La prévention du phishing est devenue indispensable, car de plus en plus de criminels se tournent vers les escroqueries en ligne pour voler vos informations personnelles. Nous avons appris à éviter les courriers indésirables, mais les emails de phishing peuvent paraître trompeusement crédibles. Certains sont même personnalisés pour vous. Comme vous serez probablement exposé à une attaque de phishing un jour ou l’autre, vous devez en connaître les signes avant-coureurs. Les escroqueries n’ont rien de nouveau sur Internet, mais le phishing est plus difficile à repérer qu’on ne le pense.
Partout sur Internet, des attaques de phishing ont incité des victimes peu méfiantes à donner leurs informations bancaires, numéros de sécurité sociale, et bien d’autres choses encore. En outre, les cybercriminels sont devenus encore plus habiles pour se faire passer pour quelqu’un d’autre. Parfois, ces escroqueries se cachent derrière des personnes que vous connaissez et en qui vous avez confiance, comme vos collègues, votre banque ou même votre gouvernement. Si vous cliquez sur un lien, vous êtes susceptible de devenir la prochaine victime d’un escroc.
Penchons-nous sur les façons de prévenir le phishing et répondons à quelques questions importantes :
Le phishing vous convainc de faire une action qui permet aux escrocs d’accéder à votre appareil, à vos comptes ou à vos informations personnelles. En se faisant passer pour une personne ou une organisation en qui vous avez confiance, ils peuvent plus facilement vous infecter avec des programmes malveillants ou voler les données de votre carte de crédit.
Autrement dit, ces systèmes d’ingénierie sociale vous « appâtent » en trompant votre confiance pour obtenir vos précieuses informations. Il peut s’agir de vos identifiants à un réseau social ou de votre identité complète par le biais de votre numéro de sécurité sociale.
Ces stratagèmes peuvent vous inciter à ouvrir une pièce jointe, à suivre un lien, à remplir un formulaire ou à fournir des informations personnelles. Dans cette logique, vous devez être sur vos gardes en permanence, ce qui peut être épuisant.
Le scénario le plus courant est le suivant :
Ces menaces peuvent être très élaborées et se manifester dans tous les types de communication, même les appels téléphoniques. Le danger du phishing est qu’il peut tromper toute personne qui n’est pas méfiante à l’égard des petits détails.
Pour vous aider à vous protéger sans tomber dans la paranoïa, expliquons comment fonctionnent les attaques de phishing.
Quiconque utilise Internet ou un téléphone peut être victime d’une escroquerie par phishing.
Les escroqueries par phishing ont généralement les objectifs suivants :
Parfois, ces menaces ne s’arrêtent pas à vous. Si un pirate informatique s’introduit dans vos emails, votre liste de contacts ou vos réseaux sociaux, il peut envoyer des messages de phishing à des personnes que vous connaissez et qui semblent venir de vous.
C’est la confiance et l’urgence qui rendent le phishing si trompeur et dangereux. Si le criminel peut vous convaincre de lui faire confiance et de passer à l’action avant que vous réfléchissiez, vous êtes une cible facile.
Le phishing peut toucher n’importe qui, quel que soit son âge, que ce soit dans sa vie personnelle ou sur son lieu de travail.
De nos jours, tout le monde, des personnes âgées aux jeunes enfants, utilise des appareils connectés à Internet. Si un escroc peut trouver vos coordonnées publiquement, il peut les ajouter à sa liste de cibles de phishing.
Votre numéro de téléphone, votre adresse email, vos identifiants de messagerie en ligne et vos comptes de réseaux sociaux sont plus difficiles à cacher de nos jours. Il y a donc de fortes chances que le simple fait de disposer d’un d’entre eux fasse de vous une cible. En outre, les attaques de phishing peuvent être de grande envergure ou très ciblées sur les personnes qu’elles choisissent de piéger.
Les courriers indésirables de phishing sont une sorte de vaste filet lancé pour attraper toute personne qui ne se doute de rien. La plupart des attaques de phishing entrent dans cette catégorie.
En résumé, les courriers indésirables sont l’équivalent électronique des courriers publicitaires qui arrivent dans votre boîte aux lettres. Mais ces courriers indésirables sont nettement plus embêtants. Ils peuvent être dangereux, notamment dans le cas d’une tentative de phishing.
