Comment éviter les pièges du phishing

Au secours ! J'ai un courriel d'hameçonnage dans ma boîte de réception !

Si vous possédez une adresse e-mail, il y a de fortes chances que vous ouvriez un jour ce message et y découvriez un courriel d'hameçonnage. Cependant, pas de panique : nous avons compilé une liste simple de mesures à prendre si cela vous arrive.Supprimez-le Et voilà !

Bon, d'accord, c'est un peu plus complexe que ça. Si une attaque de phishing classique est inévitable et peut être ignorée, il est essentiel de signaler toute autre tentative phishing à votre responsable et au service informatique, le cas échéant. Un pirate informatique ne se contentera pas d'un seul e-mail et ciblera probablement plusieurs employés sur plusieurs semaines, mois, voire plus. Il est donc important non seulement de sensibiliser tout le monde, mais aussi de vérifier si un employé moins vigilant a mordu à l'hameçon. Plus les failles de sécurité sont corrigées rapidement, moins les dégâts seront importants.

Parfois, l'attaque de phishing est évidente et peut être identifiée rapidement. Cependant, les experts avertissent que cette technique d'escroquerie est en constante évolution, les cybercriminels profitant des connaissances limitées des utilisateurs sur le sujet.

Ne faites pas partie des statistiques, passez au travers des mailles du filet :

1. Vous souvenez-vous lorsque vos parents vous demandaient de ne jamais parler à des étrangers ? Il en va de même pour le monde virtuel. Ne commencez pas un échange de messages avec une personne que vous ne connaissez pas simplement parce qu'elle vous offre un grand avantage financier. Soyons réalistes : quelles sont les chances que quelqu'un vous offre un cadeau juste parce qu'il fait beau dehors ? Demandez-vous toujours quels types de messages vous recevez habituellement et n'envoyez jamais d'informations personnelles sans vous assurer au préalable que vous n'êtes pas impliqué dans une escroquerie.

2. Vous vous souvenez de cet e-mail avec une incroyable promotion sur votre marque préférée ? Si c'est trop beau pour être vrai, il y a de fortes chances pour qu'il s'agisse d'une énième arnaque. Vérifiez l'adresse de l'expéditeur pour voir si elle correspond aux messages que vous recevez normalement de cette société. Disons que vous oubliez de faire cette vérification et que vous cliquez en fait sur le lien promotionnel. Sur la page redirigée, il vous est demandé de saisir des données personnelles et des informations de paiement. Attention ! Avant de cliquer sur « Acheter », vérifiez si l'adresse de la boutique est correcte. Un site authentique et sa copie frauduleuse peuvent se ressembler comme deux gouttes d'eau, mais il y aura toujours quelque chose de différent dans l'URL, même si ce n'est qu'une lettre supplémentaire ou déplacée. Pour rendre l'identification encore plus difficile, le nom de l'établissement peut être correct, mais le domaine peut être différent (par exemple : .net au lieu de .com.br). Vérifiez également que l'adresse commence par HTTPS. Il s'agit du protocole qui permet à l'ordinateur d'échanger des informations en toute sécurité avec un serveur. Les pages frauduleuses ne disposent généralement pas de cet élément.

3. Si vous avez reçu un fichier « important » mais que vous n'attendiez pas d'un étranger ou même d'une connaissance, ne l'ouvrez pas. Si le message provient de quelqu'un dont vous n'avez jamais entendu parler, placez-le directement à la corbeille. Si l'e-mail vient d'un collègue, d'un ami ou d'un parent, demandez-leur s'ils vous ont envoyé quelque chose. Selon la réponse, vous savez déjà ce qu'il faut faire. 

4. Gardez vos navigateurs toujours à jour. Cette pratique est importante car à chaque mise à jour, les développeurs fournissent des correctifs pour corriger les vulnérabilités connues du système.

5. Si vous êtes responsable d'une entreprise dont les employés utilisent des ordinateurs, offrez une formation appropriée à votre personnel de sorte qu'il puisse reconnaître les menaces en ligne.

