Comment savoir si le mail que l’on reçoit est une opération d’hameçonnage / phishing ? On peut se perdre un peu dans les méthodes pour détecter un phishing ! J’en ai reçu un hier ce qui me donne l’occasion de faire un point sur le sujet (merci gentil pirate). Le rappel des bases ne fais jamais de mal 🙂
Détecter un phishing
Points à contrôler
Beaucoup de sites présentent une série de points à contrôler. J’ai trouvé par exemple cette liste :
- Erreurs de grammaire et d’orthographe. …
- Un ton peu familier. …
- Recevoir des e-mails à un moment inhabituel. …
- Pièces jointes suspectes. …
- Le destinataire n’a jamais entamé la discussion. …
- Anomalies dans les adresses de courriel, les hyperliens et les noms de domaine.
Contrôler l’hyperlien
Personnellement je trouve cette liste peu utile dans la pratique. Imaginons que les 5 premiers points soient « au vert », faut-il se fier pour autant au mail reçu ? D’autant que les erreurs orthographes sont de moins en moins courantes. Et l’utilisation de ChatGPT va forcément améliorer la qualité des envois. Pour ma part, je n’ai qu’un seul et unique critère. Et il est en dernière position de la liste ci-dessus. Je ne regarde que l’hyperlien ! Au survol du lien avec la souris, le lien apparait en clair en bas à gauche de votre navigateur (comme on le voit sur l’image). Surtout, ne cliquez pas ! À partir de là vous pouvez vérifier vers quelle source votre gentil message vous emmène…
Détecter un phishing facilement
C’est le conseil qui est donné par beaucoup de spécialistes, comme on peut le voir dans le site cybermalveillance : « Avant de cliquer sur un lien douteux, positionnez le curseur de votre souris sur ce lien (sans cliquer) ce qui affichera alors l’adresse vers laquelle il pointe réellement afin d’en vérifier la vraisemblance ou allez directement sur le site de l’organisme en question par un lien favori que vous aurez vous-même créé. »
J’avais récemment présenté un exemple d’arnaque en ligne très bien ficelé. Et j’avais écrit en 2021 un premier article sur un exemple de phishing / hameçonnage bien conçu. Le partage de ces bonnes pratiques doit être généralisé pour former le grand public et compliquer le travail des pirates.
Définition du hameçonnage / phishing
Un mot sur la définition du hameçonnage / phishing. On lit dans le site de la CNIL : « Le fraudeur se fait passer pour un organisme que vous connaissez (banque, service des impôts, CAF, etc.), en utilisant le logo et le nom de cet organisme. Il vous envoie un mail vous demandant généralement de « mettre à jour » ou de « confirmer vos informations suite à un incident technique », notamment vos coordonnées bancaires (numéro de compte, codes personnels, etc.). » Lors du Cyber Campus Summit, nous avons pu assister à une démonstration d’une opération de phishing.
Réaction si vous êtes pris au piège
Que faire si vous êtes malgré tout victime d’une opération d’hameçonnage / phishing ?
- Signalez les escroqueries auprès du site www.internet-signalement.gouv.fr
- Allez sur la plateforme cybermalveillance.gouv.fr : que vous soyez professionnel ou particulier, vous y trouverez des conseils et serez guidés pour tenter d’identifier la nature de l’incident dont vous êtes victime.
Et n’hésitez pas à consulter mes deux formations sur le sujet :
- Formation surfer anonymement sur Internet.
- Formation Sécurité informationnelle et intelligence économique.
Bonne lecture et restez couvert !
Jérôme Bondu
