Les technologies numériques ont nettement contribué à faciliter la vie des personnes et des entreprises. Mais comme toute chose, cette numérisation a aussi apporté son lot d’inconvénients. Le phishing, connu aussi sous le nom de “hameçonnage”, est une nouvelle technique frauduleuse consistant à se faire passer pour une organisation de confiance afin d’inciter les victimes à partager des informations confidentielles ou à envoyer de l’argent.
Dans cet article, nous allons mieux comprendre le mode opératoire des cybercriminels à l’origine du phishing, leurs objectifs et l’encadrement juridique de cette pratique.
Qu’est-ce que le phishing ?
Le phishing ou hameçonnage est une technique de fraude consistant à la récupération des données personnelles (accès aux comptes bancaires, aux réseaux sociaux, sites internet etc.) en se faisant passer pour un tiers de confiance. Il s’agit d’un type d’arnaque très répandu sur internet et qui a fait énormément de victimes ces dernières années. L’attaque par phishing peut être effectuée sous la forme d’un e-mail, d’un sms ou d’une invitation par message sur un réseau social.
Le mode opératoire des cybercriminels est souvent le même : il se fait passer pour une organisation de confiance afin d’induire la victime en erreur. Le tortionnaire est souvent prêt à tout pour arriver à son objectif et ne lésine pas sur les moyens pour paraître le plus crédible possible (logo de l’organisation, message écrit de manière formelle etc.). Cela peut être une banque, un service administratif. Une fois le message ou l’appel lancé, le fraudeur attend que l’internaute « morde à l’hameçon » pour engager la collecte de données. Les tentatives de phishing les plus répandues sont l’hameçonnage de masse. Il s’agit d’une méthode d’attaque non ciblée. Il suffit de lancer une attaque moyennant un message générique sans collecte de données préalable.
Son mode opératoire
Le mode de fonctionnement du phishing ne repose pas uniquement sur les failles informatiques. Ces cybercriminels exploitent l’esprit humain pour arriver à leur fin.
À titre d’exemple : une personne lambda reçoit un e-mail provenant d’une banque incitant son utilisateur à renforcer la sécurité de son compte en changeant son mot de passe. Cet e-mail est souvent accompagné d’un lien dans lequel l’utilisateur va procéder au changement. Dans ce genre de cas, tout le monde peut facilement tomber dans ce piège et cliquer sur le lien qui le redirigera vers un site frauduleux. Les personnes à l’origine du phishing utilisent des méthodes sophistiquées pour piéger les utilisateurs en quelques clics. Les conséquences d’une tentative de phishing peuvent être fatales (usurpation d’identité, fuite de données sensibles, pertes financières, accès à la carte bancaire, préjudice à la réputation).
Comment se protéger d’une tentative de phishing ?
Pour éviter de vous faire arnaquer et d’être victime de phishing, quelques règles simples sont à privilégier. En effet, il y a quelques indices qui indiquent le niveau de cohérence d’un e-mail ou d’un sms. Par exemple, si la proposition est trop belle pour être vrai comme gagner de l’argent ou un smartphone, remporter un concours ou que vous êtes choisi pour une tombola, et ce même si vous n’avez jamais participé, cela vous mettra la puce à l’oreille. N’ouvrez jamais ce type de message.
Les fraudeurs envoient également des messages incitant l’utilisateur à agir en urgence comme une connexion suspecte ou une tentative de piratage pour vous inciter à cliquer. La méthode utilisée permet de faire peur à la victime afin de l’inciter à réagir rapidement.
Les fautes d’orthographes : il s’agit peut-être du premier indice du manque de cohérence d’un e-mail, spécialement s’il provient d’une source administrative. La qualité du texte ou les logos pixélisés sont des indicateurs fiables pour ne pas faire confiance au destinateur.
Dans ce type de cybermenaces, les tortionnaires utilisent aussi des liens hypertexte même si celui-ci n’a pas à avoir lieu. C’est une astuce infaillible pour pousser les gens à cliquer. Nous vous recommandons dans ce cadre de survoler le curseur et de toujours vérifier l’URL pour ne pas vous faire avoir.
Enfin, il faut aussi faire attention aux pièces jointes lorsque vous ouvrez votre mail. Il s’agit probablement du type de phishing le plus répandu. N’ouvrez jamais un lien vers un site que vous ne connaissez pas. Mieux encore, armez-vous avec un anti-virus performant afin de vous protéger des tentatives d’usurpation.
Que faire si vous êtes victime de phishing ?
Si vous êtes victime d’une tentative d’hameçonnage, il est essentiel de garder votre sang froid. La première étape à faire est d’abord de faire opposition sur tous vos moyens de paiement. N’hésitez pas à contacter votre banque pour les informer de votre cas qui prendra les mesures nécessaires pour vous protéger.
Il est également recommandé de changer vos mots de passe. Optez pour des mots de passe longs comportant des chiffres et des lettres.
N’hésitez pas à contacter, Phishing initiative, une structure spécialisée dans la lutte contre les tentatives de phishing. Celle-ci pourra bloquer le site malveillant. En dernier lieu, si le cybercriminel a accès à vos coordonnées bancaires et à des informations compromettantes, conservez les preuves et déposez une plainte au commissariat le plus proche. Il faut savoir que les lois sont extrêmement strictes quant à la sécurité informatique des citoyens. En effet, selon le code pénal, toute tentative d’usurpation, de fraude ou d’atteinte à l’honneur est passible d’un an d’emprisonnement et de 15.000 € d’amende.
Le passage au virtuel a bouleversé nos habitudes mais a aussi apporté son lot d’inconvénients. Les risques de piratages et de phishing ont nettement augmenté ces dernières années avec des méthodes de plus en plus sophistiquées.
Pour se protéger du phishing, il est essentiel d’être informé des méthodes qu’utilisent les cybercriminels. Il est aussi recommandé d’utiliser un filtre anti-spam mais également d’éviter de communiquer vos données sensibles sur internet. D’ailleurs, aucune organisation officielle ne vous demandera de lui communiquer vos mots de passe ou vos coordonnées bancaires.