Les courriers indésirables de phishing sont massivement envoyés par des spammeurs et des cybercriminels aux fins suivantes :
Les courriers indésirables de phishing sont l’un des moyens les plus souvent utilisés par les escrocs pour obtenir vos informations. Toutefois, certaines attaques sont plus ciblées que d’autres.
Les attaques de phishing ciblées font généralement référence au spear phishing, ou phishing personnalisé, ou à sa variante la plus courante, le whaling, ou phishing de haut niveau.
Le whaling s’attaque à des cibles de haut niveau, tandis que le spear phishing élargit le filet. Les cibles sont généralement des employés d’entreprises ou d’organisations gouvernementales particulières. Toutefois, ces escroqueries peuvent facilement viser toute personne considérée comme particulièrement précieuse ou vulnérable.
Vous pouvez être ciblé en tant que client d’une banque ou employé d’un établissement de soins de santé. Même si vous ne faites que répondre à une étrange demande d’amitié sur les réseaux sociaux, vous pourriez être victime de phishing.
Les escrocs sont beaucoup plus patients dans ce domaine. Ces escroqueries personnalisées prennent du temps, soit pour obtenir une récompense, soit pour augmenter les chances de succès.
L’élaboration de ces attaques peut nécessiter la collecte d’informations sur vous ou sur une organisation dans laquelle vous êtes impliqué.
Les escrocs peuvent s’emparer des informations à partir des sources suivantes :
L’attaque peut être rapide et s’accompagner d’une tentative immédiate de vous inciter à agir. D’autres peuvent établir un lien avec vous pendant des mois pour gagner votre confiance avant la grande « demande ».
Ces attaques ne se limitent pas aux messages directs ou aux appels : des sites Internet légitimes peuvent être piratés directement au profit d’un escroc. Si vous ne faites pas attention, vous pouvez être victime de phishing simplement en vous connectant à un site qui est normalement parfaitement sûr.
Malheureusement, il apparaît que de nombreuses personnes sont des cibles faciles pour ces criminels. Le phishing est devenu une nouvelle « normalité », car ces attaques sont de plus en plus fréquentes.
Le premier élément à prendre en compte est de savoir à quoi s’attendre en cas de phishing. Ce genre d’attaque peut être diffusé par toutes sortes de moyens, y compris des appels téléphoniques, des messages textes et même des URL détournées sur des sites Internet parfaitement légitimes.
Le phishing est beaucoup plus facile à comprendre une fois qu’on l’a vu à l’œuvre. Vous avez probablement déjà vu quelques-unes de ces escroqueries et les avez simplement classées dans les courriers indésirables.
Quelle que soit la manière dont elles sont élaborées, les attaques de phishing empruntent de nombreux chemins pour arriver jusqu’à vous et la plupart des gens sont susceptibles d’être confrontés à au moins une de ces formes de phishing :
Dans d’autres cas, des sites Internet légitimes peuvent être manipulés ou imités :
Même votre connexion Internet peut être compromise :
Enfin, voici d’autres types de phishing que vous devez connaître :
En réalité, la liste des types d’attaques de phishing est longue et ne cesse de s’allonger. Il s’agit de quelques-unes des plus courantes actuellement, mais vous pourrez en voir de nouvelles apparaître dans quelques mois.
Comme ces escroqueries évoluent rapidement pour s’adapter aux événements, elles sont difficiles à repérer. Cependant, il existe des moyens de se protéger, et être au courant des dernières escroqueries est un bon point de départ.
Il serait peu pratique et impossible d’énumérer ici toutes les escroqueries par phishing connues, mais il existe des escroqueries plus courantes dont vous devez absolument vous méfier :
Les escroqueries par phishing de la cyberattaque iranienne utilisent un email de Microsoft illégitime, invitant à se connecter pour restaurer vos données dans le but de voler vos identifiants Microsoft. Les escrocs utilisent votre peur de voir bloquer votre accès à Windows et la pertinence d’un article d’actualité pour rendre leur email crédible.
Les alertes de suppression d’Office 365 sont une autre escroquerie liée à Microsoft utilisée pour obtenir vos identifiants. Cet email frauduleux prétend qu’un grand nombre de fichiers ont été supprimés de votre compte. Il fournit un lien pour vous permettre de vous connecter, ce qui a bien sûr pour effet de compromettre votre compte.
