Termes de Attaques et menaces

81 terms

• Hameçonnage

  Attaque d'ingénierie sociale où un attaquant se fait passer pour une entité de confiance afin de pousser la victime à révéler des identifiants, transférer de l'argent ou exécuter un logiciel malveillant.

• Hameçonnage ciblé (spear phishing)

  Attaque d'hameçonnage ciblée et personnalisée visant une personne ou une organisation précise à partir de renseignements collectés au préalable.

• Whaling (chasse à la baleine)

  Attaque de spear phishing visant les hauts dirigeants ou d'autres cibles à forte valeur, généralement pour obtenir des paiements frauduleux importants ou des informations stratégiques.

• Smishing

  Hameçonnage diffusé par SMS ou autres canaux de messagerie mobile pour pousser la victime à cliquer sur des liens malveillants, appeler un numéro frauduleux ou divulguer des données.

• Vishing

  Hameçonnage mené par canal vocal — appels téléphoniques ou VoIP — pour manipuler la victime afin d'obtenir des identifiants, des paiements ou un accès à distance.

• Pharming (dévoiement)

  Attaque qui redirige silencieusement les utilisateurs d'un site légitime vers un site malveillant en altérant le DNS, le fichier hosts ou le routage local, sans clic de la victime.

• Attaque de l'homme du milieu (MitM)

  Attaque dans laquelle un adversaire relaie ou modifie secrètement les communications entre deux parties qui pensent dialoguer directement.

• Attaque par déni de service distribué (DDoS)

  Attaque de déni de service lancée simultanément depuis de nombreuses sources distribuées — généralement un botnet — afin de saturer la bande passante, l'infrastructure ou l'application de la cible.

• Attaque par déni de service (DoS)

  Attaque qui épuise la bande passante, la puissance de calcul, la mémoire ou les ressources applicatives d'un système afin d'empêcher l'accès des utilisateurs légitimes.

• Amplification DDoS

  Technique DDoS qui exploite des services UDP pour réfléchir des réponses bien plus grandes que la requête usurpée, permettant à de petits attaquants de générer des flots massifs.

• Attaque par amplification DNS

  Attaque DDoS par réflexion qui abuse des résolveurs DNS ouverts en envoyant de petites requêtes avec l'IP usurpée de la victime, afin que les résolveurs lui envoient de grandes réponses DNS.

• Attaque par amplification NTP

  Attaque DDoS par réflexion exploitant la commande MONLIST (et similaires) de NTP pour faire répondre les serveurs avec de très gros paquets à une adresse de victime usurpée.

• SYN Flood

  Attaque de déni de service basée sur TCP qui envoie de nombreux paquets SYN sans terminer la poignée de main à trois étapes, épuisant les ressources d'état de connexion de la cible.

• Ping de la mort

  Attaque DoS héritée qui envoie des paquets ICMP echo malformés ou surdimensionnés, provoquant le plantage, le blocage ou le redémarrage de piles TCP/IP vulnérables lors du réassemblage.

• Attaque Teardrop

  Attaque DoS héritée qui envoie des fragments IP avec des décalages malformés ou se chevauchant pour faire planter des piles TCP/IP qui gèrent mal le réassemblage.

• Attaque LAND

  Attaque DoS héritée envoyant un paquet TCP SYN usurpé dont l'IP et le port source sont identiques à ceux de destination, provoquant des boucles ou des crashs sur des systèmes vulnérables.

• Attaque Smurf

  Attaque DDoS par amplification ancienne qui envoie des ICMP echo à l'adresse de diffusion d'un réseau en usurpant l'IP de la victime, faisant répondre chaque hôte du réseau à la victime.

• Attaque Fraggle

  Variante UDP de l'attaque Smurf qui envoie des paquets UDP echo ou chargen usurpés à l'adresse de diffusion d'un réseau, faisant inonder la victime par chaque hôte qui répond.

• Détournement de session

  Attaque qui prend le contrôle de la session authentifiée d'une victime en volant ou en forgeant son identifiant de session, pour agir comme l'utilisateur sans ses identifiants.

• Détournement de cookies

  Vol et réutilisation des cookies HTTP d'un utilisateur — typiquement de session ou d'authentification — pour usurper son identité auprès d'une application web.

• Empoisonnement de cookies

  Attaque modifiant le contenu des cookies HTTP avant qu'ils ne soient renvoyés à une application web, afin d'altérer les décisions de confiance, d'identité ou de logique métier.

• Clickjacking

  Attaque "UI redress" qui pousse l'utilisateur à cliquer sur autre chose que ce qu'il croit voir, en superposant ou en cachant une page cible dans une page contrôlée par l'attaquant.

• Tabnabbing

  Attaque où un onglet en arrière-plan ou nouvellement ouvert se réécrit silencieusement pour ressembler à une page de connexion légitime, dans l'espoir que l'utilisateur ressaisisse ses identifiants.

