Qu'est-ce que l'hameçonnage ?

L'hameçonnage, appelé phishing en anglais, est une technique de fraude qui consiste à tromper une personne afin de lui faire révéler des informations confidentielles ou effectuer une action au profit du fraudeur.

Les informations recherchées peuvent être très diverses :

  • identifiant et mot de passe
  • numéro de carte bancaire
  • coordonnées bancaires
  • code de validation reçu par SMS
  • informations personnelles
  • documents d'identité
  • codes d'accès à une messagerie ou à un compte en ligne
  • informations professionnelles ou confidentielles.

L'hameçonnage peut également avoir pour objectif de faire installer un logiciel malveillant, de prendre le contrôle d'un ordinateur ou d'un smartphone, ou encore de provoquer un paiement frauduleux. Le principe est généralement simple : faire croire à la victime qu'elle communique avec une personne ou une organisation légitime. Le fraudeur peut ainsi usurper l'identité d'une banque, d'un opérateur téléphonique, d'une administration, d'un service de livraison, d'une entreprise, d'un collègue, d'un proche ou d'un service en ligne. Le message peut arriver par e-mail, SMS, téléphone, messagerie instantanée, réseau social ou même par un QR code.

Une attaque qui joue davantage sur l'humain que sur la technique

L'hameçonnage exploite principalement ce que l'on appelle l'ingénierie sociale (social engineering). Plutôt que de chercher une faille technique dans votre ordinateur, votre smartphone ou votre navigateur, le fraudeur cherche à vous convaincre de faire vous-même ce qu'il souhaite. C'est tout l'intérêt de la méthode : pourquoi essayer de contourner une protection informatique lorsque l'on peut convaincre quelqu'un de fournir volontairement son mot de passe ? Le message frauduleux cherche généralement à provoquer une réaction immédiate :

« Votre compte va être suspendu. »
« Une opération inhabituelle a été détectée. »
« Votre colis ne peut pas être livré. »
« Vous devez confirmer vos informations. »
« Votre carte bancaire arrive à expiration. »
« Vous avez gagné un cadeau. »

La peur, l'urgence, la curiosité, l'appât du gain ou la confiance dans l'expéditeur sont autant de leviers psychologiques utilisés pour pousser la victime à agir avant qu'elle ait eu le temps de réfléchir.

C'est pourquoi l'hameçonnage fonctionne aussi bien sur Windows que sur macOS, Android, iOS ou tout autre système. Aucun système d'exploitation ne peut empêcher un utilisateur de communiquer volontairement une information à un escroc.

Comment fonctionne une attaque par hameçonnage ?

Une attaque classique se déroule souvent en plusieurs étapes.

1. Le fraudeur choisit une identité à usurper

Il peut se faire passer pour :

  • une banque
  • une administration
  • un opérateur téléphonique
  • un service de livraison
  • un fournisseur d'accès à Internet
  • une plateforme de commerce en ligne
  • une entreprise
  • un collègue
  • un membre de la famille.

2. Il prépare un message crédible

Le message reprend généralement les logos, couleurs, signatures et formulations de l'organisation imitée.

Il peut même contenir des informations personnelles récupérées sur Internet ou sur les réseaux sociaux.

3. Il crée un prétexte

Le fraudeur invente une situation qui nécessite une intervention :

  • paiement à confirmer
  • compte à sécuriser
  • mot de passe à renouveler
  • colis bloqué
  • remboursement à récupérer
  • facture impayée
  • document à consulter.

4. Il provoque une réaction

Le message contient généralement un appel à l'action : cliquer, répondre, téléphoner, scanner un QR code, ouvrir une pièce jointe ou communiquer une information.

5. La victime est dirigée vers le piège

Elle peut être envoyée vers :

  • une fausse page de connexion
  • un faux formulaire
  • un faux site de paiement
  • un téléchargement malveillant
  • un numéro de téléphone contrôlé par l'escroc.

Le but est alors de récupérer les informations ou de provoquer une action frauduleuse.

