Les attaques par hameçonnage

Internet est un réseau d'ordinateurs remplis de données précieuses, qu'il faut donc protéger à l'aide de nombreux mécanismes de sécurité.

Mais il y a malheureusement un maillon faible : l'être humain. Si l'utilisateur ou l'utilisatrice communique volontairement ses données personnelles ou fournit l'accès à son ordinateur, il est bien plus difficile pour les mécanismes de sécurité de protéger ses données et ses appareils.

Une attaque par hameçonnage consiste à tenter de tromper un utilisateur ou une utilisatrice pour le ou la pousser à divulguer ses informations personnelles.

Un exemple d'attaque

Une attaque par hameçonnage commence généralement par l'envoi d'un e-mail qui prétend provenir du site web officiel (banque ou boutique en ligne, par exemple) :

Un e-mail prétendument envoyé par PayPal

Le but est d'obtenir les données privées de l'utilisateur ou de l'utilisatrice. L'e-mail va donc demander au destinataire de répondre avec des informations personnelles ou va contenir un lien qui renvoie à un site web qui ressemble énormément au site original :

Si l'utilisateur croit cet e-mail et introduit des informations privées sur le site, ses données tombent alors dans les mains du pirate ! S'il a entré ses identifiants pour pouvoir se connecter, le pirate peut les utiliser pour se connecter au véritable site. Et si l'utilisateur a fourni les informations de sa carte de crédit, le pirate peut utiliser cette carte pour faire des paiements n'importe où.

Signes d'une attaque par hameçonnage

Il est heureusement possible de démasquer les tentatives d'hameçonnage grâce à quelques signes visibles.

Adresse e-mail suspecte

Les e-mails d'hameçonnage sont souvent envoyés depuis des adresses dont les domaines n'appartiennent pas à l'entreprise officielle.

Attention toutefois : une adresse e-mail officielle ne permet pas de garantir que l'e-mail soit sûr à 100 %. Les pirates ont peut-être réussi à usurper la véritable adresse e-mail de l'entreprise ou à la pirater pour en prendre le contrôle.

URL suspectes

Les e-mails d'hameçonnage contiennent souvent un lien qui renvoie vers un site web avec une URL qui semble authentique, alors qu'il s'agit en réalité d'un site contrôlé par le pirate.

Les pirates utilisent un éventail de stratégies pour créer des URL convaincantes :

Des erreurs d'orthographe dans l'URL originale ou dans le nom de l'entreprise (ex. : "goggle.com" au lieu de "google.com").
Une écriture qui utilise des caractères semblables provenant d'autres alphabets (ex. : "wikipediа.org" contre "wikipedia.org"). Dans les deux domaines de cet exemple, le "e" et le "a" sont en réalité des caractères différents.
Des sous-domaines qui ressemblent au nom du domaine (ex. : "paypal.accounts.com" au lieu de "accounts.paypal.com"). Dans cet exemple, PayPal possède le deuxième domaine, mais n'a aucun contrôle sur le premier.
Un domaine de premier niveau ("TLD" ou "top level domain" en anglais). Par exemple, "paypal.io" contre "paypal.com". Les entreprises connues essayent d'acheter un domaine doté des TLD les plus répandus, comme ".net", ".com" et ".org", mais il en existe des centaines.

Même si le pirate ne parvient pas à trouver une URL semblable pour héberger sa page web malveillante, il peut toujours essayer de camoufler l'URL dans le code HTML.

Prenons l'exemple de ce texte qui semble tout à fait authentique :

Rendez-vous sur www.paypal.com pour changer votre mot de passe.

Maintenant, essayez de cliquer sur le lien. Vous n'êtes pas tombé sur la page de PayPal, n'est-ce pas ? C'est parce que le texte et la destination d'un lien ne sont pas identiques.

Voilà à quoi ressemble le code HTML :

Rendez-vous sur <a href="https://www.khanacademy.org/computer-programming/this-isnt-the-right-page/5778954880073728">www.paypal.com</a> pour changer votre mot de passe.

