Le phishing est le type d'escroquerie le plus utilisé par les cybercriminels et les e-mails constituent leur plateforme de prédilection : leur succès repose sur l'envoi de messages frauduleux comme s'ils provenaient d'organisations légitimes.
Pas plus tard que ce matin, lorsque j'ai ouvert ma boîte mail personnelle, il y avait des dizaines de messages dans ma boîte de réception. Il s'agissait de messages d'amis, de newsletters, de publicité, etc. Rien à signaler jusque là. En revanche, trois messages inhabituels ont attiré mon attention.
Le premier venait d'un soi-disant avocat d'un pays lointain. Il expliquait que son client était décédé en laissant quelques millions de dollars bien évidemment situés dans « mon pays ». Pour des raisons logistiques, l'expéditeur demandait de l'aide pour récupérer cette fortune en échange d'une généreuse récompense. Bien entendu, j'ai marqué et signalé le message comme étant du spam. Ce type d'escroquerie, qui consiste à offrir des récompenses financières en échange d'un peu d'aide, trouve son origine aux prémices d'Internet. Comme je sais pertinemment que l'argent ne tombe pas du ciel, j'ai pu facilement repérer le piège.
Le deuxième message m'a quelque peu inquiété. Il est évident que les chances que l'argent tombe du ciel sont nulles. En revanche, on ne peut pas en dire autant des factures (malheureusement). Elles ont ce pouvoir exceptionnel de se multiplier spontanément, en apparaissant de nulle part dans nos vies aux moments les moins opportuns. L'expéditeur et le sujet du message étaient les mêmes : Facture d'Internet. Le texte exact était le suivant : « À titre d'information, nous vous faisons parvenir votre 2e avis de la facture de votre abonnement Internet... Assurez-vous de régler rapidement pour éviter d'éventuels problèmes dus à une perte de service... ».
En plus du petit texte trompeur, le mail contenait également une pièce jointe au format PDF. Comme j'ai installé Avast Ultimate sur mon ordinateur, j'ai ouvert le fichier sans craindre d'être contaminé par un virus, de voir mes fichiers être détournés ou mes informations volées. Laissez-moi tout de même vous rappeler que, même avec la meilleure protection du marché, il ne s'agit pas d'une bonne pratique de sécurité. Ne faites pas ça chez vous (ni au travail). Comme on dit chez Avast, la force d'une chaîne dépend de son maillon le plus faible. Par ailleurs, en matière de sécurité numérique, on n'est jamais trop prudent.
Le fichier était donc une facture de fournisseur d'accès à Internet, avec le logo de la société et tout ce qu'une facture comporte en général, notamment mon nom, le numéro de contrat, le montant à payer et un code barre. Il ressemblait vraiment à un document légitime. Le problème, c'est que je ne suis pas un client de ce fournisseur d'accès à Internet. Donc, pour être absolument certain qu'il ne s'agissait que d'une autre tentative d'escroquerie, j'ai vérifié l'adresse e-mail de l'expéditeur. Bingo ! L'adresse boleto2@dkvox.net.br peut provenir de n'importe qui sauf dudit fournisseur d'accès à Internet. Je l'ai placée dans la liste des spams.
Le troisième message était similaire au deuxième, mais au lieu d'une facture, il provenait d'« Apple » et prétendait, en anglais dans le texte, « Your Apple ID was blocked for security reasons... To unlock it, you need to verify your identity. » En bas de l'écran, il y avait un bouton « Check Account ».
Sauf que ma communication avec l'entreprise se fait via une autre adresse e-mail et qu'elle est effectuée en portugais. L'adresse e-mail de l'expéditeur était également assez suspecte : noreply.support.cvh6hxiosdc@email.apple.com. Juste par curiosité, j'ai vérifié ce qui se cachait derrière tout cela. Donc, encore une fois, comme Avast Ultimate me protège non seulement contre les virus et les ransomwares, mais également contre les sites Web frauduleux (entre autres), j'ai cliqué sur le lien pour vérifier le résultat (avertissement : encore une fois, ne faites pas ça chez vous).
À ma grande surprise, au lieu de m'emmener sur une fausse page de vérification d'identité, j'ai été redirigé vers une page de vente de livres électroniques sur les « méthodes faciles et efficaces pour mettre fin aux mauvaises habitudes ». Parfait ! Que demander de mieux pour commencer la nouvelle année ? Une minute ! La façon dont je suis arrivé sur cette page était très suspecte. Même s'il ne s'agissait pas d'un système de vérification d'identité frauduleux, la page demandait tout de même certaines données personnelles. Et c'est là que réside le danger. Peut-être que l'auteur du livre électronique cherchait simplement à accroître la visibilité de son travail, mais qui peut garantir qu'il ne s'agissait pas d'une nouvelle tentative d'usurpation d'identité ? Encore un autre message envoyé dans les spams !
Ces trois e-mails ne sont que quelques exemples des messages de phishing qui rôdent sur Internet. Si vous faites partie des quelque 4 milliards d'utilisateurs d'e-mails sur la planète, il est très probable que, comme moi, vous ayez déjà reçu quelque chose de similaire dans votre boîte de réception.
Mais qu'est-ce que le phishing exactement ?
Le nom phishing est un néologisme du mot anglais fishing (la prononciation des deux termes est la même), qui signifie « pêcher ». Par analogie avec les pêcheurs du monde réel, le mot fait référence à l'idée d'escrocs qui lancent leurs filets dans la cyber-mer dans le but de pêcher des données précieuses auprès d'utilisateurs imprudents.
