Phishing et Cybersécurité

Qu’est-ce que le phishing ?

Le phishing, ou hameçonnage, est une arnaque sur internet où des cybercriminels essaient de vous tromper pour obtenir vos informations personnelles, comme vos identifiants bancaires, des identifiants de connexion ou d’autres données personnelles, afin de les utiliser de manière frauduleuse, par exemple pour effectuer des achats à votre insu.

Comment repérer une tentative de phishing ?

Cette méthode implique généralement l’utilisation de faux messages électroniques, de sites Web ou d’autres moyens de communication en ligne pour tromper les individus et les inciter à divulguer des informations confidentielles.

Le phishing peut prendre diverses formes et évoluer constamment pour contourner les mesures de sécurité. Voici quelques détails plus précis sur les différentes techniques de phishing :

• Phishing par e-mail : Les cybercriminels envoient des e-mails frauduleux se faisant passer pour des entités légitimes, tels que des banques, des entreprises ou des services en ligne. Ces e-mails peuvent contenir des liens malveillants, des pièces jointes infectées ou des demandes d’informations confidentielles. Par exemple, Vous pouvez recevoir un message de votre banque, avertissant d’une tentative de fraude et vous demandant de télécharger une pièce jointe censée contenir des détails supplémentaires. En réalité, la pièce jointe est un malware qui infecte votre ordinateur et permet aux cybercriminels d’accéder à vos informations financières sensibles.

• Phishing par hameçonnage (spear phishing) : Cette forme de phishing cible spécifiquement une personne ou une organisation en utilisant des informations spécifiques pour rendre le message plus crédible. Les attaquants peuvent utiliser des détails personnels, tels que le nom de la victime, son poste de travail ou d’autres informations spécifiques, pour accroître la probabilité de succès de l’attaque. Vous pouvez, par exemple, recevoir un e-mail soigneusement conçu de la part de votre service informatique, utilisant votre prénom, votre poste exact et même des projets récents de l’entreprise. Le message vous persuade de cliquer sur un lien prétendument lié à une mise à jour de sécurité urgente, mais en réalité, il conduit à un site malveillant visant à voler vos identifiants professionnels.

• Phishing sur les réseaux sociaux : Les cybercriminels utilisent les plateformes de médias sociaux pour tromper les utilisateurs et obtenir des informations personnelles. Cela peut se faire via des messages directs, des faux profils ou des publicités malveillantes. Vous pouvez recevoir sur une plateforme de médias sociaux, un message d’un ami proche, vous invitant à participer à un concours en cliquant sur un lien. Cependant, le lien redirige vers un site frauduleux qui demande des informations personnelles sensibles sous prétexte de participer au concours, permettant ainsi aux cybercriminels de collecter des données personnelles à des fins malveillantes.

• Phishing par téléphone (vishing) : Les attaquants utilisent des appels téléphoniques pour se faire passer pour des institutions légitimes, tels que des banques ou des organismes gouvernementaux, et incitent les victimes à divulguer des informations personnelles. Vous recevez un appel de votre « banque », où l’interlocuteur se fait passer pour un représentant du service client. Il vous alerte d’une activité suspecte sur votre compte et vous persuade de confirmer ses informations personnelles, y compris votre numéro de carte bancaire, sous prétexte de sécuriser votre compte. En réalité, l’appel est une tentative de vishing visant à obtenir vos données sensibles pour des activités frauduleuses ultérieures.

• Pharming : Les cybercriminels redirigent le trafic Internet d’un utilisateur vers un site Web frauduleux, même s’il a saisi correctement l’adresse du site dans la barre d’adresse du navigateur. Cela peut se faire en infectant l’ordinateur de la victime avec un logiciel malveillant. Vous tentez d’accéder à votre site bancaire en tapant l’URL correcte dans la barre d’adresse de votre navigateur. Cependant, l’ordinateur a été infecté par un logiciel malveillant de pharming. Le trafic est redirigé vers un site Web frauduleux qui ressemble exactement à celui de votre banque, et, pensant que le site est légitime, vous saisissez vos informations d’identification. Vos données sont ensuite capturées par les cybercriminels à des fins d’usurpation d’identité et d’accès non autorisé à votre compte bancaire.

