Le phishing est une technique par laquelle des acteurs malveillants se font passer pour des marques de confiance, notamment tu, pour inciter les gens à partager des informations sensibles comme des mots de passe, des détails de paiement ou des identifiants de compte.
Étant donné que les clients de Duda créent et gèrent des sites web pour leurs propres clients, les attaques de phishing dans l'écosystème de Duda peuvent cibler plusieurs niveaux : tu directement, ou tu les clients à travers l'usurpation de l'identité de tu business. Ce guide propose des étapes pratiques pour protéger à la fois votre compte Duda et vos clients.
Les systèmes de Duda n'ont pas été compromis. Ces campagnes de phishing sont menées par des acteurs externes qui utilisent des informations commerciales accessibles au public pour se faire passer pour des clients de Duda. Ce guide est fourni à titre d'information uniquement et ne constitue pas une prise en charge d'une quelconque responsabilité par Duda.
-
Duda ne vous demandera jamais le mot de passe de votre compte par e-mail, téléphone ou chat.
-
Duda ne demandera jamais d'informations de paiement par le biais de liens électroniques.
-
Duda ne vous contactera jamais, vous ou vos clients, par le biais des formulaires de votre site ou de votre CRM tool.
Si vous recevez un message qui présente l'une des caractéristiques ci-dessus, il ne provient pas de Duda.
-
Vérifiez l'adresse électronique de l'expéditeur. Recherchez les fautes d'orthographe, les caractères supplémentaires ou les domaines qui imitent des adresses légitimes (par exemple,
support@dudda.coau lieu de@duda.co). -
Soyez attentif à l'urgence ou aux menaces. Les messages vous incitant à "agir immédiatement" ou vous avertissant de la suspension de votre compte sont des tactiques courantes.
-
hover avant de cliquer. Prévisualisez la destination des liens sans cliquer - si l'URL ne pointe pas vers un domaine que vous reconnaissez, ne cliquez pas dessus.
-
Vérifier de manière indépendante. Si un message prétend provenir de Duda, connectez-vous directement à votre compte Duda (et non par le biais de l'e-mail) pour confirmer.
-
Utilisez le SSO s'il est disponible pour centraliser la gestion des accès et appliquer les politiques de sécurité de votre organisation.
-
Au minimum, activez l'authentification à deux facteurs (2FA) sur votre compte Duda et tous les services associés - courriel, registraire de domaine, hébergement et fournisseurs de paiement.
-
Utilisez des mots de passe forts et uniques pour chaque service. Changez-les immédiatement si vous pensez qu'ils sont compromis.
-
Vérifiez régulièrement les autorisations des utilisateurs et supprimez l'accès à toute personne qui n'en a plus besoin.
Une authentification du courrier électronique correctement configurée est l'un des moyens les plus efficaces d'empêcher les pirates d'envoyer des courriels semblant provenir de votre domaine :
-
SPF (Sender Policy Framework) - spécifie quels serveurs de messagerie sont autorisés à envoyer du courrier électronique pour votre domaine.
-
DKIM (DomainKeys Identified Mail) - signe cryptographiquement les courriels sortants afin que les destinataires puissent vérifier qu'ils proviennent bien de votre domaine.
-
DMARC (Domain-based Message Authentication, Reporting & ; Conformance) - indique aux serveurs de messagerie destinataires comment traiter les messages qui échouent aux contrôles SPF/DKIM et leur donne une visibilité sur les expéditeurs non autorisés.
Examinez régulièrement les rapports DMARC de tu afin de détecter toute utilisation non autorisée du domaine de tu.
-
Maintenez les systèmes d'exploitation, les navigateurs et les plugins à jour.
-
Utilisez un logiciel antivirus / de protection des points d'extrémité réputé.
-
Activez le cryptage des disques sur tous les appareils utilisés pour gérer les sites des clients.
-
Limitez les extensions de navigateur à celles qui sont nécessaires et fiables - les extensions malveillantes sont un vecteur courant de vol de données d'identification.
Étant donné que les attaques par hameçonnage peuvent cibler vos clients en usurpant l'identité de votre entreprise, nous vous recommandons :
-
Dites à vos clients ce que vous ferez et ne ferez pas. Faites-leur savoir que vous ne leur demanderez jamais de mots de passe ou d'informations de paiement par courrier électronique.
-
Encouragez les clients à vérifier avant d'agir. S'ils reçoivent un courriel inattendu semblant provenir de l'entreprise tu, ils doivent la contacter directement à l'aide d'un numéro de téléphone ou d'un courriel connu - et non par l'intermédiaire des liens contenus dans le message suspect.
-
Demandez à vos clients de vous transmettre les courriels suspects afin que vous puissiez les évaluer, les signaler et alerter d'autres clients si nécessaire.
-
Modifiez immédiatement tous les mots de passe des comptes concernés.
-
Contactez votre registraire de domaine pour sécuriser l'accès au domaine et activer les verrous au niveau du registraire.
-
Lancez une analyse complète des logiciels malveillants / antivirus sur tout appareil susceptible d'avoir interagi avec le contenu de l'hameçonnage.
-
Notifiez les clients concernés et conseillez-leur de surveiller leurs comptes et de contacter leurs institutions financières.
-
Signalez-le à Duda à l'adresse [email/formulaire dédié à l'hameçonnage] afin que nous puissions suivre la campagne et vous aider.
-
Déposez un rapport auprès des autorités compétentes (par exemple, FBI IC3 sur ic3.gov, FTC sur reportfraud.ftc.gov, ou l'équivalent local).
Ce guide est fourni à titre d'information uniquement et constitue une ressource pour les clients de Duda. Il ne s'agit pas d'un avis juridique, de cybersécurité ou professionnel. Duda ne fait aucune déclaration ou garantie concernant l'exhaustivité ou l'efficacité de ces recommandations et n'assume aucune responsabilité pour les actions d'acteurs de menace tiers ou pour toute perte résultant de campagnes d'hameçonnage, d'accès non autorisé ou d'autres incidents de sécurité.