Méthode privilégiée des pirates pour voler des informations confidentielles, le phishing ou hameçonnage, peut prendre plusieurs formes. Explications et conseils pour déjouer les pièges des cyberattaquants.
Carte vitale, livraison de colis, CPF… Si comme des millions de Français vous avez reçu ce type de SMS vous invitant à mettre à jour vos coordonnées, c’est que vous avez été la cible de phishing. Ennemi N°1 de la cybersécurité, le phishing ou hameçonnage est l’attaque la plus courante et celle qui fait le plus de victimes. Méthode préférée des cyberattaquants, elle consiste à tromper les utilisateurs, en leur faisant croire qu’ils interagissent avec une entité de confiance (entreprise, services publics, banque etc…), afin d’obtenir leurs informations personnelles sensibles. En utilisant les logos, les noms et les adresses électroniques similaires à ceux des véritables organisations, les hackeurs tentent de créer un sentiment de confiance chez leurs victimes.
L’objectif : les inciter à révéler des informations sensibles telles que des identifiants de connexion, des numéros de carte de crédit ou des mots de passe. Pour en faire quoi ? Revendre ces informations a des personnes plus malveillantes afin d’organiser des attaques plus importantes contre des entités, d’un point de vue identité personnelle et usurpation d’identité !
En 2022, le Cybermalveillance.gouv.fr a enregistré une hausse de 54 % de recherches d’information et d’assistance liées au hameçonnage, versus 2021. Les particuliers représentent la majorité des recherches d’assistance (92%), avec des recherches majoritairement portées sur l’hameçonnage (38%). Pour les professionnels, qu’il s’agisse d’entreprises et associations ou de collectivités et administrations, c’est également le phishing qui constitue la menace majeure et la première cause de recherche d’assistance, avec respectivement 27% et 28%.
Les systèmes de protection et de détection sont de plus en plus sophistiqués e’est toujours le jeu du chat et de la souris, entre les pirates qui innovent sans cesse et les solutions de protection qui réagissent rapidement à ces nouvelles menaces. Le delta entre la nouvelle campagne d’attaque et la réaction des éditeurs doit être maîtrisée par l’humain. Nous, qui sommes utilisateurs devons faire preuve d’une vigilance de chaque instant et se poser la question de la véracité de l’email ou de la demande effectuée.
L’humain est et restera le maillon faible de la chaîne d’attaque.
Phishing par courrier électronique : les cybercriminels envoient des e-mails frauduleux contenant des liens malveillants ou des pièces jointes infectées.
Phishing téléphonique : les attaquants se font passer pour des représentants d’entreprises légitimes et demandent aux utilisateurs de fournir des informations confidentielles par téléphone.
Smishing : cette variante du phishing se fait par envoi de SMS frauduleux.
Pharming : les attaquants redirigent les utilisateurs vers de faux sites web qui ressemblent à ceux des entreprises légitimes.
La négligence et la précipitation sont les premières failles sur lesquelles misent les cybercriminels. À la maison comme au travail, la meilleure façon de se protéger du phishing reste la vigilance.
Voici quelques signes qui doivent vous alerter :
• La ligne d’objet du mail est vide.
• Le nom de l’expéditeur ne correspond pas à son adresse électronique.
• L’e-mail vous demande des informations d’identification personnelle, telles qu’un nom d’utilisateur et un mot de passe.
• Le corps du texte contient des fautes d’orthographe et de grammaire.
• L’e-mail ou le SMS concerne une demande que vous n’avez jamais formulée ou contient un reçu pour un article que vous n’avez jamais acheté.
• L’expéditeur vous est totalement inconnu ou alors vous connaissez l’expéditeur (ou l’organisation), mais vous n’attendiez pas d’e-mail de sa part ou le contenu est inhabituel.
• L’e-mail est envoyé pendant la nuit alors que vous devriez le recevoir pendant les heures de travail.
• Une pièce jointe imprévue, des formules de politesse génériques, une demande de cliquer sur un lien… tous ces indices doivent attirer votre attention.
Vérifiez l’url du site dans votre navigateur. Si elle ne correspond pas exactement à celle indiquée dans le mail, supprimez-le. Avant de cliquer sur un lien, positionnez votre curseur sur ce lien SANS CLIQUER et contrôlez l’adresse vers laquelle il pointe afin d’en vérifier la vraisemblance (exemple ci-contre). Une différence de quelques lettres doit suffire à vous alerter sur l’origine du message.
Utilisez une solution de sécurité fiable sur tous vos équipements (PC, portables, tablettes, smartphones…) : installez un logiciel antivirus et un pare-feu et EDR pour vous protéger contre les attaques de phishing. Mettez-les à jour régulièrement.
Utilisez des mots de passe différents et complexes pour chaque site et application. Vous pouvez également utiliser des coffres forts numériques de type KeePass, Bitwarden, Keeper… pour stocker de manière sécurisée vos différents mots de passe.
Si le site vous le permet, activez la double authentification pour sécuriser vos accès.
Éduquez-vous et sensibilisez les autres : informez-vous sur les techniques de phishing et partagez ces connaissances avec votre entourage pour les aider à se protéger également.
Quelques liens utiles :
Comment signaler un mail de phishing ou d’hameçonnage ? – Assistance aux victimes de cybermalveillance
Les professionnels référencés – Assistance aux victimes de cybermalveillance
Que faire en cas de phishing ou hameçonnage ? – Assistance aux victimes de cybermalveillance
Head of external communication