Robert peut être fier : il a travaillé dur toute sa vie pour préparer sa retraite et a réussi à amasser une petite fortune. Quelques mois avant son pot de départ, Robert reçoit des e-mails de sa « banque » lui demandant de mettre à jour ses informations bancaires. Il se connecte alors au « site web de sa banque » via le lien contenu dans un de ces e-mails. Il saisit ses identifiants de connexion directement sur le site. Le lendemain, toutes ses économies se sont envolées…
Robert a subi ce que l’on appelle une arnaque par phishing (ou hameçonnage). Comme vous l’avez compris lors d’une précédente chronique, le phishing est une des méthodes les plus prisées par les cybercriminels. Cette technique leur permet de récupérer vos identifiants.
Pour ne pas tomber dans le panneau, il faut comprendre comment ces pirates procèdent. Ils ne sont pas forcément doués, mais savent trouver les outils efficaces sur des sites et des forums spécialisés. Ils achètent ou récoltent des millions d’adresses e-mails, dont peut-être la vôtre, via des programmes automatisés de collecte sur Internet.
Moyennant quelques dizaines ou centaines de dollars, ils vont investir dans un kit de phishing plus ou moins clé en main. Celui-ci comprend un e-mail ressemblant à celui d’un organisme officiel et une page web reproduisant à l’identique celle d’un site officiel.
Le prix du pack va dépendre de la qualité de l’imitation et de la langue employée.
Le message de l’e-mail est souvent très crédible. Il vous prévient qu’un problème de sécurité a été détecté sur votre compte bancaire, par exemple. Un lien cliquable est disponible pour vous identifier sur ce « service » et vous piéger.
Ensuite, le pirate doit héberger cette fausse page. Mais voilà, si le pirate loue un espace, il va se faire identifier très rapidement. C’est pourquoi il va souvent chercher à pirater un site déjà existant dont le mot de passe d’administration est très simple à trouver. De la même façon que pour le kit de phishing, pas besoin d’être un expert : il suffit de payer un pirate spécialisé pour dénicher une liste de sites mal protégés.
Le pirate va alors stocker son faux site dans un dossier inexploité du véritable site. L’avantage, c’est que personne ne s’en rend compte avant des mois, voire des années…
Reste ensuite l’opération la plus compliquée : envoyer plusieurs centaines de milliers d’e-mails. Pour y parvenir, le hacker va devoir pirater un serveur de messagerie. Il s’agit souvent de celui d’une PME.
Passons maintenant à la tentative de phishing sur votre ordinateur. Vous avez cliqué sur le lien et la page s’est affichée. Même si vous avez ouvert la page, il n’est pas trop tard !
Pas besoin d’être un spécialiste pour détecter un lien suspect. Certaines choses doivent vous alerter. D’abord, sachez que les liens factices imitent généralement des sites bien connus en ajoutant bien souvent des caractères inutiles.
Signe n°1 : des caractères inutiles placés avant https://
L’idéal reste de vérifier et d’étudier l’adresse AVANT de remplir quoi que ce soit. Observez l’adresse Internet dans votre navigateur. Retenez qu’il ne doit rien y avoir devant https:// dans un lien. Si vous voyez le texte suivant data:text/html juste avant https://, fermez le navigateur. Ces caractères doivent vous alerter immédiatement : il s’agit d’une fausse page reprenant la véritable adresse officielle d’un site.
Signe n°2 : vérifiez la présence d’un espace réservé au certificat de sécurité
S’il s’agit d’un site officiel, d’une administration ou d’une banque, vous trouverez invariablement un petit cadenas de couleur verte à gauche de l’adresse. Il prouve que la connexion entre le site et votre ordinateur est chiffrée. C’est ce que l’on appelle un certificat SSL/TLS. Ce système protège les informations qui sont transférées entre le navigateur et le site web.
Si vous voyez ce logo, vous pouvez cliquer dessus pour éventuellement afficher des informations supplémentaires. Sa seule présence sur un site officiel est déjà une bonne garantie. S’il n’existe pas, fuyez immédiatement cette page.
Mais attention, il existe des cas où les pirates affichent des certificats de sécurité qu’ils ont préalablement achetés. C’est pour cette raison que cette technique de certification ne suffit pas.
Signe 3 : l’adresse du site est-elle un homographe ?
Pouvez-vous distinguer un I d’un l ? Dans un premier cas, il s’agit en fait d’un i majuscule. Dans l’autre de la lettre L en minuscule. C’est ce que l’on appelle un homographe. Avec cette nuance, il est facile d’acheter un véritable nom de domaine qui ressemble à celui d’un vrai site.
C’est notamment le cas d’Apple, avec le nom www.appIe.fr qui peut être en réalité www.appie.fr en version site de phishing. De même, sachez que certains navigateurs ne savent pas interpréter certains alphabets, comme le cyrillique par exemple. À la place des lettres, ils affichent des caractères latins. Par exemple, imaginez que le pirate utilise ce nom de domaine : xn—pple-43d.com.
En réalité, le navigateur interprétera ce code informatique pour afficher www.apple.com. Si, en plus, le pirate a acheté un certificat de sécurité SSL/TLS pour ce nom de domaine et propose un clone de la page du site officiel d’Apple, vous allez sans doute tomber dans le panneau si vous êtes client de la marque.
Cette technique s’appelle le script spoofing. Avec un nombre suffisant de combinaisons, il est possible de créer un faux domaine et de le sécuriser de sorte qu’il soit pratiquement impossible de distinguer le vrai du faux.
Si l’on doute de l’authenticité d’un lien, il faut cliquer sur le lien pour le sélectionner. Ensuite, faire un clic droit dessus et choisir « Copier ». Après avoir ouvert un nouvel onglet en cliquant sur le signe « + » en haut du navigateur, il s’agit de faire un clic droit dans le champ réservé à l’adresse et de sélectionner « Coller ». Dans la barre d’adresse, la véritable nature du domaine se révèle instantanément. On sait alors que le site n’est pas digne de confiance.
[Protégez-vous des nouveaux pirates du net grâce à votre kit anti-virus crée spécialement pour vous par notre spécialiste. N’attendez pas et installez le en moins de 2 minutes ! Toutes les informations ici…]
