Sécurité et confidentialité en ligne
|
Lecteur Min
Qu’est-ce que le phishing ? Comment repérer et éviter les arnaques de phishing
Les cybercriminels tentent constamment de soutirer des informations personnelles par hameçonnage, mais vous n'avez pas à vous laisser piéger par une arnaque.
Le phishing, ou hameçonnage, est un type d'escroquerie dans lequel des cybercriminels usurpent l'identité d'une personne ou d'une organisation de confiance pour vous inciter à cliquer sur un lien, à télécharger un fichier ou à partager des informations sensibles telles que des mots de passe ou des numéros de carte de crédit. Ces arnaques nous parviennent par pratiquement tous les canaux de communication entrants, notamment les e-mails, les SMS, les publications sur les réseaux sociaux, les appels téléphoniques ou les messages directs. Les escroqueries peuvent également tenter de vous cibler via votre boîte aux lettres physique, bien que cela soit généralement classé comme de la fraude postale.
Le phishing est la forme la plus courante d'« ingénierie sociale », qui désigne le fait pour les attaquants de s'appuyer sur la tromperie plutôt que sur des compétences de piratage informatique pour parvenir à leurs fins.
La bonne nouvelle : une fois que vous savez quoi chercher, les tentatives de phishing deviennent plus faciles à repérer. C'est également vrai à notre époque de l'IA et des deepfakes – bien que les fautes de frappe et de grammaire soient moins courantes aujourd'hui, les messages de phishing tentent toujours de créer un sentiment d'urgence.
À quoi ressemble un message de phishing ?
De nos jours, les messages de phishing sont plus convaincants que jamais, mais ils cherchent presque toujours à créer un sentiment d'urgence et tentent de vous persuader de faire quelque chose (comme ouvrir un lien, répondre à un SMS, télécharger une pièce jointe ou saisir un mot de passe). Même à l'ère de l'IA, vous pouvez rester attentif aux signaux d'alarme.
Des offres trop belles pour être vraies
Souvent, un message de phishing tente d'éveiller un sentiment d'urgence positif : « Vous avez gagné une glacière de valeur ! » Les messages promettant de l'argent gratuit, des cadeaux ou des offres exclusives sont souvent des arnaques, surtout si vous ne vous souvenez pas vous être inscrit. Dans de nombreux cas, l'adresse e-mail de l'expéditeur semblera très informelle, utilisant par exemple beaucoup de chiffres et un nom de domaine étrange. Mais supprimez et signalez tout message inattendu qui semble trop beau pour être vrai.
Un ton urgent ou menaçant
Les escrocs utilisent également un sentiment d'urgence négatif. Ils essaient de vous presser avec des messages tels que :
« Votre compte va être verrouillé ! »
« Agissez maintenant pour éviter des pénalités ! »
« Vous faites l'objet d'une enquête ! »
Ignorez, supprimez et signalez ce genre de messages. Les organisations sérieuses, les entreprises et les organismes gouvernementaux ne vous contacteront pas par e-mail de cette façon.
Demandes d'informations sensibles
Les organisations légitimes ne vous demanderont jamais de mots de passe, de numéros de sécurité sociale ou d'informations financières par e-mail ou par SMS. Si vous recevez un message étrange de la part d'une organisation réelle, contactez-la directement pour obtenir plus de détails (c'est-à-dire pas via les coordonnées fournies dans le message), par exemple en vous rendant sur son site Web officiel.
Demandes inattendues
Soyez extrêmement prudent face à toute demande inattendue :
Des factures que vous ne reconnaissez pas
Des demandes de paiement soudaines
Des messages demandant des cartes-cadeaux ou des virements bancaires
N'envoyez jamais d'argent sous des formes de paiement inhabituelles, telles que des crypto-monnaies, des cartes-cadeaux, des virements télégraphiques ou de l'argent liquide par coursier – toute demande de paiement de ce type est généralement une escroquerie.
Adresses d'expéditeurs suspectes
Examinez attentivement l'e-mail de l'expéditeur. De légères fautes d'orthographe ou des domaines inhabituels (comme pavpal.com au lieu de paypal.com) constituent un signal d'alarme majeur.
Liens ou pièces jointes étranges
Sur les ordinateurs portables ou de bureau, vous pouvez généralement survoler les liens avec le curseur avant de cliquer pour voir la destination réelle du lien.
Ne téléchargez jamais de pièces jointes que vous n'attendiez pas, même si elles proviennent d'une personne de votre connaissance. Vérifiez de manière indépendante qu'elles ne présentent aucun danger.
Mauvaise rédaction ou mise en forme
Alors que les messages de phishing étaient autrefois faciles à repérer, beaucoup utilisent aujourd'hui un langage châtié grâce à l'IA. Néanmoins, des formulations maladroites ou des incohérences doivent éveiller vos soupçons de phishing.
Formules de salutation génériques
Les messages qui commencent par « Cher client » plutôt que par votre nom peuvent indiquer une tentative de phishing de masse. Là encore, c'est moins fréquent aujourd'hui avec l'IA, mais cela reste un point à surveiller.
Pourquoi les escroqueries par phishing semblent-elles si urgentes ?
Le sentiment d'urgence est l'un des signes d'alerte les plus importants du phishing.
Les escrocs veulent que vous agissiez rapidement avant d'avoir le temps de réfléchir.
Ils peuvent créer un sentiment d'urgence de deux manières principales.
