Le phishing, c’est quoi ? Types, exemples et prévention

Qu’est-ce que le phishing ?

Le phishing, c’est un peu comme la pêche. Les cybercriminels « pêchent » vos données en vous appâtant. Oui, c’est pour ça que le mot vient de « fishing » en anglais. Généralement, ils le font via des e-mails ou des sites web frauduleux, appelés respectivement e-mails de phishing et sites de phishing.

Les attaquants se font passer pour des entités connues et crédibles, comme une banque ou une entreprise. Leur but ? Vous soutirer des informations confidentielles. Ils veulent vos identifiants de connexion, vos numéros de carte bancaire…

Les conséquences du phishing peuvent être désastreuses. En France, les autorités comme l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et des associations telles que Phishing-Initiative surveillent de près ce phénomène. Une étude récente indique que près de 51% des Français ont été confrontés à une tentative de phishing au moins une fois dans leur vie. Les pertes économiques causées par cette cybercriminalité sont non négligeables et engendrent des coûts importants pour les particuliers comme pour les entreprises.

Comment fonctionne le phishing ?

Le phishing, comme mentionné précédemment, fonctionne de manière similaire à la pêche : il s’agit d’appâter la victime avec un leurre pour ensuite récolter la prise. Typiquement, cela se passe par des e-mails de phishing et des sites web de hameçonnage. Ces contenus frauduleux imitent ceux d’organisations légitimes. Les cibles fréquentes incluent les banques, les compagnies d’assurance, les réseaux sociaux, les services de messagerie, les autorités administratives et les fournisseurs de logiciels.

Les cybercriminels utilisent divers prétextes pour tromper les victimes, comme un prétendu blocage de compte, un faux concours ou le paiement d’une taxe. Les victimes sont incitées à fournir leurs informations personnelles. Étant donné que les e-mails ou les sites web frauduleux ressemblent fortement à de véritables contenus d’organisations légitimes, il est possible que vous ne remarquiez pas la supercherie et finissiez par divulguer vos informations sensibles.

Les types les plus courants de phishing

Il existe plusieurs types courants de phishing, chacun utilisant des techniques et des canaux différents pour piéger les victimes. Voici un aperçu des méthodes les plus fréquentes et leur fonctionnement.

1. Phishing par e-mail

C’est la méthode classique. Un e-mail de phishing semble provenir de tiers de confiance : banques, compagnies de cartes de crédit, ou agences gouvernementales. Il contient souvent un lien vers un faux site web. Une fois sur ce site, vous êtes invité à saisir vos identifiants, que les escrocs peuvent alors voler. Les techniques pour créer ces e-mails deviennent de plus en plus sophistiquées.

2. Spear phishing

Il s’agit d’une version plus ciblée et personnalisée du phishing. Plutôt que d’envoyer des e-mails génériques à tout le monde, les cybercriminels ciblent une personne spécifique. Ils effectuent des recherches pour obtenir des informations sur vous, rendant leurs messages beaucoup plus crédibles.

3. Smishing

Le smishing utilise des messages texte pour piéger les victimes. Les escrocs envoient des SMS semblant provenir de sources fiables. Un lien ou un numéro à appeler est souvent intégré. Une fois que vous avez cliqué, vous êtes dirigé vers un faux site web où vous pouvez être incité à fournir des informations personnelles ou financières.

4. Vishing

Le vishing utilise des appels téléphoniques. L’escroc prétend travailler pour une banque ou un support technique et vous raconte que votre carte bancaire a été compromise. Leur but est de vous amener à divulguer vos identifiants de compte. Ils peuvent utiliser des voix humaines ou générées par l’IA pour rendre l’attaque plus convaincante.

5. Whaling

Le whaling cible les dirigeants d’entreprises, souvent appelés « grosses prises ». Ces attaques sont extrêmement bien préparées et personnalisées. Les hackers se font passer pour des collègues ou des partenaires commerciaux pour obtenir des informations financières sensibles ou des virements d’argent. Vu la position des cibles, les conséquences peuvent être désastreuses.