• Smishing : Une forme de phishing qui se produit via des messages SMS. Les victimes reçoivent des messages frauduleux incitant à cliquer sur des liens ou à fournir des informations sensibles. Par exemple, vous pouvez recevoir un SMS prétendument de votre compagnie de téléphonie mobile, vous informant d’une facture impayée et vous incitant à cliquer sur un lien pour résoudre le problème. Le lien redirige vers un site frauduleux qui demande les informations de votre carte de crédit pour effectuer le paiement, vous exposant ainsi à une tentative de fraude par smishing.

Que faire face à une attaque d’hameçonnage ?

Vous devez être vigilant. Évitez de répondre à des messages demandant des informations personnelles, de cliquer sur les liens ou d’ouvrir les pièces jointes.

Si vous vous retrouvez face à une situation de phishing, vous pouvez suivre la procédure suivante :

• Faites remonter les cas d’escroquerie donc vous êtes victime en utilisant le site www.internet-signalement.gouv.fr.
• Effacez les messages, puis videz la corbeille.
• Si vous utilisez votre messagerie professionnelle, transférez les courriels au service informatique et au responsable de la sécurité des systèmes d’information de votre employeur pour vérification. Attendez leur retour avant de supprimer les courriels.
• Consultez la plateforme cybermalveillance.gouv.fr, que vous soyez un professionnel ou un particulier. Vous y découvrirez des conseils et bénéficierez d’une assistance pour tenter d’identifier la nature de l’incident dont vous êtes victime.
• Si vous le souhaitez, vous pouvez joindre Info Escroqueries au 0 805 805 817 (coût d’un appel local depuis un poste fixe ; ajouter 0,06 euros/minute depuis un téléphone mobile) du lundi au vendredi, de 9h à 18h.

Quelles sont les précautions à prendre ?

Il est important de rester informé sur les différentes techniques de phishing et de mettre en place des mesures de sécurité telles que l’utilisation de logiciels de sécurité comme Bitdefender et Levia pouvant être mis en place par Viaduc, la vérification de l’authenticité des communications et la sensibilisation des utilisateurs pour prévenir les attaques de phishing.

Face à une attaque d’hameçonnage, il est crucial de prendre des mesures rapides et efficaces pour minimiser les risques. Voici quelques étapes spécifiques que vous pouvez suivre :

• Ne cliquez pas sur les liens suspects : Si vous recevez un email, un message ou tout autre type de communication suspecte, ne cliquez pas sur les liens inclus. Vérifiez plutôt l’authenticité en examinant attentivement l’adresse de l’expéditeur.
• Vérifiez l’adresse de l’expéditeur : Assurez-vous que l’adresse email de l’expéditeur est légitime. Les attaquants utilisent souvent des adresses qui semblent officielles mais qui contiennent des fautes de frappe ou des variantes subtiles.
• Contactez l’expéditeur (si possible) : Si vous avez des doutes sur l’authenticité d’un message, contactez directement la personne ou l’organisation par un moyen de communication indépendant pour confirmer la légitimité du message.
• Ne fournissez pas d’informations sensibles : Évitez de fournir des informations confidentielles telles que des mots de passe, des numéros de carte de crédit ou d’autres données sensibles par email ou par tout autre moyen non sécurisé.
• Signalez l’attaque : Signalez immédiatement l’attaque à votre équipe informatique ou à la personne responsable de la sécurité dans votre organisation. De nombreuses entreprises ont des procédures en place pour traiter les incidents de sécurité.
• Utilisez des outils de sécurité : Si votre organisation dispose d’outils de sécurité tels que des filtres anti-hameçonnage, assurez-vous qu’ils sont activés et mis à jour régulièrement.
• Mettez à jour vos mots de passe : Si vous avez cliqué sur un lien suspect ou divulgué des informations sensibles, changez immédiatement vos mots de passe. Utilisez des mots de passe forts et uniques pour chaque compte.
• Sensibilisez les employés : Assurez-vous que les membres de votre organisation sont formés pour reconnaître les tentatives d’hameçonnage. La sensibilisation est une mesure préventive importante.
• Surveillez les activités suspectes : Surveillez vos comptes en ligne pour détecter toute activité suspecte. Signalez rapidement tout problème à votre équipe informatique.
• Mettez en place des protocoles de sécurité : Élaborez et mettez en œuvre des protocoles de sécurité pour réagir rapidement en cas d’attaques d’hameçonnage. Cela peut inclure des procédures de signalement, des tests de sensibilisation et des mises à jour régulières de la politique de sécurité.

En suivant ces étapes, vous augmenterez vos chances de minimiser les risques liés à une attaque d’hameçonnage.