Phishing : ne pas se laisser piéger

23

De nombreux lecteurs de Freenews nous font souvent parvenir ce qu’on appelle des « alertes phishing ». Ce type de news, assez populaires au demeurant, ne correspond pas à notre éthique sur le site, c’est pourquoi nous avons décidé depuis assez longtemps de ne pas les relayer. Explications.


Phi-quoi ?

Le phishing est le nom donné à une forme d’escroquerie très célèbre sur le net. Elle consiste à se faire passer auprès des internautes pour une société célèbre, à laquelle il a de grandes chances d’être client (exemple : une banque, un fournisseur d’accès à internet, un service web courant comme PayPal ou eBay…), par exemple en lui envoyant un mail.

Généralement le mail prétextera une erreur de compte client, un changement quelconque… nécessitant une intervention du client. Le résultat escompté est que l’utilisateur clique alors sur un lien afin d’arriver sur un site et de remplir ses informations client (identifiant, mot de passe…).

Tout le piège se situe là : le lien intégré dans ces mails ne redirige pas réellement vers le site du prestataire, mais vers une version copiée à l’identique, appartenant à l’escroc. Lorsque vous enverrez vos informations personnelles, ce sera donc le faussaire qui les recevra… et les collectera à des fins malhonnêtes !

Pourquoi ne pas parler des campagnes de phishing ?

Nous pensons en vérité que l’important n’est pas de savoir quand une tentative de phishing est perpétrée à grande échelle (cela peut arriver à tout moment), mais plutôt de savoir automatiquement comment les reconnaître et, du même coup, s’en prémunir à tout jamais. En cela, les alertes phishing n’aident pas l’internaute, au contraire.

Relayer des alertes phishing peut avoir un effet pervers. Mal informé, un utilisateur néophyte pourra croire qu’un mail n’est pas une tentative de phishing, si ses sites habituels ne l’ont pas relayé en tant que tel. Cela peut arriver si l’escroquerie est très récente, ou bien à petite échelle, voire… ciblée ! Car on oublie souvent que le phishing peut aussi être utilisé à toute petite échelle contre une personne ou un groupe de personnes en particulier, afin d’obtenir leurs identifiants Free, MSN, PayPal, etc.

En résumé les alertes phishing, au lieu d’apprendre aux internautes à reconnaître eux-mêmes les tentatives d’escroquerie, ne font que les conditionner et les rendent finalement vulnérables à toutes les tentatives qui échapperaient à la vigilance des sites.

A l’image de la célèbre maxime de Confucius, quand un homme a faim, mieux vaut lui apprendre à pêcher que de lui donner un poisson… nous pensons qu’il vaut mieux aider les utilisateurs à comprendre ce qu’est le phishing, pour qu’ils soient définitivement immunisés contre cette forme d’escroquerie !

Comment se protéger des tentatives de phishing ?

Bien que ce type de mail soit régulièrement repérable à des kilomètres (orthographe et grammaire chaotiques, formulations maladroites, prétextes abracadabrantesques…), ce n’est pas une vérité générale et certaines tentatives de phishing peuvent être remarquablement bien rédigées. De même, il est très simple de prendre l’apparence d’une entreprise connue, y compris dans le champ « Expéditeur » du mail ; vous ne devez pas vous y fier.

Bien souvent, les tentatives de phishing sont envoyées en masse à un maximum d’adresses mail. Ainsi, vous pourrez recevoir des mails provenant soi-disant de PayPal ou d’Orange, alors que vous ne disposez d’aucun compte chez ces entreprises… cela ne laisse aucun doute quand à l’origine frauduleuse du courrier !

Le meilleur moyen de se protéger contre toute tentative de phishing est d’ignorer, purement et simplement, tout mail vous demandant de vous connecter à tel site pour changer telle ou telle chose. Si votre banque a vraiment besoin d’informations de votre part, elle vous contactera très probablement par courrier postal ou par téléphone – pas par mail. Idem pour la grande majorité des sociétés dont vous êtes client. De toute façon, avoir besoin de changer des informations de toute urgence, et ce via le web, est une situation tout à fait improbable car très peu de services peuvent rompre votre contrat sous ce prétexte.

D’une manière générale, lorsque vous voulez vous connecter à votre interface Free, tapez vous-mêmes dans la barre d’adresse www.free.fr, ne cliquez pas sur les liens. La même règle est valable pour tout autre site. Cela vous évitera de tomber sur des sites contrefaits, absolument impossibles à différencier des véritables sites si ce n’est de par leur adresse (exemple : un lien pointant vers security.free.fr au lieu de www.free.fr sera à coup sûr une tentative de phishing !).

Il arrive aussi que le mail vous demande de répondre directement en fournissant certaines données confidentielles, prétextant par exemple une défaillance technique. Il va de soi qu’aucune société ne vous demandera jamais de communiquer de la sorte votre mot de passe, votre numéro de carte bleue, etc.

Le maître-mot est : prudence ! N’importe qui peut se faire passer pour n’importe qui sur le net, et abuser de la crédulité d’utilisateurs peu avertis. Mais en suivant ces quelques règles de base, vous devriez être à l’abri de toute tentative de récupération de vos données. N’hésitez pas à faire suivre ce mini-guide à vos contacts néophytes, ou à faire vous-mêmes preuve de pédagogie à ce sujet envers vos connaissances.

Partager

A propos de l'auteur

[Responsable de la rédaction]
Sévit également sur Café Gaming et Point de vue social.

23 commentaires

  1. elange a écrit :
    Donne un poisson à un homme tu le nourrira une journée, apprend lui à pécher tu le nourrira toute ca vie. -- Confucius
    Il y avait déjà du phishing temps de Confucius?! Je me demande à quelle vitesse ils téléchargeaient à cette époque...

