Le phishing : comment le reconnaitre et s’en protéger ?

Dans la famille des cyberattaques, vous avez demandé le phishing ? Pas étonnant, il s’agit d’un grand classique de cyberattaque. Dans 90% des cas une cyberattaque commence par du phishing, qu’il soit de masse ou ciblé.
Dans cet article, nous revenons sur ce qu’est le phishing, comment le reconnaître et les mesures à prendre pour s’en protéger.

Le phishing, également connu sous le nom d’hameçonnage en français, est une technique utilisée par des pirates pour obtenir des informations personnelles comme des mots de passe ou des numéros de cartes bancaires de la part de leur victime à l’aide d’emails ou de sites internet frauduleux. L’objectif pour eux est ensuite de se servir des informations personnelles dérobées pour les utiliser, faire de l’usurpation d’identité, exposer les données ou pour les revendre.

Pour organiser ce type d’attaque, les pirates envoient des mails en masse sur des listes de diffusion récupérées sur internet en se faisant passer pour des institutions financières ou officielles (banques, services des impôts, police…), des proches ou encore des collègues afin d’obtenir des informations personnelles de la part des personnes qui vont « mordre à l’hameçon ».

Il peut s’agir, par exemple, d’un mail provenant d’un soi-disant opérateur téléphonique indiquant un problème avec le paiement de notre dernière facture et nous invitant à cliquer sur un lien pour régulariser le paiement.

Pour perpétrer ce type d’attaque, les pirates utilisent beaucoup ce qu’on appelle « la fraude par l’ingénierie sociale ». En effet, ils exploitent les informations personnelles que nous partageons publiquement sur les réseaux sociaux et sur internet de manière générale. Ils peuvent se faire passer pour des amis, de la famille, des personnalités publiques ou des connaissances pour gagner la confiance de leur victime avant de solliciter des informations personnelles ou financières. Parfois, ils prétendent être en détresse et avoir besoin d’argent ou menacent de révéler des informations sensibles.

Ces attaques impactent un pilier essentiel de la sécurité des données : la confidentialité. Elles peuvent concerner aussi bien des personnes physiques que des entreprises. Ces attaques peuvent être motivées par de nombreux facteurs comme l’atteinte à l’image, l’appât du gain, la volonté de nuire, des revendications politiques, de l’espionnage ou du sabotage.

1. Une adresse email suspecte : Les emails de phishing proviennent souvent d’expéditeurs qui tentent d’imiter des organisations légitimes, mais avec de légères variations (logo, lettres inversées dans l’adresse e-mail, etc.). Attention, les tentatives de phishing sont de plus en plus sophistiquées et peuvent s’avérer particulièrement délicates à détecter.
2. Des sollicitations urgentes : Beaucoup de messages de phishing utilisent un langage urgent pour pousser la victime à agir rapidement sans réfléchir, souvent « dans les 48h ». L’objectif est d’exploiter nos émotions comme la sympathie, l’empathie ou la peur.
3. Des conséquences immédiates : Après l’urgence, les conséquences. L’attaquant vous explique par exemple que « votre compte sera bloqué », « votre amende sera majorée », etc. L’objectif est d’ajouter une pression supplémentaire pour vous pousser à agir vite.
4. Des liens douteux : Le mail de phishing ou le faux site comportent des liens sur lesquels la victime est invitée à cliquer pour remplir ses informations personnelles. Il faut donc avoir le réflexe de passer sa souris sur les liens sans cliquer dessus pour voir vers où ils mènent réellement. Si l’URL ne correspond pas à l’organisation officielle, la méfiance est de mise.
5. Des fautes d’orthographe et de grammaire : De nombreux emails de phishing contiennent des fautes d’orthographe, de grammaire ou de syntaxe. Il faut y être vigilant.
6. Un sujet inhabituel : Les mails de phishing sont envoyés en masse avec peu de personnalisation. Si le sujet abordé dans le mail ne vous parle pas ou n’est pas attendu et que l’email ne semble pas vous être directement destiné, méfiez vous.

Pour aller plus loin, vous pouvez découvrir quelques exemples détaillés de phishing sur le site www.cybermalveillance.gouv.fr à l’adresse suivante : Qu’est-ce que le phishing ou hameçonnage ?

• Faire des mises à jour régulières : Assurez vous que vos logiciels et votre système d’exploitation sont toujours à jour.
• Utiliser un logiciel antivirus : Un bon antivirus peut détecter et bloquer les attaques de phishing.
• Ne jamais cliquer à la légère : Ne cliquez jamais sur des liens ou des pièces jointes provenant d’emails suspects. Si vous recevez un email de votre banque vous invitant à « cliquer ici », vous pouvez aller vous-même sur le site de votre banque comme vous le faites habituellement. Si quelque chose d’important vous attend, vous aurez certainement une notification dans votre espace client.
• Utiliser des solutions d’envois sécurisés pour vos données personnelles et confidentielles : Comme la solution de Wysam qui permet d’envoyer et de recevoir des informations sensibles en toute sécurité grâce à du chiffrement de données. Utiliser ce type de solution permet de sécuriser vos envois d’informations personnelles et d’éviter qu’elles soient interceptées.
• Se former : La sensibilisation de chacun et chacune est notre meilleure défense face aux cyberattaques et peut permettre de détecter plus rapidement les tentatives de phishing mais aussi de savoir comment réagir en cas d’attaque. On vous en dit plus là-dessus dans un prochain article.

Le phishing est une menace bien réelle. Quelques points de vigilance et bonnes pratiques permettent toutefois de protéger nos informations personnelles et de naviguer sur internet en toute sécurité.