Comment prévenir les attaques de phishing ?

L’escroquerie n’est pas un phénomène nouveau. Des imposteurs comme Victor Lustig et Frank Abagnale ont longtemps exploité la confiance et joué avec l’esprit de leurs victimes. Qu’il s’agisse de vendre deux fois la Tour Eiffel ou de se faire passer pour un pilote, leurs escroqueries sont légendaires. À l’ère du numérique, les escrocs trouvent un terrain fertile sur l’internet.

Un exemple frappant est celui d’Evaldas Rimasauskas, un Lituanien qui a trompé Google et Facebook en leur faisant parvenir plus de 100 millions de dollars. Se faisant passer pour Quanta Computer, un fabricant taïwanais de produits électroniques, M. Rimasauskas a compromis la sécurité de ces géants de la technologie, révélant ainsi la dangereuse menace que représente le phishing.

L’hameçonnage est l’une des plus anciennes astuces des escrocs en ligne. Pourquoi passer d’innombrables heures à casser des systèmes hautement sécurisés, alors qu’un courrier électronique bien conçu peut persuader la cible de traiter volontairement tout ce que vous demandez ? Cet article traite du phishing en détail et fournit des conseils sur la manière de prévenir une attaque de phishing.

---

Table des matières

1. Qu’est-ce que le phishing ?
2. Comment fonctionne le phishing ?
3. Quels sont les types d’escroqueries par hameçonnage ?
4. Comment reconnaître une attaque par hameçonnage ?
5. Comment stopper les e-mails de phishing ?
6. Que faire si vous avez donné vos informations ou de l’argent à un escroc qui vous a hameçonné ?
7. Pourquoi est-il important d’éviter les courriels d’hameçonnage ?

---

Qu’est-ce que le phishing ?

Le phishing est une cyberattaque par laquelle des escrocs tentent de tromper des personnes en leur faisant fournir des informations sensibles telles que des mots de passe, des numéros de carte de crédit ou des numéros de sécurité sociale, en se faisant passer pour des entités dignes de confiance. Le but ultime est d’obtenir un accès non autorisé à des données personnelles ou financières et de les utiliser à des fins malveillantes, telles que l’usurpation d’identité ou la fraude financière.

Le terme “phishing” est dérivé du mot “fishing” (pêche). Ce terme a été inventé dans un jeu de mots parce que les attaques de phishing présentent des similitudes avec l’acte de pêche. Tout comme la pêche traditionnelle utilise un appât pour accrocher le poisson, les attaques de phishing utilisent des communications frauduleuses pour attirer des personnes peu méfiantes et les inciter à révéler leurs informations sensibles.

Le terme a été utilisé pour la première fois au milieu des années 90 par des pirates et des chercheurs sur les premières plates-formes en ligne, telles qu’AOL. Cependant, il a été plus largement reconnu et utilisé au début des années 2000, lorsque les attaques par hameçonnage sont devenues plus fréquentes et ont constitué une menace sérieuse pour la cybersécurité.

---

Comment fonctionne le phishing ?

Le phishing utilise diverses tactiques pour paraître digne de confiance et légitime. Les escrocs envoient souvent des courriels et des SMS frauduleux, voire des appels téléphoniques, en se faisant passer pour quelqu’un d’autre, comme un représentant d’une banque, une plateforme de médias sociaux ou un détaillant en ligne. Ils utilisent des techniques astucieuses pour manipuler les gens et les inciter à agir, par exemple en cliquant sur un lien malveillant ou en téléchargeant des pièces jointes infectées.

Exemple de tentative d’hameçonnage

Examinons de plus près le fonctionnement du phishing à l’aide d’un exemple concret :

Imaginez que vous receviez un courriel semblant provenir de votre banque. L’e-mail peut utiliser le logo et les couleurs officielles de la banque et même en imiter le format. L’objet peut être urgent, suggérant un problème avec votre compte ou la détection d’une transaction suspecte.

Le courriel contient généralement un appel à l’action qui vous invite à résoudre le problème. Par exemple, il peut vous demander de cliquer sur un lien pour vérifier les détails de votre compte ou votre identité. Cependant, le lien fourni ne vous mènera pas à la page de la banque, mais à un site web malveillant habilement conçu, qui ressemble beaucoup au site légitime de la banque.