Notification de la banque. Cette escroquerie vous trompe en vous envoyant une fausse notification de compte. Ces emails vous proposent généralement un lien pratique qui mène à un formulaire en ligne, vous demandant vos coordonnées bancaires « à des fins de vérification ». Ne leur communiquez pas vos coordonnées. Appelez plutôt votre banque, car elle voudra peut-être prendre des mesures à l’égard de l’email malveillant.
Email d’un « ami ». Cette escroquerie prend la forme d’un ami connu qui se trouve dans un pays étranger et qui a besoin de votre aide. Cette « aide » consiste généralement à lui envoyer de l’argent. Avant d’envoyer de l’argent à votre « ami », appelez-le pour vérifier si sa demande est réelle ou non.
Email pour avoir remporté un concours/un héritage. Si vous avez gagné quelque chose de façon inattendue ou reçu un héritage d’un membre de la famille dont vous n’avez jamais entendu parler, ne vous réjouissez pas trop vite. En effet, la plupart du temps, ces emails sont des escroqueries qui vous demandent de cliquer sur un lien afin de saisir vos informations pour l’envoi d’un prix ou la « vérification » d’un héritage.
Remboursement/réduction d’impôt. Il s’agit d’une escroquerie par phishing très répandue, car de nombreuses personnes doivent payer annuellement leurs impôts ou s’acquitter d’un paiement. Ces messages de phishing indiquent généralement que vous pouvez bénéficier d’un remboursement d’impôt ou que vous avez été sélectionné pour faire l’objet d’un contrôle. On vous demande ensuite de soumettre une demande de remboursement d’impôt ou un formulaire fiscal (en demandant vos coordonnées complètes), que les escrocs utilisent ensuite pour voler votre argent et/ou revendre vos données.
Les escroqueries par phishing de type coronavirus/COVID-19 sont les dernières à utiliser la peur comme arme à des fins de cybervol. L’un des plus notables est le cheval de Troie bancaire Ginp qui infecte votre appareil et ouvre une page Internet avec une offre de « détecteur de coronavirus ». Ce virus incite les utilisateurs à payer pour détecter les personnes infectées dans les environs. Cette escroquerie se termine par le vol des informations relatives à votre carte de crédit.
Il est également arrivé que des escrocs se fassent passer pour d’importants organismes gouvernementaux, voire pour l’Organisation mondiale de la santé (OMS). Cette escroquerie consiste pour les pirates à contacter directement les utilisateurs, généralement par email. Ils vous réclament des informations bancaires ou vous demandent de cliquer sur un lien dans le but d’infecter votre ordinateur avec des programmes malveillants et de voler vos données privées.
Ces emails et messages peuvent sembler officiels, mais si vous examinez attentivement l’URL du lien (en survolant le lien, encore une fois, ne cliquez pas dessus) ou l’adresse électronique, il y a généralement des signes montrant qu’ils ne sont pas authentiques et qu’il ne faut pas s’y fier (comme des emails de l’OMS ou du gouvernement provenant d’un compte Gmail, etc.).
Ne tombez pas dans le piège de ces escroqueries. Ces organismes ne vous demanderont jamais d’informations personnelles sensibles ou de données bancaires privées. De plus, la probabilité qu’ils vous demandent de télécharger une application ou un logiciel sur votre ordinateur est particulièrement faible. Par conséquent, si vous recevez un email ou un message de ce type, surtout s’il est inattendu, ne cliquez pas sur les liens et ne communiquez pas vos informations personnelles ni vos coordonnées bancaires. Si vous n’êtes pas sûr, informez-vous auprès des autorités compétentes ou de votre banque, et n’utilisez/ne consultez que des sites Internet et des sources fiables.
Si vous recevez l’un de ces emails, voici les mesures à prendre :
Les emails de phishing présentent des caractéristiques similaires qu’un œil averti devrait être en mesure de détecter. Cependant, il n’est pas toujours facile de les repérer au premier coup d’œil, examinons donc ces avertissements.
Pour repérer un email de phishing, il suffit de faire attention à tout ce qui est incohérent ou inhabituel.
Il est parfois difficile de différencier ce qui est authentique d'une tentative de phishing. Tout d’abord, veillez à ne pas vous précipiter avant d’ouvrir un lien, une pièce jointe ou d’envoyer une réponse.