• Typosquatting

  Enregistrement de noms de domaine ou de paquets fautes-de-frappe ou imitations visuelles de noms légitimes, pour piéger les utilisateurs ou développeurs qui se trompent en saisissant.

• Cybersquattage

  Enregistrement de noms de domaine reprenant des marques ou identifiants connus sans autorisation, généralement pour extorquer le titulaire ou tromper les utilisateurs.

• Détournement de domaine

  Prise de contrôle non autorisée d'un nom de domaine enregistré au niveau du registrar ou du registre, permettant à l'attaquant de rediriger trafic, e-mail et confiance vers une infrastructure malveillante.

• Détournement DNS

  Attaque qui redirige la résolution DNS vers des réponses contrôlées par l'attaquant en modifiant les paramètres clients, la configuration du routeur, les réponses du résolveur ou les enregistrements DNS autoritaires.

• Usurpation DNS

  Attaque qui injecte des réponses DNS falsifiées pour rediriger les victimes d'un domaine légitime vers une adresse IP contrôlée par l'attaquant.

• Empoisonnement de cache DNS

  Attaque qui insère des enregistrements falsifiés dans le cache d'un résolveur DNS afin que les requêtes ultérieures renvoient des adresses choisies par l'attaquant jusqu'à expiration du TTL.

• Usurpation ARP

  Attaque sur réseau local qui envoie des messages ARP falsifiés pour associer la MAC de l'attaquant à l'IP d'un autre hôte et rediriger le trafic.

• Usurpation d'adresse IP

  Falsification de l'adresse IP source des paquets pour se faire passer pour un autre hôte, contourner des filtres ou amplifier des attaques DoS.

• Usurpation MAC

  Modifier l'adresse MAC matérielle d'une interface réseau pour usurper un autre appareil, contourner un filtrage MAC ou échapper au pistage.

• Usurpation d'e-mail

  Falsification des en-têtes d'un e-mail pour qu'il semble provenir d'un expéditeur de confiance, généralement à des fins de phishing, fraude ou diffusion de malware.

• Compromission de messagerie d'entreprise

  Fraude ciblée où un attaquant usurpe ou prend le contrôle d'une boîte mail d'entreprise pour pousser un employé à virer de l'argent, modifier des coordonnées bancaires ou exfiltrer des données.

• Fraude au président

  Variante du BEC où l'attaquant se fait passer pour un dirigeant pour pousser un employé à effectuer un virement non autorisé ou une action sensible.

• Arnaque sentimentale

  Fraude d'ingénierie sociale au long cours dans laquelle l'attaquant simule une relation amoureuse pour exploiter la confiance de la victime et lui soutirer argent, cadeaux ou informations sensibles.

• Arnaque au faux support technique

  Fraude dans laquelle des attaquants se font passer pour un support technique d'un éditeur connu afin de convaincre la victime d'installer un accès distant, de fournir des identifiants ou de payer pour un service fictif.

• Fraude à la facture

  Fraude où l'attaquant soumet de fausses factures ou modifie de vraies factures pour rediriger le paiement vers un compte qu'il contrôle.

• Bourrage d'identifiants

  Attaque automatisée qui rejoue d'énormes listes de couples identifiant/mot de passe issues d'une fuite contre d'autres services, exploitant la réutilisation des mots de passe.

• Attaque par force brute

  Attaque qui essaie systématiquement toutes les valeurs possibles — typiquement mots de passe, PIN ou clés — jusqu'à trouver la bonne.

• Pulvérisation de mots de passe

  Attaque "low and slow" qui essaie un petit lot de mots de passe courants sur de nombreux comptes, en restant sous les seuils de verrouillage et de rate-limit.

• Attaque par dictionnaire

  Attaque ciblée de devinette de mots de passe qui essaie des entrées d'une liste précompilée de mots probables, de mots de passe fuités et de variantes générées par règles.

• Attaque par table arc-en-ciel

  Attaque de précalcul qui utilise des chaînes alternées de hachage et de fonctions de réduction stockées dans une table compacte pour inverser des hashes non salés bien plus vite qu'une force brute.

• Attaque par rejeu

  Attaque qui capture du trafic réseau légitime — généralement des jetons d'authentification ou des transactions — et le retransmet plus tard pour usurper l'émetteur d'origine.

• Attaque par relais

  Attaque qui transmet en temps réel un échange d'authentification entre deux parties, de sorte que l'attaquant est authentifié sans jamais connaître les identifiants.

• Attaque du jumeau maléfique

  Attaque Wi-Fi dans laquelle l'adversaire monte un point d'accès pirate imitant un SSID légitime, afin que les victimes s'y connectent et exposent trafic et identifiants.

• Point d'accès pirate

  Point d'accès sans fil non autorisé connecté au réseau, installé soit par un attaquant, soit naïvement par un employé, et qui contourne les contrôles de sécurité réseau.

• Wi-Fi Pineapple

  Plateforme commerciale d'audit sans fil de Hak5 qui automatise les attaques par AP pirate, jumeau maléfique et MITM, très utilisée en mission Red Team.