Une fois que vous avez cliqué sur le lien et que vous êtes arrivé sur le faux site web, vous verrez une page de connexion qui semble identique à la page de connexion authentique de la banque. Si vous saisissez votre nom d’utilisateur et votre mot de passe sur cette page, les escrocs s’empareront de ces informations.

Dans certains cas, après avoir saisi vos données d’identification, vous pouvez être redirigé vers le site web de la banque afin de créer l’illusion que rien de suspect ne s’est produit. Ce faisant, les escrocs tentent d’éviter de déclencher des signaux d’alarme immédiats.

Avec les informations de connexion obtenues, les attaquants peuvent accéder à votre compte bancaire, effectuer des transactions non autorisées ou même vendre vos informations d’identification sur le dark web à d’autres criminels.

---

Quels sont les types d’escroqueries par hameçonnage ?

Les escroqueries par hameçonnage sont diverses et évoluent. Les attaquants cherchent de nouvelles façons de mettre en œuvre leurs plans malicieux, mais la stratégie sous-jacente est constante. Voici quelques exemples d’escroqueries par hameçonnage que vous devez connaître :

1. L’hameçonnage par courrier électronique

Le courrier électronique est la forme classique de l’hameçonnage. Les escrocs envoient des courriels qui semblent provenir d’une source légitime, comme une banque ou un fournisseur de services en ligne. Les courriels contiennent généralement un sentiment d’urgence, demandant aux destinataires de mettre à jour leurs informations de compte ou de vérifier leurs informations d’identification en cliquant sur un lien qui mène à un faux site web. Par exemple, vous pouvez recevoir un courriel prétendant provenir d’un fournisseur de services, vous demandant de cliquer sur un lien et d’entrer vos identifiants de connexion pour résoudre un problème lié à votre compte.

---

2. Compromission des courriers électroniques professionnels (BEC)

Les attaques BEC ciblent les entreprises et consistent à se faire passer pour des cadres de haut niveau ou des fournisseurs de confiance afin de tromper les employés et de les amener à effectuer des actions non autorisées. Les escrocs envoient généralement des courriels semblant provenir d’un PDG, d’un directeur financier ou d’un fournisseur connu, demandant aux employés d’effectuer des virements, de divulguer des données sensibles ou de modifier les détails d’un paiement. Ces attaques exploitent la confiance et l’autorité associées aux dirigeants ou aux vendeurs, ce qui incite les employés à se conformer aux demandes frauduleuses.

---

3. Spear Phishing

Le spear phishing cible des personnes ou des organisations spécifiques en adaptant l’attaque à leurs intérêts personnels ou professionnels. Les fraudeurs recueillent des informations sur leurs cibles par le biais des médias sociaux ou d’autres sources afin de créer des messages personnalisés et convaincants. Par exemple, un escroc peut envoyer un courriel à un employé d’une entreprise en se faisant passer pour un cadre supérieur et en demandant des informations sensibles sur l’entreprise.

---

4. Smishing et Vishing

Le smishing désigne les attaques d’hameçonnage menées par le biais de messages textuels, tandis que le vishing désigne l’hameçonnage vocal par le biais d’appels téléphoniques. Les escrocs envoient des messages texte ou passent des appels téléphoniques en se faisant passer pour des entités de confiance, comme des banques, des services d’assistance technique ou des agences gouvernementales, et tentent d’inciter les personnes à communiquer leurs informations personnelles ou à effectuer des transactions financières par téléphone.

---

5. Pharmacie

Dans les attaques de pharming, les attaquants manipulent le système de noms de domaine (DNS) pour rediriger les utilisateurs vers des sites d’hameçonnage frauduleux à leur insu. Contrairement aux attaques de phishing traditionnelles qui consistent à tromper les individus par le biais de courriels ou de liens trompeurs, les attaques de pharming altèrent l’infrastructure fondamentale de l’internet.

