Les bons réflexes pour éviter les pièges du phishing
L’hameçonnage, plus connu sous l’appellation « phishing », est une technique qui consiste à se faire passer, sur Internet, pour une banque, une administration ou une structure de confiance bien connue de la victime, dans le but de récupérer ses données confidentielles et parfois de lui voler de l’argent.
Le phishing peut prendre la forme d’un mail, d’un SMS ou même d’un appel téléphonique.
Ce doc va essayer de décrypter le mécanisme de cette escroquerie.
Qu’est-ce que le phishing ?
Le phishing consiste à récupérer, sur Internet, les données confidentielles d’internautes par usurpation d’identité (l’escroc se fait passer pour une personne ou une organisation qu’il n’est pas en réalité).
Généralement, l’escroquerie consiste à envoyer un mail ou un SMS à des usagers en se faisant passer pour une structure connue (une banque, la CAF, France Travail, les impôts…) afin, d’abord, de gagner leur confiance pour, ensuite, les inviter à communiquer leurs données confidentielles (leur identifiant et mot de passe et/ou leurs coordonnées bancaires) dans le but de les utiliser à leur place ou de leur voler de l’argent.
Aujourd’hui, le phishing se pratique par SMS, par téléphone ou encore sur les réseaux sociaux et les applications de messagerie. Il faut donc rester vigilant, même lorsqu’un message arrive sur son téléphone ou lorsqu’une personne nous appelle directement.
- Exemples de phishing
Par exemple : un escroc pourra se faire passer pour une banque et envoyer un mail ou un SMS à l’un de ses clients pour récupérer ses coordonnées bancaires.
Dans le message, l’escroc précisera que la banque a impérativement besoin de ses coordonnées pour réaliser une opération ou pour éviter un blocage du compte.
Si le client tombe dans le piège, il donnera alors ses coordonnées, permettant ainsi à l’escroc de les utiliser pour tenter de voler de l’argent.
- Des messages qui cherchent à faire peur
Pour gagner la confiance des personnes visées par le phishing, les messages envoyés sont souvent alarmants.
Par exemple : « URGENT ! Votre compte va être bloqué, cliquez ici pour le réactiver. »
Ils peuvent également prétendre qu’un remboursement est en attente, comme : « La CAF a reçu un trop-perçu de votre part, cliquez ici pour recevoir votre remboursement. »
L’escroc peut parfois essayer de faire croire à sa victime qu’une commande, un colis ou un paiement est en attente.
Le but est toujours le même : pousser la personne à cliquer rapidement sur un lien et à communiquer des informations personnelles ou bancaires.
- Les faux sites Internet
En plus d’être alarmants, les messages envoyés par l’escroc prévoient souvent un lien vers un faux site Internet.
Ce site ressemble beaucoup au véritable site de la banque, de la CAF ou d’une autre organisation. La victime est alors invitée à renseigner son identifiant, son mot de passe, ses coordonnées bancaires ou encore un code reçu par SMS.
Comme à la pêche à la ligne, le phisher (l’escroc) n’a ensuite plus qu’à récupérer ces informations et à s’en servir.
Comment se protéger du phishing ?
- Attention aux demandes d’informations confidentielles
En ce qui concerne les impôts, les banques ou encore les organismes sociaux tels que la CAF ou France Travail, il faut être particulièrement méfiant lorsqu’un message demande des informations personnelles ou bancaires.
Ces organismes ne vous demanderont jamais votre mot de passe, votre code de carte bancaire ou vos codes de sécurité par e-mail ou par téléphone. Ils vous envoient plutôt un message vous invitant à vous connecter à votre espace personnel.
Dans ce cas, en cas de doute, il vaut mieux ouvrir soi-même l’application ou taper directement l’adresse officielle du site dans son navigateur plutôt que de cliquer sur le lien présent dans le message.
- Vérifier le site Internet
De façon générale, lorsqu’un usager souhaite communiquer des informations confidentielles par Internet, il doit bien vérifier qu’il se trouve sur le bon site Internet.
Pour savoir si la connexion avec un site est sécurisée, l’adresse du site commence généralement par « https:// » et un cadenas peut apparaître au niveau du navigateur.
Attention toutefois : le cadenas et le « https » ne garantissent pas que le site est fiable. Un site frauduleux peut lui aussi utiliser une connexion sécurisée.
- Se méfier des liens
Globalement, il faut être méfiant à l’égard des liens Internet contenus dans les mails, les SMS ou les messages reçus sur les réseaux sociaux. En effet, un escroc peut créer un site dont l’adresse ressemble beaucoup à celle d’un véritable organisme, mais avec une petite différence dans le lien.
Ils peuvent parfois diriger l’usager vers des sites frauduleux.
En cas de doute, il vaut mieux rédiger soi-même l’adresse Internet directement dans le navigateur ou utiliser l’application officielle.
- Ne pas se laisser impressionner par l’urgence
Par exemple, si le message est mal rédigé, comporte des fautes, provient d’une adresse inhabituelle ou est particulièrement « pressant » (il insiste pour que l’on clique rapidement sur un lien), il faut être vigilant et ne pas suivre ses instructions.
Attention toutefois : l’absence de fautes ne signifie pas qu’un message est fiable. Les messages frauduleux sont aujourd’hui souvent très bien rédigés.
- Ne pas donner son mot de passe
Il ne faut jamais communiquer son mot de passe à quelqu’un et il vaut mieux éviter d’utiliser le même mot de passe sur plusieurs sites.
Lorsque cela est possible, il est également conseillé d’activer la double authentification. Même si un escroc réussit à récupérer un mot de passe, il aura alors plus de difficultés à accéder au compte.
- Les systèmes de protection des navigateurs et les logiciels de protection
La plupart des navigateurs Internet et des services de messagerie proposent des fonctionnalités qui permettent de détecter ou de bloquer certaines tentatives de phishing. Ainsi, ils peuvent avertir l’usager lorsqu’un site Internet semble dangereux.
Il existe également des logiciels et des services dédiés au filtrage des mails qui tentent de détecter les messages malveillants.
Cependant, aucun de ces systèmes ne permet de de détecter tous les messages frauduleux.
Comment signaler un phishing ?
- Signaler un faux site
Il est possible de signaler les sites frauduleux afin qu’ils puissent être identifiés et, lorsque cela est possible, bloqués. Ces sites peuvent être signalés à la plateforme Phishing Initiative.
- Signaler une escroquerie sur Internet
Si un usager pense avoir été victime d’une escroquerie ou rencontre un contenu frauduleux sur Internet, il est possible de le signaler sur PHAROS, le portail officiel de signalement des contenus et comportements illicites sur Internet.
- Signaler un SMS ou un appel indésirable
Pour les SMS ou appels indésirables, il est possible d’utiliser le 33700, la plateforme de lutte contre les spams SMS et vocaux.
Et si on est tombé dans le piège ?
Si un usager pense avoir été victime d’une escroquerie par hameçonnage, il ne faut pas paniquer.
Si un mot de passe a été communiqué, il faut le changer rapidement et, s’il était utilisé sur d’autres sites, le modifier également sur ces sites.
Si des informations bancaires ont été communiquées ou si une opération bancaire suspecte apparaît, il faut contacter sa banque le plus rapidement possible.
Il est également important de conserver les messages reçus, les adresses des sites concernés et, plus généralement, toutes les preuves qui peuvent être utiles.
Enfin, en cas de doute, il vaut mieux contacter directement l’organisme concerné en utilisant ses coordonnées officielles.