• Bluejacking

  Attaque Bluetooth de niveau nuisance dans laquelle un attaquant envoie messages ou contacts non sollicités à des appareils Bluetooth visibles à proximité.

• Bluesnarfing

  Attaque exploitant des vulnérabilités Bluetooth pour lire ou copier — contacts, SMS, calendrier, fichiers — sur un appareil voisin sans le consentement du propriétaire.

• Bluebugging

  Attaque Bluetooth qui obtient un contrôle furtif au niveau commande sur l'appareil victime — au-delà du simple vol de données — pour passer des appels, lire des messages ou relayer l'audio.

• Juice jacking

  Attaque dans laquelle un port USB de recharge public ou malveillant sert à installer un malware ou à exfiltrer des données du téléphone qui s'y branche, via les lignes de données du câble USB.

• Surveillance par-dessus l'épaule

  Observer l'écran, le clavier ou le pavé PIN de quelqu'un par-dessus son épaule — directement ou via caméras — pour voler identifiants, codes ou informations sensibles.

• Fouille de poubelles

  Fouiller les déchets jetés par une organisation ou une personne — papiers, supports amovibles, matériel — pour récupérer des informations sensibles.

• Piggybacking

  Accès physique ou logique non autorisé obtenu lorsqu'une personne autorisée laisse sciemment un attaquant la suivre au-delà d'un contrôle d'accès.

• Tailgating (talonnage)

  Technique d'intrusion physique consistant à franchir un contrôle d'accès en suivant de près une personne autorisée, sans son consentement ni son attention.

• Ingénierie sociale

  Manipulation psychologique amenant des personnes à effectuer des actions ou à divulguer des informations confidentielles au profit d'un attaquant.

• Baiting (appâtage)

  Attaque d'ingénierie sociale qui attire la victime avec un objet physique ou numérique alléchant conçu pour exécuter un malware ou dérober des identifiants.

• Pretexting

  Technique d'ingénierie sociale par laquelle un attaquant invente un scénario ou une identité crédible pour manipuler une cible afin qu'elle divulgue des informations ou exécute une action.

• Attaque quid pro quo

  Attaque d'ingénierie sociale dans laquelle l'attaquant propose un service ou un avantage en échange d'informations ou d'un accès fournis par la victime.

• Attaque de la chaîne d'approvisionnement

  Attaque qui compromet un fournisseur de logiciel, de matériel ou de services de confiance afin d'atteindre ses clients en aval.

• Attaque par point d'eau

  Attaque ciblée qui compromet un site web fréquenté par un groupe d'utilisateurs spécifique afin de les infecter lorsqu'ils le consultent.

• Téléchargement furtif (drive-by download)

  Attaque où un malware est installé silencieusement sur l'appareil de la victime simplement parce qu'elle visite un site compromis ou malveillant.

• Malvertising

  Utilisation de régies publicitaires en ligne pour diffuser des malwares, exploits ou arnaques via des annonces d'apparence légitime sur des sites de confiance.

• Cross-Site Scripting (XSS)

  Vulnérabilité web permettant à un attaquant d'injecter des scripts malveillants dans des pages consultées par d'autres utilisateurs, exécutés dans leur navigateur sous l'origine du site.

• Cross-Site Request Forgery (CSRF)

  Attaque web qui force le navigateur d'un utilisateur authentifié à envoyer des requêtes non désirées vers un site vulnérable, déclenchant des actions sans son consentement.

• Server-Side Request Forgery (SSRF)

  Vulnérabilité web permettant à un attaquant de pousser un serveur à émettre des requêtes HTTP ou réseau vers des destinations qu'il choisit, souvent des systèmes internes.

• Injection SQL

  Attaque insérant des fragments SQL contrôlés par l'attaquant dans des requêtes construites avec des entrées non fiables, permettant vol, modification ou compromission totale de la base.

• Injection NoSQL

  Injection visant des bases documentaires, clé-valeur ou orientées graphe, où l'attaquant glisse des opérateurs ou du JavaScript dans les objets de requête.

• Command Injection

  Command Injection — definition coming soon.

• LDAP Injection

  LDAP Injection — definition coming soon.

• XML Injection

  XML Injection — definition coming soon.

• XXE Attack

  XXE Attack — definition coming soon.

• Server-Side Template Injection

  Server-Side Template Injection — definition coming soon.

• CSV Injection

  CSV Injection — definition coming soon.

• Directory Traversal

  Directory Traversal — definition coming soon.

• Local File Inclusion

  Local File Inclusion — definition coming soon.

• Remote File Inclusion

  Remote File Inclusion — definition coming soon.

• Insecure File Upload

  Insecure File Upload — definition coming soon.

• Open Redirect

  Open Redirect — definition coming soon.

• Advanced Persistent Threat (APT)

  Advanced Persistent Threat (APT) — definition coming soon.