Les escrocs compromettent les paramètres DNS en exploitant les vulnérabilités des serveurs DNS ou en infectant les ordinateurs des utilisateurs avec des logiciels malveillants. Ils redirigent ainsi le trafic destiné à des sites web légitimes vers de faux sites web qui ressemblent beaucoup à des sites légitimes. Lorsque les utilisateurs saisissent l’adresse correcte du site web ou cliquent sur un lien marqué d’un signet, l’attaque par pharming les dirige vers le site web malveillant.

---

Comment reconnaître une attaque par hameçonnage ?

Voici quelques moyens éprouvés de reconnaître les attaques de phishing, ainsi que des améliorations à apporter aux points existants :

• Tactiques d’urgence et de peur: Les courriels de phishing créent souvent un sentiment d’urgence ou utilisent des tactiques de peur pour vous pousser à agir immédiatement. Ils peuvent prétendre que votre compte sera fermé ou que vous subirez des conséquences si vous ne répondez pas rapidement. Méfiez-vous de ces tactiques et évaluez soigneusement la situation avant de fournir des informations sensibles.
• Pièces jointes inattendues: Les courriels de phishing contiennent parfois des pièces jointes inattendues, telles que des factures, des détails d’expédition ou des documents juridiques. Ces pièces jointes peuvent contenir des logiciels malveillants ou des virus susceptibles de compromettre votre ordinateur ou de voler vos données. Évitez d’ouvrir des pièces jointes provenant de sources suspectes ou inconnues.
• Demandes d’informations inhabituelles: Méfiez-vous des courriels qui vous demandent des informations personnelles ou financières inutiles. Les organisations légitimes ne demandent généralement pas d’informations sensibles par courrier électronique, en particulier les identifiants de connexion, les numéros de sécurité sociale ou les détails des cartes de crédit. Contactez l’organisation directement sur son site web officiel ou par l’intermédiaire de son service clientèle pour vérifier la demande.
• Des salutations génériques ou un manque de personnalisation: Les courriels d’hameçonnage utilisent souvent des formules de politesse génériques comme “Cher client” au lieu de s’adresser à vous par votre nom. Les entreprises authentiques personnalisent généralement leurs courriels et utilisent votre nom ou votre nom d’utilisateur pour établir l’authenticité. Méfiez-vous des courriels qui ne s’adressent pas à vous personnellement.
• Adresses électroniques usurpées: Faites attention à l’adresse électronique d’où provient le message. Les escrocs qui pratiquent le phishing peuvent usurper des adresses électroniques pour faire croire qu’elles proviennent d’une source légitime. Vérifiez soigneusement l’adresse électronique afin de déceler toute variation ou faute d’orthographe pouvant indiquer un expéditeur frauduleux.
• Expéditeurs inattendus ou inconnus: Soyez prudent si vous recevez un courriel d’une personne que vous ne reconnaissez pas ou avec laquelle vous n’avez jamais communiqué. Soyez particulièrement vigilant si le courriel prétend provenir d’une organisation ou d’une personne bien connue, mais qu’il ne correspond pas à vos interactions ou à vos attentes.
• Pas de signature numérique: Une signature numérique vérifie l’identité de l’expéditeur. Agissant de la même manière que les certificats SSL, les certificats numériques de courrier électronique permettent le cryptage de bout en bout de vos communications. Vous pouvez vérifier l’état d’un courriel entrant de votre client. La coche verte et l’adresse électronique vérifiée indiquent que le message a été signé numériquement par une autorité de certification de confiance.

---

Comment prévenir une attaque par hameçonnage ?

La prévention de l’hameçonnage, que vous soyez un client ou une entreprise dont l’identité a été usurpée, est une question de proactivité. Vous trouverez ci-dessous dix moyens efficaces d’éviter le phishing :