Un pirate peut camoufler des liens de cette manière, dans un e-mail ou une page web. Lorsque vous cliquez sur un lien louche, il est important de vérifier l'URL dans la barre du navigateur pour voir où celui-ci vous a vraiment mené.

Connexions HTTP non sécurisées

Un site web qui vous demande des informations sensibles devrait utiliser le protocole HTTPS pour chiffrer les données envoyées sur Internet.

Les sites d'hameçonnage ne font pas toujours l'effort d'utiliser le protocole HTTPS.

Toutefois, selon une étude, plus de deux tiers des sites d'hameçonnage ont utilisé le protocole HTTPS en 2019. Une URL sécurisée n'est donc pas toujours synonyme d'URL authentique

^{1}

Demande d'informations sensibles

Les e-mails d'hameçonnage vous demandent souvent de répondre avec des informations personnelles ou de remplir un formulaire sur un site web. La plupart des vraies entreprises n'ont pas besoin de vérifier vos informations personnelles après la création du compte original.

Tactiques reposant sur l'urgence ou la peur

Les e-mails d'hameçonnage utilisent la manipulation psychologique pour nous faire baisser notre garde et nous amener à répondre rapidement sans penser aux conséquences.

Comment gérer une attaque par hameçonnage

Le degré de sophistication des tentatives d'hameçonnage peut fortement varier : certains e-mails sont très clairement faux tandis que d'autres peuvent être particulièrement convaincants.

Si vous pensez qu'un e-mail est une attaque par hameçonnage, ne cliquez sur aucun lien et ne téléchargez aucun fichier joint.

Trouvez un autre moyen de contacter l'expéditeur présumé, pour savoir si l'e-mail est authentique. Si ce dernier provient d'une entreprise, vous pouvez chercher son numéro de téléphone sur Internet. S'il vient d'un ami ou d'un collègue, vous pouvez lui envoyer un message ou l'appeler.

Hameçonnage ciblé

Il existe désormais un nouveau type d'hameçonnage, qui est encore plus répandu et dangereux : l'hameçonnage ciblé. Au lieu d'envoyer un même e-mail à un grand nombre d'utilisateurs et d'utilisatrices, un pirate va choisir un utilisateur en particulier et lui envoyer un e-mail qui lui est spécifiquement destiné.

Les attaques par hameçonnage ciblé visent souvent des personnes au sein d'une organisation, dans le but d'obtenir un accès aux données de celle-ci.

L'une de mes collègues a reçu cet e-mail d'hameçonnage ciblé, prétendument envoyé par Sal Khan lui-même :

Heureusement, il était évident qu'il s'agissait d'un e-mail d'hameçonnage ciblé rien qu'en lisant l'adresse de l'expéditeur.

Malheureusement, toutes les tentatives d'hameçonnage ciblé ne sont pas aussi évidentes et toutes les cibles ne sont pas aussi vigilantes. Si un seul membre de l'organisation révèle accidentellement ses identifiants ou télécharge un logiciel malveillant sur son ordinateur de travail, un pirate peut potentiellement s'infiltrer dans l'ensemble de la base de données de l'entreprise. On ne parle pas ici des données d'une seule personne, mais des données de milliers ou de millions de personnes.

🔍 Êtes-vous capable de repérer une attaque par hameçonnage ? Testez vos compétences en répondant à ce quiz sur l'hameçonnage, réalisé par Google.

🙋🏽🙋🏻‍♀️🙋🏿‍♂️Vous avez des questions sur ce sujet ? Nous vous répondrons volontiers ! Posez simplement votre question dans l'espace ci-dessous !

Vous souhaitez rejoindre la discussion ?

Connectez-vous

Trier par :

Pas encore de posts.

Vous comprenez l'anglais ? Cliquez ici pour participer à d'autres discussions sur Khan Academy en anglais.