Le phishing expliqué : comment repérer et éviter les e-mails frauduleux

La cyberattaque la plus courante au monde ne pirate pas les ordinateurs, mais les personnes. Le phishing vous incite à transmettre des mots de passe, des détails de carte ou de l'argent en prétendant être quelqu'un en qui vous avez confiance. Il est à l'origine d'une grande partie des violations, et la seule véritable défense est de savoir comment le repérer. Voici votre guide de terrain.

Qu'est-ce que le phishing

Le phishing est un message frauduleux (généralement un e-mail, mais aussi un SMS (« smishing ») ou un téléphone (« vishing »)) conçu pour paraître légitime afin que vous cliquiez sur un lien malveillant, ouvriez une pièce jointe ou révéliez des informations sensibles. L'attaquant se fait passer pour une banque, une entreprise de livraison, un collègue ou un service que vous utilisez.

Les drapeaux rouges

• Urgence et peur : "Votre compte sera fermé dans 24 heures !" La pression vous empêche de réfléchir.
• Salutations génériques : "Cher client" au lieu de votre nom.
• Liens incompatibles : passez la souris sur un lien et la destination réelle diffère du texte.
• Adresses d'expéditeur légèrement erronées : [email protected] au lieu de paypal.com.
• Pièces jointes inattendues ou demandes de mots de passe, de codes ou de paiement.
• Erreurs d'orthographe et de grammaire qu'une vraie entreprise ne commettrait pas.

La règle d'or : vérifiez le lien avant de cliquer

Survolez n'importe quel lien pour voir où il mène réellement (sur mobile, appuyez longuement). Les entreprises légitimes utilisent leur propre domaine. Si un e-mail « bancaire » renvoie à un domaine aléatoire ou similaire, il est faux. Vous pouvez enquêter sur l'enregistrement d'un domaine suspect avec notre recherche WHOIS et vérifier son âge avec le vérificateur d'âge de domaine : les domaines frauduleux datent souvent de plusieurs jours.

En cas de doute, allez directement

N'utilisez jamais le lien ou le numéro de téléphone dans un message suspect. Au lieu de cela, ouvrez un nouvel onglet de navigateur et saisissez vous-même l'adresse de l'entreprise, ou appelez le numéro indiqué sur votre carte ou sur son site officiel. Cette seule habitude déjoue presque toutes les tentatives de phishing.

Que faire si vous avez été attrapé

Si vous avez saisi un mot de passe, modifiez-le immédiatement (et partout où vous l'avez réutilisé : une autre raison de ne pas le faire). Activez l'l'authentification à deux facteurs, qui peut vous sauver même en cas de fuite d'un mot de passe. Signalez le message à votre fournisseur de messagerie et à l'entreprise usurpée. Des organisations comme la FTC acceptent également des rapports.

Spear phishing : quand c'est personnel

Le phishing générique détruit des millions de boîtes de réception, mais le spear phishing vous cible spécifiquement, en utilisant de véritables informations (votre nom, votre employeur, un achat récent) pour paraître légitime. Une variante dangereuse, "business email compromis", usurpe l'identité de votre patron ou d'un fournisseur pour autoriser un faux paiement. Parce qu’ils sont personnalisés, les fautes de frappe habituelles et les salutations génériques peuvent être absentes. La défense passe au processus : vérifiez les demandes inhabituelles (en particulier l'argent ou les informations d'identification) via un deuxième canal, comme un appel téléphonique vers un numéro connu, avant d'agir.

Au-delà des e-mails : smishing et vishing

Le phishing ne se limite pas au courrier électronique. Le Smishing utilise des messages texte ("votre colis est retenu - payez des frais") et le vishing utilise des appels téléphoniques (un faux "service de fraude bancaire"). La psychologie est identique : urgence et expéditeur apparemment fiable. La même règle s'applique partout : n'agissez jamais sur les coordonnées dans le message. Raccrochez et appelez le numéro indiqué sur votre carte, ou saisissez vous-même l'adresse de l'entreprise. Traitez l'urgence non sollicitée sur n'importe quel canal comme un signal d'alarme.

Comment la technologie aide – et pourquoi elle ne suffit pas

Les filtres anti-spam, les avertissements du navigateur et l'authentification des e-mails (SPF, DKIM, DMARC) détectent de nombreuses attaques de phishing avant même que vous ne les voyiez. Mais les attaquants s’adaptent constamment et un message convaincant finira par arriver dans votre boîte de réception. C'est pourquoi la couche humaine est la plus importante : un scepticisme sain, une vérification via un deuxième canal et, surtout, une authentification à deux facteurs, qui vous protège même si vous glissez et saisissez un mot de passe sur un faux site.

Résultat

Le phishing s'attaque à la confiance et à l'urgence, et non aux faiblesses techniques. Ralentissez, vérifiez les adresses des expéditeurs et les destinations des liens, n'agissez jamais sur les propres liens du message et accédez directement à la source en cas de doute. Combinez ce scepticisme avec le 2FA et les mots de passe uniques, et vous neutralisez l'attaque la plus courante sur Internet.