• Activer l’authentification à deux facteurs (2FA): Ajoutez une couche de sécurité supplémentaire à vos identifiants et mots de passe en activant l’authentification à deux facteurs. Elle nécessite une étape supplémentaire, comme la saisie d’un code envoyé à votre appareil mobile ou l’utilisation d’une authentification biométrique comme les empreintes digitales.
• Utilisez des certificats de courrier électronique: Protégez votre identité personnelle ou professionnelle en signant numériquement vos échanges de courrier électronique à l’aide de certificats de courrier électronique. Ces certificats, fournis par des autorités de certification de confiance telles que Sectigo et Digicert, cryptent vos courriels et documents sortants, garantissant ainsi la légitimité de l’expéditeur.
• Mettre en œuvre des protocoles d’authentification du courrier électronique: Utilisez des protocoles d’authentification du courrier électronique tels que SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting, and Conformance) pour empêcher l’usurpation d’identité et garantir que les courriels entrants proviennent de sources légitimes.
• Méfiez-vous des communications non sollicitées: Méfiez-vous des courriels non sollicités, en particulier ceux qui demandent des informations sensibles ou qui exigent une action immédiate. Contactez l’expéditeur par l’intermédiaire de son site web officiel ou de son service clientèle pour confirmer l’authenticité de l’e-mail.
• Mettre à jour et sécuriser régulièrement les appareils: Installez les derniers correctifs de sécurité et logiciels antivirus. L’application régulière des mises à jour permet de se protéger contre les vulnérabilités connues que les hameçonneurs peuvent exploiter.
• Formez-vous et restez informé: Soyez au courant des techniques d’hameçonnage et de l’évolution des menaces, y compris des tendances, des tactiques et des signaux d’alarme en matière d’hameçonnage. Restez informé en consultant des sources fiables, telles que les blogs sur la sécurité et les organes d’information.
• Connexions réseau sécurisées: Utilisez une connexion réseau sécurisée lorsque vous accédez à des informations sensibles ou effectuez des transactions en ligne. Évitez d’utiliser les réseaux Wi-Fi publics pour ce type d’activités, car ils peuvent ne pas être correctement cryptés et être vulnérables aux écoutes.
• Méfiez-vous des liens et des pièces jointes suspects: Évitez de cliquer sur des liens suspects ou de télécharger des pièces jointes provenant de sources inconnues ou non fiables. Survolez les liens pour vérifier l’URL avant de cliquer.
• Surveillez régulièrement vos comptes financiers et en ligne : Surveillez de près vos comptes financiers et en ligne pour détecter toute activité non autorisée. Examiner régulièrement les relevés bancaires, les transactions par carte de crédit et les activités des comptes en ligne afin de détecter et de signaler les transactions suspectes ou frauduleuses.
• Signalez les tentatives d’hameçonnage: Rendez le web plus sûr en signalant les courriels d’hameçonnage aux autorités compétentes, telles que [email protected] et [email protected]. La révélation de ces tentatives les aide à prendre des mesures contre les campagnes d’hameçonnage et à éviter que d’autres n’en soient victimes.

---

Comment stopper les e-mails de phishing ?

La meilleure façon de prévenir les escroqueries par hameçonnage est d’être sensibilisé à la cybersécurité. Utiliser des logiciels ou des services robustes de filtrage des courriels et de détection du spam pour détecter et bloquer les courriels d’hameçonnage. Ces systèmes utilisent des algorithmes avancés et des bases de données d’indicateurs de phishing connus pour identifier et filtrer les courriels suspects avant qu’ils n’atteignent votre boîte de réception.

Mais même les meilleurs filtres anti-spam peuvent parfois manquer des messages d’hameçonnage. C’est pourquoi il est essentiel de favoriser une culture de la vigilance parmi les employés et les utilisateurs en les encourageant à examiner attentivement les courriels pour y déceler des signes d’hameçonnage. Signaler rapidement les courriels suspects de phishing aux équipes informatiques ou de sécurité, ce qui leur permet de bloquer les expéditeurs ou les domaines malveillants.

---

Que faire si vous avez donné vos informations ou de l’argent à un escroc qui vous hameçonne ?

Si vous vous rendez compte que vous avez donné vos informations ou de l’argent à un hameçonneur, prenez immédiatement des mesures pour limiter les dommages potentiels. Le temps étant un facteur essentiel, plus vous réagissez rapidement, plus vous avez de chances de minimiser l’impact.