6. Spoofing / Spoofing de domaine

Ce type d’attaque falsifie des adresses e-mail ou des noms de domaine pour faire croire qu’un message provient d’une source fiable. Par exemple, ils modifient légèrement le nom de domaine d’une entreprise : « secure-bank.com » au lieu de « securebank.com ». Le but ? Vous inciter à cliquer sur des liens frauduleux pour voler vos informations.

7. Evil Twin

Dans ce type d’attaque, les hackers créent un faux réseau Wi-Fi ressemblant à un réseau légitime. Vous vous connectez pensant être sur un réseau Wi-Fi publique ou sûr, mais en réalité, vous êtes sur le réseau des pirates. Ils peuvent alors surveiller votre trafic en ligne et voler vos identifiants.

8. Quishing

Le quishing exploite des QR codes. Les cybercriminels placent des QR codes malveillants un peu partout : sites web, affiches, etc. En scannant le code, vous êtes redirigé vers un site web frauduleux où ils cherchent à voler vos informations personnelles. Les QR codes peuvent sembler inoffensifs, mais restez vigilant !

9. Clone Phishing

Le clone phishing consiste à copier un e-mail légitime que vous avez déjà reçu. Les attaquants envoient ensuite une version modifiée contenant des liens et pièces jointes malveillants. Familiarisés avec le contenu, vous abaissez votre garde et cliquez plus facilement, permettant ainsi aux hackers de profiter de votre confiance.

10. Watering Hole Attacks

Ici, les cybercriminels ciblent des sites populaires fréquentés par des professionnels. Ils les compromettent pour infecter les visiteurs avec des malwares ou les rediriger vers des sites frauduleux. Par exemple, ils peuvent infecter un site utilisé par des employés d’une entreprise spécifique pour les piéger.

11. Pharming

Le pharming est une méthode super sournoise. Pas besoin de cliquer sur un lien malveillant. Les cybercriminels redirigent directement votre trafic, même si vous tapez l’URL correcte du site. Ils manipulent les DNS (Domain Name System) pour vous diriger vers leurs propres sites frauduleux.

Autres types de phishing

• Phishing sur les réseaux sociaux: Les cybercriminels créent des comptes et pages falsifiés pour tromper les utilisateurs. Ils se font passer pour des amis ou des contacts professionnels pour obtenir vos informations.
• Phishing à travers les moteurs de recherche: Les cybercriminels créent des sites optimisés pour les moteurs de recherche. Les utilisateurs, croyant visiter des sites de confiance, finissent par divulguer leurs informations.
• Phishing Google Docs: Les cybercriminels envoient de fausses invitations Google Docs pour tromper les utilisateurs. Ils espèrent que vous saisirez vos identifiants Google sur leurs pages falsifiées.

Comment reconnaître / détecter une tentative de phishing ?

Détecter une tentative de phishing peut sembler difficile, mais avec quelques astuces simples, vous pouvez éviter de tomber dans le piège. Voici ce à quoi faire attention :

Signes courants de phishing :

1. Offres trop belles pour être vraies: Si un e-mail vous annonce un gain incroyable sans raison, méfiez-vous !
2. Expéditeur inconnu ou inattendu: Un e-mail d’un contact inhabituel ? Soyez prudent(e).
3. Langage urgent ou alarmiste: On vous presse d’agir vite ? Prenez du recul.
4. Pièces jointes inattendues ou inhabituelles: Ne les ouvrez pas sans réflexion. Elles peuvent être malveillantes.
5. Liens suspects: Survolez les liens pour voir la véritable URL avant de cliquer. Préférez saisir l’adresse directement dans votre navigateur.