Pourquoi parle-t-on d'« hameçonnage » ?

Le terme français hameçonnage est une traduction de l'anglais phishing. L'image est assez parlante : le fraudeur prépare un appât, lance sa ligne et attend qu'une victime « morde ». Le terme anglais phishing fait volontairement référence à fishing (« pêche »). L'origine exacte du remplacement du f par ph fait l'objet de différentes explications historiques, mais l'idée essentielle reste celle d'une pêche aux victimes et aux informations.

Les principales formes d'hameçonnage

L'hameçonnage ne se limite pas aux e-mails. Les fraudeurs utilisent aujourd'hui de nombreux canaux.

L'hameçonnage classique

C'est la forme la plus connue. Un e-mail prétend provenir d'une organisation connue et demande au destinataire d'effectuer une action. Par exemple :

« Une connexion inhabituelle a été détectée sur votre compte. Cliquez ici pour vérifier votre identité. »

Le lien conduit alors vers une fausse page destinée à récupérer les identifiants.

Le harponnage (spear phishing)

Le harponnage est une attaque beaucoup plus ciblée que l'hameçonnage de masse. Le fraudeur ne cherche pas nécessairement à envoyer son message à des milliers de personnes. Il cherche au contraire à viser une personne précise ou un petit groupe de personnes. Il peut effectuer des recherches sur Internet, les réseaux sociaux, le site de l'entreprise ou des documents publics afin de connaître :

  • le nom de la victime
  • son poste
  • son entreprise
  • ses collègues
  • ses fournisseurs
  • ses habitudes professionnelles
  • son adresse e-mail.

Le message peut ainsi sembler particulièrement crédible.

Exemple

Un comptable reçoit un e-mail semblant provenir du dirigeant de son entreprise :

« Bonjour Jean, je suis actuellement en déplacement. Peux-tu effectuer ce virement de 18 500 € au fournisseur indiqué ci-dessous ? C'est urgent. »

Il ne s'agit plus simplement de voler un mot de passe : l'objectif est directement financier.

Le « whaling »

Le whaling est une forme particulière de harponnage visant des personnes occupant des fonctions importantes dans une organisation : dirigeant, directeur financier, responsable informatique, etc. Le terme vient de whale (« baleine »), en référence à une cible particulièrement importante.

Le clonage d'e-mail

Dans une attaque par clonage, le fraudeur reproduit un véritable message déjà envoyé par une personne ou une organisation. Il peut reprendre :

  • la mise en page
  • le logo
  • la signature
  • le texte
  • le nom de l'expéditeur.

Il remplace ensuite le lien ou la pièce jointe légitime par un élément malveillant. La victime reçoit donc un message qui ressemble fortement à un message qu'elle connaît déjà.

Le vishing : l'hameçonnage par téléphone

Le vishing (voice phishing) est l'hameçonnage réalisé par téléphone. L'escroc peut se présenter comme :

  • un conseiller bancaire
  • un technicien informatique
  • un policier
  • un agent d'une administration
  • un conseiller d'un opérateur téléphonique.

Il invente généralement un problème urgent :

« Une tentative de fraude vient d'être détectée sur votre compte. »

L'objectif est ensuite d'obtenir des informations confidentielles ou de faire effectuer une opération.

Attention au faux conseiller bancaire

Une technique particulièrement dangereuse consiste à convaincre la victime qu'elle doit valider une opération pour l'annuler.

C'est l'inverse de ce que la victime croit faire : en validant l'opération, elle peut en réalité autoriser le paiement frauduleux.

Le smishing : l'hameçonnage par SMS

Le smishing (SMS phishing) utilise les SMS ou les messages envoyés par des services de messagerie.

Le scénario classique est bien connu :

« Votre colis est en attente. Veuillez régler 1,99 € de frais de livraison. »

Le SMS contient un lien vers un faux site. Les services de livraison, les banques, les opérateurs téléphoniques et les administrations sont régulièrement imités.