Voici un exemple de la façon dont vous devez réagir si vous recevez un email suspect :
Vous recevez un email vous demandant poliment un don pour les victimes du dernier ouragan qui a touché la côte. Le domaine de l'expéditeur indique « aide@survivantsouragan.net » et bien que l'organisation puisse être légitime, vous n'avez pas entendu parler d'elle.
Généralement votre dossier de spams vous protège de ces types d’emails, mais pour une raison quelconque, celui-ci se retrouve dans votre boîte de réception.
Vous êtes calé en informatique, et ne prenez pas de risques avec un email provenant d’une organisation qui vous demande des informations personnelles et financières, surtout si vous n'avez rien demandé et ne pouvez pas vérifier son identité.
En faisant une pause au lieu d’agir immédiatement, vous avez pris une mesure importante pour vous protéger. Cependant, vous devez encore déterminer s’il s’agit d’un projet authentique ou d’une escroquerie.
Vous devez également savoir à quoi faire attention dans un email de phishing avant de prendre une décision.
L'une des raisons pour lesquelles les emails de phishing sont tellement pernicieux (et malheureusement souvent efficaces) est qu'ils sont conçus pour paraître légitimes. En général, les emails de phishing intègrent souvent les caractéristiques suivantes qui constituent des signaux d'alerte :
Les pirates informatiques se dépêchent souvent de mettre en place des sites de phishing, ce qui explique que certains d’entre eux soient très différents du site d’origine. Vous pouvez vous appuyer sur ces critères pour repérer un email malveillant dans votre boîte de réception.
Néanmoins, les mesures à prendre ne sont pas toujours claires lorsque vous recevez un email de phishing qui a contourné votre dossier de spams.
Il est essentiel d'être vigilant concernant l'identification des emails de phishing. Si vous en recevez un dans votre boîte de réception (qui n’a pas été filtré automatiquement dans les spams), appliquez les stratégies suivantes pour éviter de tomber dans le piège d’une attaque de phishing.
N’oubliez pas que le meilleur moyen de traiter un email de phishing, c’est de le bloquer ou de le supprimer immédiatement. Si vous prenez des mesures supplémentaires pour limiter votre exposition à ces attaques, ce sera d'autant plus efficace.
En plus de repérer l’email et de le supprimer, vous pouvez vous protéger en suivant quelques conseils supplémentaires.
Que cela vous plaise ou non, vous serez la cible de ces emails de phishing au quotidien.
La plupart d’entre eux sont filtrés automatiquement par nos fournisseurs de messagerie et, de manière générale, les utilisateurs sont devenus relativement habiles à identifier ces types de messages et à faire preuve de bon sens pour ne pas donner suite à leurs demandes.
Mais vous avez déjà vu à quel point le phishing peut être trompeur. Vous savez également que les attaques de phishing s’étendent à tous les types de communication et de navigation sur Internet, et pas seulement aux emails.
En suivant quelques conseils simples de prévention à l’égard du phishing, vous pouvez réduire considérablement vos risques de tomber dans une escroquerie.
La protection sur Internet commence par votre état d’esprit et votre comportement face aux cybermenaces.
Le phishing consiste à tromper des victimes pour les convaincre de fournir leurs informations de connexion à divers types de comptes sensibles, tels que la messagerie électronique, les intranets d'entreprise et plus encore.
Même les utilisateurs prudents peuvent parfois avoir du mal à détecter une attaque de phishing. Ces attaques deviennent de plus en plus sophistiquées au fil du temps, et les pirates trouvent des moyens de personnaliser leurs escroqueries et de présenter des messages très convaincants qui peuvent facilement tromper les internautes.
Voici quelques conseils de base à suivre pour vos emails et autres communications :
Voici quelques autres conseils utiles formulés par les experts en sécurité Internet de l’équipe de Kaspersky pour vous aider à limiter la réception de courriers indésirables :
Créez une adresse email privée. Celle-ci doit être réservée à votre correspondance personnelle. Les spammeurs dressant des listes d'adresses électroniques possibles à l'aide de combinaisons de noms, de mots et de chiffres, faites en sorte que cette adresse soit difficile à deviner pour un spammeur. Votre adresse privée ne doit pas uniquement se composer de vos prénom et nom. Pour la protéger, procédez comme suit :
Créez une adresse email publique. Utilisez cette adresse pour vous inscrire sur des forums publics et forums de discussion ou sur des listes de diffusion et autres services Internet. Les conseils ci-dessous vous aideront à limiter le nombre de courriers indésirables envoyés à votre adresse électronique publique :
Ne répondez jamais à un courrier indésirable. La plupart des spammeurs vérifient et consignent les réponses reçues. Plus vous y répondez, plus vous recevez de courriers indésirables.