Conseils pour vérifier les e-mails et les URLs :

• Avertissements de sécurité : Votre boîte mail ou antivirus vous alerte ? Prenez ça au sérieux.
• Êtes-vous client de la compagnie qui vous envoie cet e-mail ?
• Connaissez-vous l’expéditeur ? Le contenu est-il personnalisé ?
• Orthographe et typographie : L’adresse e-mail est-elle correcte ?
• Apparence de l’e-mail : Le design est-il douteux ?
• Langage alarmiste : L’objet est-il trop provocateur ?
• Demande de renseignements personnels : La demande est-elle raisonnable ?
• Appel aux émotions : Essaye-t-on de vous manipuler émotionnellement ?

Si vous repérez ces signes dans un e-mail, soyez très prudent. Il vaut mieux être trop prudent que de risquer vos données.

Comment prévenir le phishing ?

Prévenir les attaques de phishing nécessite une combinaison de bonnes pratiques utilisateurs et de systèmes robustes de cybersécurité. Voici plusieurs stratégies pour vous protéger contre le phishing.

1. Apprenez à détecter les signes de phishing

Informez-vous et formez-vous pour détecter les alertes : sentiment d’urgence, demandes de données personnelles, liens et pièces jointes suspects. Un utilisateur averti est un utilisateur protégé.

2. Évitez de cliquer sur les liens dans les e-mails

Ne cliquez jamais sur les liens dans des e-mails non sollicités. Tapez l’adresse officielle directement dans votre navigateur pour réduire les risques.

3. Utilisez un système de sécurité anti-phishing

Les solutions d’intelligence artificielle analysent les messages entrants et détectent le contenu suspect avant qu’il n’arrive dans votre boîte de réception.

4. Changez régulièrement vos mots de passe

Idéalement tous les 30 à 45 jours. Utilisez des mots de passe complexes et uniques pour chaque compte.

5. Mettez à jour vos logiciels

Les mises à jour corrigent souvent des failles de sécurité. Installez régulièrement les dernières mises à jour de vos systèmes d’exploitation et logiciels.

6. Installez des pare-feu

Les pare-feu surveillent le trafic entrant et sortant de votre réseau, bloquant les communications malveillantes et enregistrant les tentatives d’accès suspectes.

7. Soyez prudent avec les fenêtres pop-up

Utilisez des bloqueurs de pop-up et méfiez-vous des pop-up, même légitimes.

8. Protégez vos informations bancaires

Ne donnez jamais vos informations de carte bancaire sur des sites web non vérifiés. Recherchez « https » et un symbole de cadenas dans la barre d’adresse.

9. Activez l’authentification à deux facteurs (2FA)

L’authentification à deux facteurs (2FA) ajoute une couche supplémentaire de sécurité à vos comptes en exigeant une deuxième forme d’authentification, comme un code envoyé sur votre téléphone, en plus de votre mot de passe.

10. Signaler les escroqueries suspectées

Signalez toute escroquerie suspectée à l’entreprise que les phishers essaient d’imiter ainsi qu’aux autorités compétentes, telles que la Commission Nationale de l’Informatique et des Libertés (CNIL) en France. Cela aide à sensibiliser davantage de personnes et à réduire les chances de succès des attaques de phishing.

Que faire en cas de phishing ou hameçonnage ?

Si vous pensez être victime d’une tentative de phishing ou de hameçonnage, il est essentiel de réagir rapidement. Voici les étapes incontournables pour gérer la situation :

1. Contactez les organismes et faites opposition

En cas de doute, contactez directement l’organisme concerné via ses canaux de communication officiels pour vérifier la légitimité du message. Si vous avez communiqué vos informations de paiement ou remarqué des débits frauduleux sur votre compte, faites immédiatement opposition auprès de votre banque ou organisme financier.