Il s'agit du type d'escroquerie le plus utilisé par les cybercriminels et les e-mails constituent l'outil le plus couramment utilisé à cette fin. Généralement, les escrocs envoient des messages frauduleux en se faisant passer pour des organisations légitimes, comme celles que j'ai reçues du fournisseur d'accès à Internet et d'« Apple ». Selon les experts, cette technique contribue au succès de la fraude car elle peut faire croire aux victimes qu'il s'agit de quelque chose d'important.
Un autre type de message qui attire aussi beaucoup l'attention des utilisateurs non informés sont les incroyables promotions sur des ventes ou les manipulations psychologiques. Le message que j'ai reçu du prétendu avocat étranger est un exemple flagrant du dernier cas. En fin de compte, quel que soit le contenu du message, les objectifs sont les mêmes : tirer parti de la vulnérabilité de la victime pour dérober des informations personnelles, accéder à des informations d'identification, des numéros de carte de crédit et de compte bancaire, ou diffuser des malwares et des ransomwares sur le réseau.
Conseils pour ne jamais être pris dans les filets du phishing
Parfois, l'attaque de phishing est évidente et peut être identifiée rapidement. Cependant, les experts avertissent que cette technique d'escroquerie est en constante évolution, les cybercriminels profitant des connaissances limitées des utilisateurs sur le sujet.
Passez au travers des mailles du filet :
1. Vous souvenez-vous lorsque vos parents vous demandaient de ne jamais parler à des étrangers ?Il en va de même pour le monde virtuel. Ne commencez pas un échange de messages avec une personne que vous ne connaissez pas simplement parce qu'elle vous offre un grand avantage financier. Soyons réalistes : quelles sont les chances que quelqu'un vous offre un cadeau juste parce qu'il fait beau dehors ? Demandez-vous toujours quels types de messages vous recevez habituellement et n'envoyez jamais d'informations personnelles sans vous assurer au préalable que vous n'êtes pas impliqué dans une escroquerie.
2. Vous vous souvenez de cet e-mail avec une incroyable promotion sur votre marque préférée ? Si c'est trop beau pour être vrai, il y a de fortes chances pour qu'il s'agisse d'une énième arnaque. Vérifiez l'adresse de l'expéditeur pour voir si elle correspond aux messages que vous recevez normalement de cette société. Disons que vous oubliez de faire cette vérification et que vous cliquez en fait sur le lien promotionnel. Sur la page redirigée, il vous est demandé de saisir des données personnelles et des informations de paiement. Attention ! Avant de cliquer sur « Acheter », vérifiez si l'adresse de la boutique est correcte. Un site authentique et sa copie frauduleuse peuvent se ressembler comme deux gouttes d'eau, mais il y aura toujours quelque chose de différent dans l'URL, même si ce n'est qu'une lettre supplémentaire ou déplacée. Pour rendre l'identification encore plus difficile, le nom de l'établissement peut être correct, mais le domaine peut être différent (par exemple : .net au lieu de .com.br). Vérifiez également que l'adresse commence par HTTPS. Il s'agit du protocole qui permet à l'ordinateur d'échanger des informations en toute sécurité avec un serveur. Les pages frauduleuses ne disposent généralement pas de cet élément.
3. Si vous avez reçu un fichier « important » mais que vous n'attendiez pas d'un étranger ou même d'une connaissance, ne l'ouvrez pas. Si le message provient de quelqu'un dont vous n'avez jamais entendu parler, placez-le directement à la corbeille. Si l'e-mail vient d'un collègue, d'un ami ou d'un parent, demandez-leur s'ils vous ont envoyé quelque chose. Selon la réponse, vous savez déjà ce qu'il faut faire. Vous pouvez également signaler tout phishing sur le site phishing-initiative.fr. Un membre l'analysera et il pourra alors être signalé comme suspect.
4. Gardez vos navigateurs toujours à jour. Cette pratique est importante car à chaque mise à jour, les développeurs fournissent des correctifs pour corriger les vulnérabilités connues du système.
5. Si vous êtes responsable d'une entreprise dont les employés utilisent des ordinateurs, offrez une formation appropriée à votre personnel de sorte qu'il puisse reconnaître les menaces en ligne.
6. Faites attention aux droits des utilisateurs dans votre entreprise. En matière de politiques de sécurité, vous devez accorder au personnel l'autorisation d'accès uniquement aux zones nécessaires pour effectuer son travail.
Disposez d'une solution antivirus complète sur votre machine ou d'une solution de cybersécurité professionnelle dans votre entreprise. Avast Antivirus ou, dans le cas des entreprises, Avast Business, sont de bons exemples qui vous protègent, vous et votre entreprise, contre les attaques de phishing et de nombreuses autres menaces en ligne. Pour vous donner une idée, les produits Avast bloquent 66 millions d'attaques chaque jour et sont instantanément mis à jour à chaque nouvelle menace qui apparaît dans le monde.
En suivant les meilleures pratiques et en utilisant des outils de sécurité de pointe, vous pouvez accéder à vos e-mails et naviguer sur le Web sans que personne ne dérobe l'un de vos biens les plus importants : vos informations personnelles.
NOUS AVONS BESOIN DE VOUS : aidez-nous à combattre les pirates informatiques en nous envoyant les e-mails et SMS frauduleux que vous recevez (transfert d'e-mails, liens suspicieux ou captures d'écran) à l'adresse signalement@avast.com