Le quishing : l'hameçonnage par QR code

Le quishing est une forme plus récente d'hameçonnage utilisant un QR code. Le QR code peut être placé dans :

  • un e-mail
  • un SMS
  • un document
  • une affiche
  • un courrier
  • un faux avis de paiement

Le danger vient du fait que l'utilisateur ne voit pas immédiatement l'adresse du site vers lequel le QR code le dirige. Le principe est pourtant le même : le QR code n'est pas dangereux en lui-même ; c'est ce qu'il contient qui peut l'être.

Les arnaques « 419 » ou arnaques à l'avance de frais

Les fameuses arnaques au prince nigérian constituent un exemple historique de fraude sur Internet. Le fraudeur prétend généralement disposer d'une importante somme d'argent qu'il doit transférer ou récupérer et demande à la victime de l'aider en échange d'une récompense. Pour cela, il lui demande progressivement :

  • ses coordonnées
  • ses coordonnées bancaires
  • des frais administratifs
  • des copies de documents
  • parfois des paiements successifs

Le terme « 419 » fait référence à l'article 419 du Code pénal nigérian relatif à certaines formes de fraude. Cette technique peut aujourd'hui prendre des formes beaucoup plus sophistiquées et ne se limite évidemment plus au Nigeria.

Comment reconnaître un hameçonnage ?

Reconnaître une tentative d'hameçonnage n'est pas toujours facile. Les fraudeurs ont considérablement amélioré la qualité de leurs messages. Une absence de faute d'orthographe ne suffit donc absolument pas à prouver qu'un message est légitime. Il faut rechercher un faisceau d'indices.

1. Un message inattendu

Demandez-vous : Est-ce que j'attendais réellement ce message ?

Vous recevez un message concernant un colis alors que vous n'avez rien commandé ?

Vous recevez une demande de paiement alors que vous n'attendez aucune facture ?

Vous recevez une alerte de connexion alors que vous n'avez rien fait ?

➡️ Ne cliquez pas immédiatement.

2. Un sentiment d'urgence

C'est l'un des principaux leviers utilisés par les fraudeurs.

« Dernier avertissement »
« Votre compte sera supprimé aujourd'hui »
« Agissez immédiatement »
« Votre paiement est bloqué »
« Vous avez 30 minutes pour confirmer »

Plus le message cherche à vous empêcher de réfléchir, plus il faut ralentir.

Une règle simple :

L'urgence du fraudeur ne doit jamais devenir votre urgence.

3. Une demande d'informations confidentielles

Soyez particulièrement prudent lorsqu'un message vous demande :

  • votre mot de passe
  • votre numéro de carte bancaire
  • votre code PIN
  • un code reçu par SMS
  • vos coordonnées bancaires
  • une copie de votre pièce d'identité

Une organisation sérieuse ne devrait pas vous demander de transmettre votre mot de passe par e-mail ou SMS.

4. Une adresse d'expéditeur étrange

Ne vous fiez pas uniquement au nom affiché. Un message peut afficher :

Votre banque

alors que l'adresse réelle est :

jmldb@nsfijseghzei.com ou encore f.pavi@gmail.com

Le nom affiché peut être falsifié.

Il faut donc examiner l'adresse réelle de l'expéditeur et, dans les situations douteuses, les en-têtes du message.

5. Un lien suspect

Ne cliquez pas immédiatement sur un lien. Sur ordinateur, vous pouvez généralement placer le curseur sur le lien sans cliquer afin d'afficher l'adresse vers laquelle il conduit. Sur smartphone, cette vérification est parfois moins pratique. Il faut notamment se méfier :

  • des domaines inconnus
  • des adresses très longues
  • des noms de domaine ressemblant à une marque
  • des fautes ou caractères inhabituels
  • des sous-domaines trompeurs

Attention!, HTTPS ne signifie pas « site fiable », à coup sûr. Un site frauduleux peut parfaitement utiliser HTTPS. Le cadenas indique essentiellement que la communication entre votre navigateur et le site est chiffrée. Il ne garantit pas l'identité ou l'honnêteté du propriétaire du site.