Changez immédiatement les mots de passe de tous les comptes dont vous pensez qu’ils ont été compromis. Commencez par votre courrier électronique, vos services bancaires en ligne, vos médias sociaux et d’autres plateformes essentielles. Créez des mots de passe forts et uniques pour chaque compte afin de renforcer la sécurité.

Ensuite, contactez et informez les organisations ou les institutions financières touchées par l’escroquerie de l’activité frauduleuse et fournissez tous les détails pertinents. Ils peuvent vous indiquer les mesures à prendre pour sécuriser vos comptes et empêcher tout accès non autorisé.

Surveillez vos relevés bancaires, vos transactions par carte de crédit et vos autres comptes pour détecter toute activité suspecte. Signalez immédiatement toute transaction non autorisée à votre banque ou à la société émettrice de votre carte de crédit.
Informez votre service de police local ou la division de lutte contre la cybercriminalité de la fraude.

Après un incident de phishing, les escrocs peuvent tenter de vous cibler à nouveau, en se faisant passer pour des représentants de l’organisation qui vous a escroqué. Restez vigilants et méfiez-vous de toute communication douteuse, en particulier celles qui demandent des informations personnelles supplémentaires.

Enfin, assurez-vous que votre ordinateur et vos appareils sont équipés d’un logiciel antivirus et anti-malware à jour. Lancez une analyse approfondie pour détecter et supprimer tout logiciel malveillant potentiel qui s’est introduit dans vos systèmes lors de l’attaque par hameçonnage.

---

Pourquoi est-il important d’éviter les courriels d’hameçonnage ?

De nos jours, le phishing est omniprésent et tout le monde peut en être victime. Du secteur de la santé aux particuliers, personne n’est à l’abri des escroqueries en ligne. Un nouveau site de phishing est lancé toutes les 20 secondes, tandis que 86 % des attaques par courrier électronique ne contiennent pas de logiciels malveillants. Les entreprises et les organisations comptent sur la confiance et la confidentialité de leurs clients. Être victime d’une attaque de phishing peut compromettre les données des clients, éroder la confiance et nuire à la réputation de l’entreprise de manière irrémédiable.

Vous trouverez ci-dessous quelques statistiques révélatrices que vous ne connaissiez probablement pas sur le phishing :

• Le phishing est à l’origine de 90 % des violations de données et constitue la forme la plus courante de cybercriminalité, avec environ 3,4 milliards de courriers électroniques non sollicités envoyés chaque jour.
• Selon le FBI, les pertes résultant de la compromission de courriers électroniques professionnels et de comptes de messagerie ont dépassé les 43 milliards de dollars.
• Plus de 48 % des courriels envoyés en 2022 étaient des spams.
• Le coût moyen d’une violation de données au sein d’une organisation est de plus de 4 millions de dollars.
• En janvier 2017, une escroquerie par hameçonnage de Gmail a ciblé près d’un milliard d’utilisateurs dans le monde entier
• 37,9 % des utilisateurs non formés échouent aux tests de hameçonnage
• Apple est l’entreprise la plus imitée pour les escroqueries par hameçonnage

Comme vous pouvez le constater, l’hameçonnage par courrier électronique est une menace sérieuse qu’il est impossible d’éliminer complètement. Tant que l’internet existera, les hameçonneurs trouveront des moyens astucieux de manipuler les utilisateurs et les entreprises. C’est pourquoi vous devez toujours être conscient et vigilant lorsque vous ouvrez et gérez vos courriels. La prévention du phishing n’est pas difficile. Vous pouvez repérer et ignorer une escroquerie potentielle en un rien de temps si vous vous entraînez à le faire.

---

Conclusion

Nous vous avons donné tous les outils et toutes les connaissances nécessaires pour prévenir une attaque de phishing. Il vous appartient maintenant de suivre les recommandations et de repérer toute activité malveillante avant qu’elle ne profite de votre négligence.

Il est essentiel d’éviter les courriels d’hameçonnage pour protéger les informations personnelles, les ressources financières, la sécurité numérique et maintenir la confiance dans les interactions en ligne. En restant vigilant et en adoptant des pratiques sûres, vous pouvez vous protéger et contribuer à un environnement numérique plus sûr.

Questions fréquemment posées