2. Conservez les preuves et déposez plainte

Gardez toutes les preuves, comme les e-mails ou captures d’écran, pour les présenter lors du dépôt de plainte. Si vos informations ont été utilisées pour usurper votre identité ou si vous avez subi des débits frauduleux, déposez plainte auprès de la police ou de la gendarmerie. Des associations comme France Victimes peuvent vous aider dans cette démarche.

3. Changez vos mots de passe

Si vous avez partagé un mot de passe, changez-le sans tarder sur le site concerné et sur tous les autres sites où vous utilisez ce même mot de passe. Optez pour des mots de passe complexes et uniques pour chaque compte.

4. Signalez les messages suspects

Ne cliquez pas sur les liens ou pièces jointes dans les messages suspects. Survolez les liens pour vérifier leur véritable destination. Signalez les e-mails suspects à Signal Spam et les SMS douteux au 33 700. Vous pouvez aussi signaler les sites suspects à Phishing Initiative.

5. Outils et assistance

Pour plus de conseils et d’assistance, contactez la plateforme Info Escroqueries au 0 805 805 817. Ce service peut vous fournir des informations et des orientations supplémentaires pour faire face à une tentative de phishing.

Où le phishing peut-il survenir ?

Le phishing peut survenir dans divers contextes, tant personnels que professionnels. Voici les domaines les plus courants où les attaques de phishing se produisent :

Dans votre vie personnelle

• Vol d’argent de carte bancaire
• Frais frauduleux sur des cartes de crédit
• Déclarations d’impôts frauduleuses
• Prêts et hypothèques ouverts frauduleusement
• Perte de comptes d’accès à des documents personnels (photos, vidéos, fichiers)
• Faux messages publiés sur les réseaux sociaux

Au travail

• Perte de fonds de l’entreprise
• Exposition d’informations personnelles de clients et de collègues
• Accès non autorisé à des fichiers et systèmes confidentiels
• Verrouillage de fichiers par des rançongiciels
• Atteinte à la réputation de l’entreprise
• Amendes pour violations de la conformité
• Perte de valeur de l’entreprise
• Diminution de la confiance des investisseurs
• Interruption des revenus et baisse de la productivité

Soyez proactif pour sécuriser vos données

Le phishing est une menace omniprésente qui peut causer des dommages sérieux à la fois dans la vie personnelle et professionnelle. En apprenant à reconnaître les signes de phishing, en adoptant de bonnes pratiques de sécurité et en restant vigilant, vous pouvez réduire considérablement le risque de devenir victime de ces attaques.

Protégez toujours vos informations sensibles et assurez-vous de mettre en place des mesures de cybersécurité robustes pour vous défendre contre le phishing. Soyez prudent et prenez des mesures proactives pour sécuriser vos données contre les cybermenaces.

FAQ

C’est quoi une tentative de phishing ?

Une tentative de phishing est une attaque cybernétique où un escroc se fait passer pour une entité légitime pour obtenir des informations sensibles, comme des identifiants de connexion ou des informations bancaires, souvent via des e-mails, des SMS ou des sites web frauduleux.

Qu’est-ce qu’une attaque par phishing ?

Une attaque par hameçonnage implique des cybercriminels se faisant passer pour des organisations de confiance pour inciter les victimes à révéler des informations personnelles via des e-mails ou des sites web trompeurs.

Quel est le but du hameçonnage ?

L’hameçonnage vise à voler des informations sensibles pour effectuer des transactions frauduleuses, voler des identités ou accéder à des comptes sécurisés, souvent pour un gain financier.

Qu’est-ce que le smishing ou hameçonnage par SMS ?

Le smishing est une forme de phishing utilisant des SMS pour inciter les victimes à divulguer des informations sensibles ou à cliquer sur des liens vers des sites frauduleux.

Le phishing est-il fréquent en France ?

Le phishing est courant en France, avec environ 50 % des Français ayant été confrontés à des tentatives de phishing. Les attaques ciblent à la fois les particuliers et les entreprises, causant souvent des pertes financières et d’identité.