Comment se protéger contre l'hameçonnage ?

La meilleure protection repose moins sur un logiciel miracle que sur quelques habitudes simples.

1. Ne réagissez pas dans l'urgence

C'est probablement la règle la plus importante. Un message qui vous fait peur doit vous inciter à ralentir, pas à cliquer.

2. Ne cliquez pas systématiquement sur les liens

Si votre banque vous demande de consulter votre compte, ouvrez vous-même l'application bancaire ou saisissez manuellement l'adresse habituelle du site. Pour une administration, utilisez votre favori habituel ou recherchez vous-même le site officiel.

3. Vérifiez l'expéditeur

Ne vous contentez pas du nom affiché. Examinez l'adresse complète.

4. Méfiez-vous des pièces jointes inattendues

Un document Word, Excel, PDF, ZIP ou autre fichier reçu sans raison particulière mérite votre attention. Une pièce jointe peut notamment contenir un logiciel malveillant ou servir de point de départ à une attaque.

5. Activez l'authentification multifacteur

Lorsque cela est possible, activez l'authentification à deux facteurs ou multifacteur (MFA). Elle ne rend pas le phishing impossible, mais elle ajoute une protection supplémentaire si un mot de passe est dérobé.

Attention toutefois : ne validez jamais une demande de connexion ou une notification MFA que vous n'avez pas initiée.

6. Utilisez un gestionnaire de mots de passe

Un gestionnaire de mots de passe peut également aider à détecter certaines fausses pages de connexion : il ne proposera normalement pas automatiquement les identifiants enregistrés sur un domaine différent du véritable site.

7. Maintenez vos appareils et logiciels à jour

Windows, macOS, Android, iOS, navigateurs et applications doivent être régulièrement mis à jour. Les mises à jour corrigent notamment des vulnérabilités de sécurité.

8. Utilisez les protections du navigateur et de la messagerie

Les principaux navigateurs et services de messagerie disposent de mécanismes permettant de détecter et de bloquer de nombreux sites et messages frauduleux. Mais aucun filtre n'est parfait. La vigilance de l'utilisateur reste indispensable.

Et si vous avez déjà cliqué ?

Cliquer sur un lien frauduleux ne signifie pas nécessairement que vous avez été piraté. Tout dépend de ce qui s'est passé ensuite.

Vous avez simplement ouvert la page

Fermez-la et ne saisissez aucune information.

Vous avez saisi votre mot de passe

Changez immédiatement le mot de passe depuis le véritable site ou l'application officielle. Si vous utilisiez le même mot de passe ailleurs, changez-le également.

Vous avez communiqué des informations bancaires

Contactez rapidement votre banque par un moyen officiel, par exemple le numéro figurant au dos de votre carte ou dans votre application bancaire.

Vous avez fourni un code reçu par SMS

Considérez la situation comme urgente et contactez immédiatement le service concerné.

Vous avez installé un programme à la demande du prétendu conseiller

Il faut alors considérer que votre ordinateur ou votre smartphone peut être compromis et prendre des mesures adaptées.

L'hameçonnage : le maillon faible n'est pas toujours l'ordinateur

L'une des grandes forces du phishing est sa simplicité. Le fraudeur n'a pas forcément besoin de découvrir une faille dans Windows, macOS, Android ou iOS. Il peut simplement essayer de convaincre quelqu'un :

« Cliquez ici. »
« Donnez-moi votre code. »
« Installez ce logiciel. »
« Validez cette opération. »

La sécurité informatique n'est donc pas uniquement une affaire de logiciels antivirus, de pare-feu ou de mises à jour. Elle repose également sur une capacité essentielle :

savoir s'arrêter avant de cliquer.

C'est finalement le meilleur « anti-phishing » : prendre quelques secondes pour vérifier avant d'agir.