L'urgence positive
« Vous avez gagné un prix ! »
« Réclamez votre récompense maintenant ! »
« Offre d'une durée limitée ! »
L'urgence négative
« Votre compte a été piraté ! »
« Le fisc mène une enquête sur vous ! »
« Vous serez arrêté si vous ne répondez pas ! »
Réfléchissez avant de cliquer
Ces messages sont conçus pour déclencher de la panique ou de l'excitation, deux émotions qui peuvent conduire à des décisions rapides et risquées.
Vérification des faits : les organisations légitimes, en particulier les organismes gouvernementaux comme la police locale ou les services fiscaux, ne vous contactent pas de cette manière pour des questions sérieuses.
Prenez quelques secondes pour chaque message
L'un des moyens les plus simples d'éviter le phishing est de faire une pause avant d'agir. Même le fait de consacrer 5 à 9 secondes à chaque e-mail peut vous calmer et vous aider à réfléchir plus clairement. Oui, mis bout à bout, ces secondes s'accumulent, mais la tranquillité d'esprit en vaut largement la peine.
Avant de cliquer sur un lien, de répondre ou de télécharger quoi que ce soit, posez-vous les questions suivantes :
Est-ce que j'attendais ce message ?
Y a-t-il quelque chose qui me paraît suspect ?
L'expéditeur est-il bien celui qu'il prétend être ?
Ai-je l'impression de devoir agir rapidement ?
Si vous avez un doute, n'y donnez pas suite.
Une excellente démarche consiste à demander un deuxième avis à un collègue, un ami ou un membre de votre famille.
Aucun message légitime ne requiert une réponse instantanée.
Qu'est-ce que le spear phishing ?
Certaines attaques de phishing sont plus ciblées. C'est ce qu'on appelle le spear phishing, ou harponnage (pensez à viser un poisson spécifique dans la rivière avec une lance).
Dans ce cas, les escrocs connaissent peut-être déjà des détails à votre sujet, tels que :
Votre nom
Votre poste ou votre entreprise
Votre adresse e-mail
Le nom de vos collègues ou amis
Les cybercriminels utilisent ces informations, souvent recueillies sur les réseaux sociaux ou des sources publiques, pour rendre leur message plus crédible.
Vous pouvez toutefois esquiver ces attaques !
Même si un message semble personnel, restez prudent, surtout s'il présente un caractère d'urgence ou des demandes inhabituelles.
Le PDG de votre entreprise n'a probablement pas besoin que vous lui achetiez des cartes-cadeaux.
Que faire si vous recevez un message de phishing
Si vous pensez avoir repéré une tentative de phishing :
Comment protéger votre univers numérique des dommages du phishing
Les e-mails de phishing peuvent passer à travers les filtres anti-spam, il est donc important de développer des habitudes de sécurité solides pour vous aider à rester résilient, même si vous vous faites piéger par un message :
Utilisez l'authentification multifacteur (MFA)
L'ajout d'une deuxième étape de vérification rend l'accès à vos comptes beaucoup plus difficile pour les attaquants. Ne donnez jamais votre code MFA à qui que ce soit !
Créez des mots de passe forts et uniques
Utilisez un mot de passe différent pour chaque compte, idéalement d'au moins 16 caractères. Les gestionnaires de mots de passe sont d'une aide précieuse !
Gardez vos logiciels à jour
Les mises à jour corrigent les failles de sécurité que les escrocs tentent d'exploiter.
Pourquoi le signalement du phishing est-il important ?
Signaler le phishing ne sert pas seulement à vous protéger, cela aide à protéger tout le monde.
Les fournisseurs de messagerie et les équipes de sécurité utilisent ces rapports pour :
Bloquer les messages frauduleux
Neutraliser les expéditeurs malveillants
Améliorer les systèmes de détection
Votre signalement peut stopper la prochaine attaque !
Une courte pause est votre meilleure défense contre le phishing
Les escroqueries par phishing reposent sur des réactions rapides. Votre meilleure défense est de prendre quelques secondes pour réfléchir.
Si quelque chose vous semble suspect, faites confiance à votre instinct. Prenez un moment, vérifiez à deux fois et, en cas de doute, ne cliquez pas ! Pour d'autres conseils de sécurité en ligne, inscrivez-vous à notre newsletter par e-mail !
FAQ
Qu'est-ce que le phishing en termes simples ?
Le phishing consiste, pour des escrocs, à utiliser des communications numériques (comme un e-mail ou un SMS) pour tenter de vous inciter à cliquer sur un lien, à télécharger une pièce jointe ou à partager des informations personnelles.
Comment savoir si un message est une tentative de phishing ?
Les messages qui créent un sentiment d'urgence et les messages inattendus (ou les deux !) sont très souvent du phishing. Vous pouvez également rechercher des liens suspects et des adresses d'expéditifs qui ne correspondent pas à l'entreprise.
Que faire si vous cliquez sur un lien de phishing ?
Signalez l'incident à votre équipe informatique ou de sécurité si vous êtes au travail. Déconnectez-vous d'Internet, lancez une analyse de sécurité à l'aide du logiciel de sécurité de votre appareil et modifiez tous les mots de passe que vous avez envoyés ou que vous pensez avoir été compromis.
Le phishing peut-il se produire par SMS ou sur les réseaux sociaux ?
Oui. Le phishing peut se produire par SMS (le « smishing »), par appel téléphonique (le « vishing »), sur les réseaux sociaux ou par message direct, et pas seulement par e-mail.
