un paquet IP trop grand pour le réseau est découpé en fragments. Chaque fragment indique dans l'en-tête IP sa position dans le paquet d'origine : le champ décalage de fragment (fragment offset). Le destinataire utilise ce champ pour réassembler le paquet.
Dans une attaque teardrop, le pirate envoie des fragments dont les décalages sont faux et se chevauchent. Les systèmes qui avaient un bug dans leur code de réassemblage (anciennes versions de Windows, comme Windows 95 et NT, et de Linux) plantaient en essayant de les remettre bout à bout. Les systèmes modernes sont corrigés, mais un serveur ou un équipement ancien jamais mis à jour reste vulnérable.
L'attaque Smurf
+--> PC 1 --+
pirate --ping--> routeur -----+--> PC 2 --+--- 254 réponses ---> victime (saturée)
+--> PC 3 --+
le ping envoyé par le pirate : source = adresse IP de la VICTIME (usurpée)
destination = adresse de diffusion du réseauLes trois étapes de l'attaque Smurf
L'attaque doit son nom au logiciel malveillant DDoS.Smurf qui l'automatisait (et, indirectement, aux Schtroumpfs, Smurfs en anglais, petits mais redoutables en groupe). La parade est simple : les routeurs ne doivent pas transmettre les pings dirigés vers une adresse de diffusion (comportement par défaut des équipements depuis la fin des années 1990), et les machines peuvent ignorer les pings de diffusion.
Le ping de la mort
La commande ping envoie des requêtes d'écho ICMP pour tester une connexion. Un paquet IPv4 mesure au maximum 65 535 octets. En envoyant des fragments qui, une fois réassemblés, dépassent cette taille, le pirate provoquait un débordement de mémoire (buffer overflow) : le système plantait, gelait ou redémarrait. Cette attaque des années 1990 est corrigée depuis longtemps, mais elle reste un cas d'école, et des failles du même genre réapparaissent encore (par exemple dans le traitement des paquets ICMPv6 par Windows, corrigé en 2020).
Les botnets
botmaster
│ ordres
serveur de commande (C&C)
┌───────┬───────┼───────┬───────┐
zombie zombie zombie zombie zombie (PC, caméras IP, routeurs, objets connectés)
└───────┴───────┼───────┴───────┘
▼ trafic simultané
cibleComment se construit un botnet
Tableau: Se protéger du déni de service