Le phishing à la pêche aux données

Comment se présente le phishing ?

Appelé aussi « hameçonnage », le phishing est une pratique selon laquelle sont envoyés des mails frauduleux contenant des pièces jointes malicieuses visant à récupérer vos données personnelles. Il ne s’agit pas de n’importe quel mail : les auteurs de mails de phishing se font passer pour des grandes marques ou services (Amazon, Google, Chronopost, SFR…) susceptibles de nous concerner et dont les mails sont importants et doivent être ouverts. Sauf qu’il en est tout autre…

Une attaque via les pièces jointes

Ces mails frauduleux contiennent des pièces jointes soit disant importantes qui s’avèrent être en réalité le mode opérationnel des auteurs de phishing : un clic et vos données personnelles leur sont envoyées. Données personnelles ? Un terme bien vague ! Là où le danger rode, c’est qu’il ne s’agit pas simplement de votre nom, prénom, date de naissance…mais de données bien plus sensibles comme les codes d’accès à tel ou tel site ou pire, votre numéro de carte bancaire. On comprend mieux les termes français et anglais, ce « hameçonnage » part littéralement pêcher vos données à votre insu. Les liens dangereux sont aussi légion dans les campagnes de phishing : on vous incite à consulter, en cliquant dessus, une page web pour telle ou telle raison ; page web contenant (ou pas) un formulaire via lequel sont récupérées lesdites données personnelles.

Reconnaître une attaque de phishing

Il y a quelques années, un email de la sorte était sensiblement facile à reconnaître : impersonnel, bourré de fautes d’orthographe ou de syntaxe, envoyés directement dans les spams…mais aujourd’hui les auteurs de phishing ont malheureusement développé des systèmes plus élaborés générant des mails personnalisés et tout à fait crédibles. On vous propose quelques bonnes pratiques à adopter pour ne pas vous faire avoir :

• Faîtes attention aux mails provenant de marques célèbres : les faux mails proviennent très souvent d’Apple, Paypal et Google étant donné leur popularité. Ce ne sont bien entendu pas les seuls mais sachez qu’ils figurent parmi les 10 marques les plus falsifiées par le phishing.
• Vérifiez le domaine de la marque. Qu’est-ce donc ? Tout simplement ce qui suit le @ de l’expéditeur du mail. Les auteurs de mails peuvent intégrer le nom de la marque dans le nom de l’expéditeur mais pas après le @. Ainsi, un mail @paypal.com sera fiable tandis qu’un paypal@blabla.com risquera d’être un mail frauduleux avide de vos données personnelles.
• Checkez les fautes d’orthographe et de syntaxe : même si elles ne sont plus aussi flagrantes qu’il y a quelques années, certains mails de phishing contiennent des anglicismes ou grosses fautes d’orthographe, pas du tout professionnel n’est-ce pas ? De quoi vous mettre la puce à l’oreille.
• Contenu du mail : « cher utilisateur », « urgent » sont des tournures que l’on retrouve régulièrement dans les faux messages. Le caractère urgent est souvent mis en avant pour inciter l’usager à cliquer sur un lien ou ouvrir une pièce jointe dangereuse. Un mail à ces tournures a donc de fortes chances d’être du phishing.
• Gare aux pièces jointes : rares sont les entreprises qui envoient des pièces jointes dans leurs messages (hormis peut-être des factures en PDF, et encore). Attention donc à ne pas cliquer à tord et à travers sur une pièce jointe si vous avez le moindre doute.

Enfin, si vous n’avez pas eu le courage/temps/envie de lire l’intégralité de cette article, on ne vous en veut pas  On vous invite par contre à consulter cette petite infographie des bonnes pratiques à adopter pour ne pas se faire hameçonner (source : OSI)