Willy, le buveur de jus de pommes, est un spécialiste des attaques de phishing, autrement dit des attaques en ingénierie sociale. Ces attaques ciblent les personnes un peu trop pressées ou qui sont enclins à faire confiance trop rapidement. Décryptage.
Pour regarder cette vidéo, vous devez consentir aux Cookies de notre partenaire Youtube Ces cookies permettent de partager ou réagir directement sur les réseaux sociaux auxquels vous êtes connectés ou d'intégrer du contenu initialement posté sur ces réseaux sociaux. Ils permettent aussi aux réseaux sociaux d'utiliser vos visites sur nos sites et applications à des fins de personnalisation et de ciblage publicitaire.
Consultez la vidéo directement sur youtube
L’attaque en phishing est redoutable
Une attaque en phishing est facile à monter et ne demande aucune compétence technique particulière. Elle va jouer de concert avec, d’un côté l’appât du gain ou de l’aversion au risque, et de l’autre l’urgence d’agir – Ceci sous l’identité prétendue d’une société ou d’une marque bien connue.
Les attaques en phishing sont particulièrement efficaces et sont couramment utilisées par les cybercriminels. A chaque fois, elles ciblent un nombre important de personnes afin de dérober – avec l’aide active des victimes – leurs données personnelles, mots de passe ou encore informations bancaires.
3 conseils pour se protéger contre les attaques en phishing
Une attaque de phishing classique est assez simple à détecter. Voici les 3 conseils que je fais à mes proches et collègues pour qu’ils puissent repérer et se protéger contre les attaques en phishing. Ici le logiciel antivirus, c’est vous ! Il s’agit donc d’être plus malin – et surtout attentif – que l’attaquant.
Conseil #1 - Avant tout prendre son temps ! Stop à la souris frénétique !
Avant tout autre chose, il faut garder son calme et prendre son temps. Mettre toute impulsivité de côté et se donner le temps de lire un email avec attention. Et oui ! Car cet email que vous avez sous les yeux peut être là à vous attendre depuis quelques heures voire quelques jours dans votre boîte aux lettres… Quelques minutes de plus ou de moins de changeront rien du tout !
Vous avez donc le temps de lire cet email attentivement ; et ce quelque-soit son contenu et surtout avant de décider d’y répondre ou de cliquer sur un lien.
Conseil #2 – Méfiance si l’affaire est trop bonne ou le dossier très urgent !
Si le mail vous vante une « affaire en or » ou s'il annonce « la fin du monde pour tout de suite » (ou presque !), votre thermomètre à Phishing doit monter dans le rouge ! Dans les deux cas c’est à 99.9% une arnaque, un filoutage, une escroquerie, bref cela sent le larcin à plein nez.
Oubliez donc la (trop) belle promesse du dernier iPhone à 15€ ou encore la coupure de votre d’accès Internet ou de votre compte Apple iTunes Store si dans les 24h vous ne régularisez pas votre facture ou ne transmettez pas votre code de Carte Bleue … le tout assorti de plein d’autres informations personnelles… Car plus la ficelle est grosse, plus elle passe, malheureusement…
Conseil #3 – Œil de Lynx tu seras
Les emails de phishing contiennent très souvent des détails qu’un indien Sioux comme « Œil de Lynx » détecte- en buvant son jus de pomme – heu non, en restant concentré sur 3 trucs en particulier.
- Le premier point c’est de lire attentivement l’adresse email depuis laquelle le mail a été envoyé. Très souvent, celle-ci est de la forme serviceclient.nomsociete@gmail.com (ou @yahoo.fr, ….). La première partie de l’adresse a été spécialement choisie pour mettre en confiance le chaland un peu rêveur … Elle est évidemment fausse. « Œil de Lynx » le verra sans coup férir ! Boum, poubelle le mail de phishing !
- Le deuxième point, c’est de pister à la trace les fautes d’orthographes, les inversions de lettres, les fautes de grammaire mais aussi les formules ampoulées ou encore la ponctuation défaillante. Et oui, car une entreprise prendra un soin tout particulier pour faire que ses communications respectent les règles de la langue utilisée. Toute erreur est fortement suspecte… « Œil de Lynx » allumera un feu et commencera à faire des signes de fumée d’alerte ! Et paf, c’est au broyeur que ce mail de phishing terminera sa vie !
- Le troisième point consiste à détecter les adresses de sites ou URL frelatées. Ce troisième point n’est utile que si le mail vous invite à cliquer sur un lien pour aller sur un site web. Ici il s’agit de déplacer le curseur juste au-dessus sur le lien mais SANS cliquer, afin de faire apparaitre une petite bulle au sein de laquelle l’URL s’affichera. Si celle-ci n’a rien à voir avec le site officiel ou si elle est différente de celle que vous pouvez lire dans l’email alors danger ! « Œil de Lynx » aura vite vu que malgré son apparence, le Bison n’en est pas un vrai. Et pouf, encore une fois ce mail de phishing terminera à la corbeille !
Il n’est pas nécessaire de vérifier les 3 points à chaque fois – un seul vous suffira à détecter l’arnaque et mettre le mail de phishing illico à la poubelle !
Mais aussi – Ne pas ouvrir les pièces ou fichiers en attachement
Alors que les mails de phishing vous encouragent à donner de vous-même vos données personnelles, mots de passe ou informations bancaires, cette technique est aussi de plus en plus utilisée pour infecter votre ordinateur. Ici, il s’agit de vous faire ouvrir un fichier en attachement, que ce soit un fichier ZIP, un document PDF ou encore un document Microsoft Office (Word, Excel, …). Dans tous les cas, fuyez à grandes enjambées et n’ouvrez rien du tout – même si votre antivirus ne signale rien. Ces fichiers sont spécialement conçus pour ne pas alerter votre antivirus – les ouvrir va provoquer l’installation d’un logiciel espion qui collectera vos données confidentielles…. Ou pire encore chiffrera tous vos fichiers et vous demandera de payer une rançon en Bitcoins !
Le spear-phishing, ou l’attaque ciblée
Il existe une variante ciblée des attaques en phishing. C’est le spear-phishing. Dans ce cas, tout est personnalisé « sur mesure » pour vous inciter à cliquer sur le lien ou ouvrir la pièce jointe.
Il peut être particulièrement ardu – même pour les personnes aguerries - de détecter une telle attaque ciblée, même si les recommandations présentées restent utilisables.
Relevez le défi !
Ah, j’allais oublier ! Un logiciel antivirus intègre très souvent un filtre antispam. C’est donc un outil qui viendra supprimer les emails de phishing car il s’agit à la base de messages non-sollicités et envoyés en masse… Un logiciel ou des fonctionnalités anti-Spam sont un premier rempart bien utile mais qui ne remplacera jamais une vigilance de votre part.
Allez, venez sur la Hack Academy et relevez le défi ! C’est Willy qui paye le jus de pomme ! J
Jean-François (aka Jeff) Audenard.
Pour aller plus loin :
Hack Academy : se protéger des vols de mots de passe
Croco secu #2 - les attaques en phishing
Une approche globale de la sécurité
Au sein de la direction sécurité du Groupe Orange, je suis en charge de la veille sécurité et de la sensibilisation à la sécurité. Franchise, optimisme et bonne-humeur sont mes moteurs quotidiens