6. Faites attention aux droits des utilisateurs dans votre entreprise. En matière de politiques de sécurité, vous devez accorder au personnel l'autorisation d'accès uniquement aux zones nécessaires pour effectuer son travail. Controle Web d'Avast Premium et ULTIMATE Business Security peuvent vous aider à gérer cela.
7. Disposez d'une solution antivirus complète sur votre machine ou d'une solution de cybersécurité professionnelle dans votre entreprise. Avast Antivirus ou, dans le cas des entreprises, Avast Business ou AVG Business, sont de bons exemples qui vous protègent, vous et votre entreprise, contre les attaques de phishing et de nombreuses autres menaces en ligne. Pour vous donner une idée, les produits Avast bloquent 66 millions d'attaques chaque jour et sont instantanément mis à jour à chaque nouvelle menace qui apparaît dans le monde.

Il existe de nombreux types d'attaques de phishing, mais elles reposent toutes sur le même mécanisme de base : exploiter la confiance, l'ignorance ou l'apathie humaines pour nous inciter à faire quelque chose que nous ne devrions vraiment pas faire.

Hameçonnage ciblé — Viser les étoiles (littéralement)

Certains auteurs de phishing se contentent de voler l'argent, les données et la sécurité de quiconque tombe dans leurs filets. D'autres, en revanche, ont des objectifs plus ambitieux : pour des raisons personnelles, politiques ou financières, ils décident de cibler des personnalités influentes. On parle alors de spear phishing , car cette technique est plus précise et vise souvent les « baleines », c'est-à-dire des politiciens, des célébrités et des PDG de haut niveau, qui ont tous accès à des données précieuses (et à des sommes considérables). Le spear phishing est une attaque précise visant une cible spécifique et de haut niveau, comme un PDG, aussi appelé "baleine".

En se faisant passer pour un contact connu – un employé, un ami, un associé, voire une autre organisation –, les auteurs de spear phishing envoient à leurs cibles des courriels soigneusement conçus, fruit de recherches approfondies et souvent extrêmement ciblés. Leur objectif est généralement de les inciter à télécharger un logiciel malveillant leur donnant accès au système, mais un nom d'utilisateur et un mot de passe pourraient également leur conférer des droits d'administrateur sur le réseau, ce qui serait tout aussi catastrophique.

Si des pirates informatiques souhaitent cibler une entreprise ou une organisation entière par hameçonnage, ils privilégieront probablement une attaque par point d'eau . Ils suivent l'organisation jusqu'à un site qu'elle utilise fréquemment (le plus souvent WhatsApp, Facebook ou Slack) et y diffusent des liens d'hameçonnage. Ces liens, tout comme les courriels à caractère personnel envoyés à des particuliers, sont généralement bien préparés et difficiles à distinguer des messages authentiques. Du fait de leur caractère hautement personnalisé, ces attaques sont à peu près aussi efficaces que les anciennes attaques contre AOL et sont à l'origine de 91 % des piratages réussis contre les organisations.

Hameçonnage par clonage — Les jumeaux maléfiques

Nous recevons tous des courriels officiels de nos fournisseurs de services, y compris des pirates informatiques. Là où nous y voyons une nuisance, ils y voient une opportunité. Le phishing par clonage consiste pour un pirate à copier un courriel légitime envoyé par une organisation de confiance, mais à remplacer ou ajouter un lien menant à un faux site web malveillant. Ensuite, il envoie ce courriel en masse et observe qui clique dessus.

Parfois, le lien mène à un site infecté, mais de nos jours, il est plus fréquent de tenter de dérober votre nom d'utilisateur et votre mot de passe via une fausse page de connexion. Ainsi, les pirates peuvent accéder au compte auquel vous essayiez de vous connecter… et à tout autre compte utilisant le même mot de passe (c'est pourquoi il ne faut jamais utiliser deux fois le même mot de passe ).

Si un logiciel malveillant présent sur votre ordinateur ou votre routeur vous redirige vers un faux site, on parle de pharming . Le nom est similaire, mais mis à part l'objectif de voler des identifiants de connexion (et le préfixe « pharming »), ces deux attaques n'ont pas grand-chose en commun.

Arnaques 419 : l’affaire du siècle

Bien que son nom provienne de l'article du code pénal nigérian relatif à la fraude, l'arnaque 419 peut provenir de n'importe où dans le monde. Traditionnelle et si répandue qu'elle en est devenue inefficace, elle utilise des histoires élaborées pour vous soutirer de l'argent, voire vos informations personnelles en vue d'un vol d'identité classique.De nos jours, les escrocs commencent par entretenir des relations épistolaires ou à distance avant qu'un « malheur » ne survienne et qu'ils aient soudainement besoin d'argent.