Réfléchissez avant de cliquer sur « Se désinscrire ». Les spammeurs envoient de fausses lettres de désinscription afin de récupérer des adresses email actives. En cliquant sur le lien « Se désinscrire » dans une de ces lettres, vous risquez de recevoir encore plus de courriers indésirables. Ne cliquez pas sur les liens « Se désinscrire » des e-mails émanant de sources inconnues.
Mettez à jour votre navigateur. Vérifiez que vous utilisez la dernière version de votre navigateur Web et lui avez appliqué les derniers correctifs de sécurité.
Utilisez des filtres antispam. Optez pour un fournisseur de messagerie proposant le filtrage des courriers indésirables. Choisissez un antivirus et une solution de sécurité Internet dotés de fonctionnalités Anti-Spam avancées.
L'une des manières les plus simples de vous protéger contre les tentatives de phishing consiste à installer et utiliser un logiciel de sécurité Internet adapté sur votre ordinateur. Un logiciel de sécurité Internet est vital à n'importe quel utilisateur, car il offre plusieurs couches de protection sous la forme d'une plateforme simple à gérer.
Pour une protection optimale, votre solution de sécurité doit comprendre les éléments suivants :
Un logiciel anti-spam est conçu pour protéger votre compte de messagerie contre le phishing et les courriers indésirables. Outre le fait qu’il s’appuie sur des listes de refus prédéfinies créées par des chercheurs en sécurité, un logiciel anti-spam intègre une intelligence grâce à laquelle il « apprend » au fil du temps quels éléments sont indésirables et quels éléments ne le sont pas. Ainsi, bien que vous deviez continuer à faire preuve de vigilance, vous ressentirez une certaine sérénité à savoir que le logiciel filtre également les problèmes potentiels. Utilisez une protection anti-phishing et un logiciel anti-spam pour vous protéger des messages malveillants sur votre ordinateur.
Un logiciel anti-malware est inclus afin d’empêcher d’autres types de menaces. Semblable au logiciel anti-spam, le logiciel anti-programmes malveillants est programmé par des chercheurs en sécurité pour déceler les plus furtifs des programmes malveillants. Grâce à des mises à jour permanentes du fournisseur, le logiciel devient de plus en plus intelligent et à même de traiter les menaces les plus récentes. L’utilisation d’une solution anti-malware vous protège des virus, des chevaux de Troie, des vers, etc.
En conjuguant pare-feu, protection anti-spam et protection anti-malware dans un seul et même produit, la solution vous permet de réaliser des sauvegardes supplémentaires et vous évite ainsi de compromettre votre système si vous cliquez accidentellement sur un lien dangereux. Ces outils sont essentiels et devraient être installés sur tous vos ordinateurs, car ils viennent compléter votre bon sens.
Dans un contexte où la technologie évolue sans cesse, vous pouvez protéger vos appareils contre le phishing et les autres menaces des programmes malveillants en utilisant une solution de sécurité développée par un fournisseur de sécurité réputé.
Outre l’utilisation d’un logiciel de protection antivirus sur votre ordinateur, il est essentiel de recourir à un gestionnaire de mots de passe pour la gestion de vos identifiants en ligne.
Aujourd’hui, il est essentiel d’avoir des mots de passe différents pour tous les sites Internet. En cas de violation de données, les pirates informatiques essaieront d’utiliser les identifiants qu’ils ont découverts sur Internet.
L'une des fonctionnalités les plus intéressantes des gestionnaires de mots de passe est qu'ils remplissent généralement les formulaires de connexion de manière automatique, minimisant ainsi les clics. En outre, de nombreux gestionnaires de mots de passe incluent des éditions portables qui peuvent être enregistrées sur une clé USB, vous permettant ainsi d'emporter vos mots de passe où que vous alliez.
Si le phishing peut être parfois un type d’attaque difficile à combattre, vous pouvez largement réduire les risques d’être victime d’une escroquerie en suivant les conseils simples de cet article (et en adoptant des outils adaptés de prévention du phishing).
Si vous êtes à la recherche d’une solution de sécurité Internet complète, essayez Kaspersky Premium.
Articles connexes :