L’hameçonnage (phishing) est un message qui prétend venir d’une personne de confiance, comme une banque, un transporteur, votre employeur ou un ami, afin que vous cliquiez sur un lien, ouvriez un fichier ou communiquiez un mot de passe. Il arrive par e-mail, SMS, messagerie instantanée et appels téléphoniques. Les messages sont souvent convaincants, mais ils partagent quelques habitudes.
Que veut généralement un message d’hameçonnage ?
Presque tous les messages d’hameçonnage veulent l’une de ces trois choses : que vous vous connectiez sur une page contrôlée par l’expéditeur, que vous ouvriez une pièce jointe qui installe quelque chose de nuisible, ou que vous envoyiez de l’argent ou des informations à cause d’un problème inventé. L’histoire autour de la demande change, mais le but reste le même.
Parmi les histoires courantes figurent un compte bloqué, un colis manqué, une facture impayée, un remboursement inattendu, un lot à gagner ou un proche en difficulté qui a besoin d’aide tout de suite. Tout message qui demande un mot de passe, un code de vérification, un paiement ou une copie de pièce d’identité doit être vérifié avant d’agir.
Quels signes trahissent un message d’hameçonnage ?
Aucun signe ne prouve à lui seul qu’un message est faux, et les bonnes contrefaçons peuvent tous les éviter. Il vaut tout de même la peine de vérifier ces points à chaque fois :
La pression. Le message indique que vous avez quelques heures, que votre compte sera fermé ou qu’un problème surviendra si vous attendez.
Une adresse d’expéditeur proche de la vraie mais fausse, avec une lettre échangée ou un mot en trop dans le nom de domaine.
Un lien dont le texte visible ne correspond pas à sa destination. Sur ordinateur, vous pouvez le survoler, et sur téléphone, vous pouvez le maintenir appuyé pour voir l’adresse.
Une pièce jointe inattendue, surtout un fichier zip, une facture que vous n’avez pas demandée ou un fichier qui vous invite à activer les macros.
Une demande de paiement par cartes cadeaux, cryptomonnaie ou virement vers un nouveau compte.
Que faire avant de cliquer ?
Arrêtez-vous et ralentissez. La pression est l’outil sur lequel compte l’expéditeur : prendre quelques minutes lui retire une grande partie de son avantage. Ne répondez pas, n’appelez pas un numéro figurant dans le message et n’ouvrez ni le lien ni la pièce jointe.
Vérifiez ensuite l’information par une voie en laquelle vous avez déjà confiance. Ouvrez l’application de l’entreprise ou saisissez vous-même son adresse dans le navigateur, et cherchez la même notification dans votre compte. Appelez le numéro imprimé sur votre carte ou sur le site officiel de l’entreprise. Si le message semble venir d’un collègue ou d’un proche, contactez-le autrement, par exemple par téléphone, et demandez-lui s’il l’a envoyé.
Pourquoi les SMS et les appels font-ils aussi partie de l’hameçonnage ?
L’hameçonnage ne se limite pas aux e-mails. Les SMS au sujet de colis, de péages ou d’alertes bancaires sont courants, tout comme les appels de personnes qui disent travailler pour votre banque ou un service d’assistance. Un appelant peut faire afficher presque n’importe quel numéro sur votre écran : le numéro affiché ne prouve donc rien.
Une vraie banque ne vous demandera pas de transférer de l’argent vers un « compte sécurisé », et un vrai service d’assistance ne vous demandera pas un code qui vient d’être envoyé sur votre téléphone. Si un appelant crée un sentiment d’urgence, raccrochez et rappelez avec un numéro que vous avez trouvé vous-même. Il en va de même pour les messages vocaux et pour les messages envoyés par le compte piraté d’un ami qui vous demande de l’argent.
Que faire si vous avez déjà cliqué ou saisi un mot de passe ?
Cela arrive à des personnes prudentes, et réagir vite change vraiment les choses. Suivez ces étapes dans l’ordre :
Coupez le lien avec le problème. Si vous avez ouvert un fichier et pensez qu’il a exécuté quelque chose, désactivez la connexion réseau de cet appareil et laissez-la coupée jusqu’à sa vérification.
Changez le mot de passe du compte concerné, si possible depuis un autre appareil. Si vous utilisiez ce mot de passe ailleurs, changez-le là aussi.
Activez la validation en deux étapes, de préférence avec une clé d’accès ou une application d’authentification, et déconnectez les autres sessions dans les paramètres du compte.
Contactez votre banque tout de suite si vous avez communiqué des données de carte ou bancaires. Demandez-lui de bloquer la carte ou de surveiller toute activité inhabituelle.
Cherchez des modifications que vous n’avez pas faites, comme de nouvelles règles de transfert dans votre messagerie, de nouvelles adresses de récupération ou des connexions inconnues.
Signalez le message au service dont il usurpait l’identité, et prévenez vos contacts si le compte a envoyé des messages en votre nom.
Comment réduire les dégâts de l’hameçonnage dès le départ ?
Vous ne pouvez pas empêcher chaque message de vous parvenir : le but est donc de limiter les dégâts quand l’un d’eux passe. Utilisez un mot de passe différent pour chaque compte et conservez-les dans un gestionnaire de mots de passe, qui aide aussi car il ne remplira pas un mot de passe sur un site dont l’adresse est incorrecte. Les clés d’accès vont plus loin, puisqu’elles ne peuvent pas du tout être saisies sur une fausse page.
Gardez votre téléphone et vos applications à jour, et soyez prudent avec les applications et fichiers provenant de l’extérieur des boutiques officielles. Limitez ce que vous conservez dans des endroits qu’un seul mot de passe volé peut ouvrir. Les copies de votre passeport, de vos documents fiscaux ou de vos contrats n’ont pas besoin de rester dans votre boîte de réception, où un seul message d’hameçonnage réussi pourrait tous les exposer.
C’est un domaine où Revault peut aider. L’application conserve photos, documents et fichiers dans un coffre-fort chiffré sur votre appareil, sans compte Revault à pirater. Cela n’empêche pas l’envoi d’un faux message, mais cela garde vos fichiers les plus sensibles hors de votre boîte de réception et de vos comptes cloud. Aucun outil ne remplace le discernement : la meilleure habitude reste donc la plus simple. Quand un message demande quelque chose d’urgent, vérifiez-le d’abord par un autre moyen.