  2. Le tout dernier que j'ai recu est comique t j'ai faillit me faire prendre : Un premier mail arrive, de la part de free signalant que si on recoit un mail parlant de double transaction il ne faut pas y répondre et les prévenir via le lien inclus (Objet : Free - Si vous recevez un mail ) Et quelques heures plus tard, un mail annoncant une erreur dans une erreur de transaction ( objet : Urgence ) invite à cliquer … Bref le lambda se dit : tiens j'ai recu un mail m'avertissant d'une campagne de phising, je vais aller cliquer sur le lien qu'ils m'ont indiqués pour les prévenir comme demandé. Et franchement … Même moi sur le coup je me suis fait avoir. En faite j'ai vu les 2 mails en même temps. En premier j'ai lu le mail "Urgence" ca j'ai tout de suite vu que c'etait du phising. Et ensuite j'ai vu le mail "Free - Si vous recevez un email" et la je me suis dit: tien free a prit les devant comme c'est le cas parfois et donc j'ai cliqué. Heureusement que mon navigateur detecte les sites de phising (Safari ) Bravo aux pirates … :-(

  3. Là où il faut le plus se méfier c'est des tentatives de phishing ciblées. Une de vos connaissances malhonnêtes peut parfaitement et en quelques secondes monter une réplique du site de Free ou encore d'un site Live ID pour récupérer vos identifiants Free ou MSN. Hébergé sur un espace perso Free, aussitôt mis en ligne et aussitôt retiré ; ni vu ni connu ! Il pourra vous envoyer lui-même le lien par mail ou messagerie instantanée. De nombreux amis se sont laissés prendre à ce sujet en se faisant "piquer" leurs identifiants MSN. Il faut dire qu'on trouve maintenant à disposition des "kits" d'usurpation de sites Live ID tout prêts, que même un apprenti pirate de 15 ans peut mettre en place sans souci ! Certes, c'est largement moins grave que de se faire pirater un compte bancaire (quoique, dans le cas d'un compte Free, c'est déjà très "craignos"). Mais c'est aussi bien plus simple de se faire prendre, pour un néophyte. De plus, contre ces méthodes, toutes les protections "anti-phishing" modernes sont inopérantes : il ne s'agit pas d'une escroquerie à grande échelle donc elle n'est relayée nulle part, le site est mis en ligne et aussitôt retiré donc aucun anti-phishing intégré aux navigateurs ne le prendra en compte... etc. etc. Selon moi on néglige beaucoup trop ce type d'attaque. C'est pour ces raisons qu'il est indispensable, au lieu de relayer des "alertes phishing", d'apprendre à chacun à reconnaître une bonne fois pour toutes ce qu'est le phishing. :)

  4. Security.free.fr serait un sous-domaine de free.fr. Les "phisheurs" auraient donc détourné leur gestionnaire de domaine. A ce moment-là, ils prendraient www.free.fr. En quelques minutes, ils disposeraient d'assez d'identifiants. Un autre nom de domaine, généralement très proche (exemple www.freee.fr) ou une adresse ip directe (cela devient plus rare) est ce que je constate généralement.

  5. titus34 a écrit :
    Security.free.fr serait un sous-domaine de free.fr. Les "phisheurs" auraient donc détourné leur gestionnaire de domaine. A ce moment-là, ils prendraient www.free.fr. En quelques minutes, ils disposeraient d'assez d'identifiants.
    xxx.free.fr est très simple à obtenir : c'est l'adresse d'une page perso proposée par Free ! Nul besoin de détourner quoi que ce soit.

  6. Très bonne news de rappeler les élémentaires manières de réagir face à une demande par courriel émamant de sociétés internet connues. C'est aussi vrai pour des comptes World of Warcraft, Microsoft, etc. Il faut aussi vérifier en promenant le cuseur de la souris sur une URL citée dans le courriel (par exemple www.free.admin.fr/) voir ce qui s'affiche en générale au bas de la fenêtre IE ou Firefox et qui est très différente (par exemple genios.comxa.com/Free.fr/). Je cite un exemple réel qui est arrivé dans ma boîte de réception le 19/05/2009. C'est également une bonne façon de distinguer le vrai du faux.

  7. Nouvelle tentative mais cette fois, ils ont changé l'objet : erreur de prélèvement ----- Original Message ----- From: Free ADSL: INTERNET ([email protected]) To: Sent: Wednesday, October 14, 2009 5:43 PM Subject: Erreur de prélèvement. Services d'assistance par mail Une défaillance technique au niveau de l'un de nos logiciels gérant les comptes clients Free box à causer malencontreusement L'impute la somme 180,98 euro, sur votre compte. En vue du remboursement de cette somme prélevée par erreur sur votre compte, et dans les plus brefs délais, nous vous prions de vous connecter sur le lien qui apparaît en dessous de ce message. Cliquez sur ce lien pour acceder a votre fiche special remboursement. Nous vous remercions de votre compréhension et nous nous excusons pour le désagrément encouru. Cordialement, Département de revue de compte Free

  8. ATTENTION NOUVEAU phishing Mail que je viens de recevoir Pour nos Clients FREE-FREEBOX, Email ID : Dans nos mesures de sécurité, le 13 Octobre 2009 notre société free a mis en place le systeme anti-fraudes, en vue de maintenir un environnement sain et sauf pour notre communauté de clients . L'analyse récente a repérer 16.7% de comptes frauduleux sur notre base de données. Conformément l'Accord d'utilisation de Free et d'assurer que votre compte n'a pas été compromis ou détourné par un tiers, votre compte est temporairement inactif ! Pour nous aider a remédier ce probléme : Cliquez ici pour mettre a jour votre compte ! ______________________________________________________________________________________________ Référence mail : 005P7777 FREE.FR

  9. Réagir sur le forum