L'hameçonnage téléphonique

La plupart des attaques de phishing se produisent dans votre boîte de réception. Mais pas toutes. Parfois, les escrocs appellent ou envoient des SMS en se faisant passer pour votre banque ou la police, prétendant qu'il y a des problèmes avec votre compte qu'ils doivent régler. Une fois que vous leur avez communiqué vos numéros de compte et votre code PIN, ils vident votre compte, ce qui est l'inverse du problème que vous cherchiez à résoudre. On appelle cela du phishing téléphonique, ou vishing , pour « phishing vocal ». L’hameçonnage peut aussi se produire par téléphone.

Bien que moins répandue que l'hameçonnage par courriel, l'hameçonnage téléphonique est en pleine expansion. Outre l'usurpation d'identité de votre banque, les fraudeurs peuvent également se faire passer pour le fisc, le service d'assistance technique ou une entreprise de services publics. En réalité, tous les moyens sont bons.

Livraison spéciale : c'est un logiciel malveillant !

Outre le vol de données, comme nous l'avons évoqué, presque toutes les formes d'hameçonnage peuvent servir à infecter un système avec un logiciel malveillant. Un lien peut mener à un site web compromis, une pièce jointe peut contenir un logiciel malveillant. Pire encore, même un document Google ou une feuille de calcul peuvent désormais être infectés, en raison de la multiplication des attaques sans fichier – qui transforment des logiciels sûrs et fiables en logiciels malveillants par modification de leurs mécanismes internes.

Avec l'arrivée de toujours plus d'appareils et de services dans nos vies, les techniques de piratage se multiplient. Invitations Google Docs trompeuses , partages Dropbox , fausses factures, faux avis de paiement, faux fax… tous les moyens sont bons pour vous inciter à cliquer et télécharger un fichier. Comme nous l'avons dit, cette pratique est si courante et si efficace qu'elle est devenue le moyen de prédilection pour diffuser des logiciels malveillants, piégeant chaque année des millions de personnes dans le monde.

La bonne nouvelle, c'est que les logiciels malveillants ne peuvent pas contourner un bon antivirus par ingénierie sociale. Ainsi, même si le phishing peut introduire un logiciel malveillant dans votre boîte de réception, AVG peut empêcher tout dommage. Mais n'allons pas trop vite.

Hameçonnage par clonage

Il s'agit là d'un exemple typique d'e-mail d'hameçonnage usurpé, et il présente tous les signes distinctifs : vous n'êtes pas interpellé directement et le corps du message ne contient aucune information personnelle. Pour prouver leur authenticité, les e-mails envoyés par des services légitimes incluent votre nom, votre numéro de compte ou d'autres informations permettant de confirmer leur identité. Cet e-mail, lui, en est totalement dépourvu. Mais le deuxième indice, plus évident, est le lien dans l'e-mail : il mène vers un site HTTP, non vérifié et non sécurisé. Un lien authentique mènerait à un site HTTPS, mais il arrive que l'on tente de le dissimuler à l'aide d'hypertexte.

Courriels de transmission de logiciels malveillants

Ces exemples sont d'une simplicité déconcertante.Voici un exemple du récent logiciel malveillant ciblant Google Docs, que nous avons évoqué brièvement plus haut. Dès que vous cliquez sur le bouton « Ouvrir dans Docs », vous invitez un logiciel malveillant à s'installer sur votre ordinateur. Prenons-en un autre exemple :et d'autres encore sont moins subtils :ces courriels ne cherchent pas vraiment à vous piéger : le bon sens et un peu d'esprit critique inciteraient la plupart des gens à les supprimer. En réalité, les pirates exploitent l'apathie et la curiosité à parts égales : ce sont les mêmes outils qu'ils utilisent pour inciter les gens à brancher des clés USB infectées.

Bien sûr, il ne faut jamais télécharger quoi que ce soit dont on n'est pas sûr. C'est le conseil numéro un pour les courriels, et dans la vie en général, à certains égards.

hameçonnage ciblé

Le spear phishing est une technique bien plus complexe.Comme vous pouvez le constater, un e-mail de spear phishing bien conçu évite la plupart des indices mentionnés précédemment. Il est adressé à une personne spécifique, utilise un site web HTTPS et ne contient aucune faute d'orthographe ni de grammaire. Dans ce cas précis, l'indice principal serait l'expéditeur : Google ArAutoBot, ce qui devrait éveiller les soupçons. Mais si vous êtes occupé(e) au travail et que vous ne faites que jeter un coup d'œil, ce détail est facile à manquer.

Parfois, les faux comptes sont plus difficiles à repérer : l’utilisation de caractères d’autres langues ressemblant trait pour trait aux caractères anglais peut donner l’impression d’une URL différente, mais visuellement identique. 

Le caractère personnalisé de ces courriels explique en partie leur succès. Une meilleure planification, comme avertir le destinataire avant l'envoi d'un courriel ou vérifier scrupuleusement le contenu des pièces jointes ou des liens avant de les ouvrir, pourrait prévenir ces attaques. Cependant, pour beaucoup, le risque d'hameçonnage ne justifie pas les efforts de préparation. C'est précisément pour cette raison que les pirates informatiques affectionnent tant cet outil.

Note sur le « vishing »

Bien évidemment, les mesures mentionnées ci-dessus ne s'appliquent pas en cas d'hameçonnage vocal, mais cela ne signifie pas que vous êtes impuissant. Par exemple, Apple, Microsoft et les autres géants de la tech ne vous appelleront jamais pour un « problème » avec votre appareil, et surtout pas par le biais d'« agents indépendants ». Si vous recevez un tel appel, n'hésitez pas à raccrocher ou à jouer la carte de la provocation. Tirez-en le meilleur parti. Si vous êtes contacté par une banque, par exemple, on vous appellera toujours par votre nom. On pourra vous poser des questions de vérification pour confirmer votre identité, mais on ne vous demandera jamais votre code PIN, votre numéro de sécurité sociale ni aucun autre numéro sensible. Il en va de même si quelqu'un vous appelle en se faisant passer pour la police : on ne vous demandera jamais de vérifier vos informations bancaires par téléphone.

Le rapport constate également que l'hameçonnage représente une menace croissante pour les consommateurs : la part des tentatives d'hameçonnage parmi toutes les menaces bloquées au premier trimestre a augmenté de 40 % par rapport à la même période l'an dernier. Parmi les escroqueries par hameçonnage en hausse, on retrouve les arnaques aux faux remboursements et aux fausses factures. Les fraudeurs envoient alors de fausses factures pour des biens ou des services jamais commandés ni reçus. Ils utilisent souvent des marques connues et des logos reconnaissables pour donner une apparence de légitimité à leurs arnaques. 

La généralisation des attaques par SMS, ou attaques de smishing, contribue également à l'augmentation des cas d'hameçonnage. Les escrocs jouent souvent sur les émotions de leurs victimes en créant un sentiment d'urgence dans leurs messages. Si vous recevez un courriel ou un SMS inattendu vous demandant de l'urgence, ou un message qui semble trop beau pour être vrai, prenez quelques instants pour le vérifier avant d'agir.Vérifiez toujours attentivement qu'un courriel ou un SMS provient d'un expéditeur de confiance et, en cas de doute, contactez directement la source, qu'il s'agisse d'une personne de votre entourage ou du service client de l'entreprise. 

Le rapport Avast sur les menaces du premier trimestre 2023 démontre que les escrocs utilisent des tactiques de plus en plus sophistiquées pour tromper les internautes, notamment en exploitant la confiance accordée aux marques connues et en jouant sur les émotions des victimes en créant un sentiment d'urgence dans leurs messages. Il est donc essentiel de redoubler de vigilance face à tout courriel ou SMS vous incitant à télécharger des fichiers ou à cliquer sur des liens, même s'il semble provenir de marques réputées. Les logiciels de cybersécurité, tels que la technologie Bouclier Web d'Avast, constituent une protection efficace contre ce type d'attaques. 

Toutes les versions premium d'Avast  et AVG offrent une protection optimale contre les attaques de phishing , ce qui est vérifié lors de tests trimestriels effectués par l'organisme de test indépendant AV-Comparative.