LE PHISHING, PÊCHE AUX POISSONS NAÏFS

Transcription

1 LE GUIDE

2 LE PHISHING, PÊCHE AUX POISSONS NAÏFS Phishing. Technique de fraude associant l envoi d un courrier électronique non sollicité (spam) et la mise en place d un site Web illégal. Accessible au travers d un lien dans le message électronique, ce site leurre imite l apparence du site Web d un organisme légitime (banque, site d enchères, mais aussi association caritative), et invite l internaute à y saisir ses coordonnées bancaires. Les pirates peuvent ensuite détourner le compte de la victime. Le terme phishing est la contraction de fish (poisson) et de phreaking (piratage des systèmes de téléphonie). LES PIRATES AMORCENT AVEC UN APPÂT Dans votre boîte aux lettres électronique, un message de votre banque vous annonce un incident sur votre compte bancaire. Le message poursuit en vous demandant d aller immédiatement vérifier l opération douteuse. Pour vous faciliter la vie, un lien se propose même de vous conduire vers la page d accès direct à vos comptes. Un peu affolé, vous cliquez sur le lien. La page d accès à vos comptes s ouvre normalement. En confiance, vous saisissez votre numéro de compte et votre code secret. Bizarrement, une erreur de connexion s affiche alors et vous revenez à la page d accueil. 33

3 Sans le savoir vous venez de donner votre numéro de compte et votre code secret à un escroc qui va s empresser d assécher votre compte. Vous avez été la victime d une arnaque de type phishing. Que s est-il passé? Bien évidement, le message reçu ne provenait pas de la banque, il s agissait d un spam (pourriel comme le disent si joliment nos amis québécois) envoyé à des dizaines de milliers d exemplaires afin de pêcher un poisson naïf. En effet, la page d accueil du site de la banque est reprise à l identique sur une page leurre des pirates. Ce qui signifie que s il vous venait à l idée de cliquer sur les liens ou les menus de cette fausse page, vous seriez instantanément renvoyé sur les pages adéquates de la banque. En pratique, seuls les formulaires de saisie des numéros de compte et de code secret sont piégés. Ce courrier électronique non sollicité possède toutes les caractéristiques d une arnaque par phishing. En premier lieu, il est adressé à l intitulé de la boîte aux lettres, et non à une personne nommément désignée. De plus, si les liens Policy et Security, situés en bas du message, pointent bien vers le site de la banque, le lien Click Here pointe visiblement vers un serveur qui n est pas aussi clairement identifié. L arnaque est au point. Excepté qu une banque ne demande jamais de telles vérifications par messagerie électronique, pas plus qu elle ne demande de saisir le code secret d une carte bancaire dans le but d une soi-disant vérification. Les pirates spécialisés dans le phishing opèrent principalement dans l extorsion de codes secrets de cartes de crédit et de numéros de comptes bancaires. Toutefois, l actualité vient parfois à point nommé pour leur permettre de décliner leur escroquerie. Ainsi, des donateurs crédules ont été lésés après le tsunami d Asie du Sud-Est. 34

4 Quelques jours après la catastrophe, des courriers électroniques imitant parfaitement ceux d ONG et d associations caritatives faisaient appel à la générosité. Ils menaient tout droit vers des sites eux aussi contrefaits, dont le seul objectif était de soutirer informations personnelles et bancaires des donateurs crédules. D autres arnaques visent à extorquer un code d accès pour un site d enchères (ebay par exemple) dans le seul but d usurper l identité de vendeurs bien notés, à qui il est donc légitime de faire confiance. L escroc vend alors des produits fantômes tout en bénéficiant du crédit confiance de la victime du phishing. COMMENT ÉVITER LES PIÈGES DU PHISHING? Répétons-le, le phishing est une pêche au naïf. Pour s en prémunir, il convient donc d agir avec bon sens et de : ne jamais cliquer directement sur les liens des courriers électroniques non sollicités (spam) ; ne jamais donner son numéro de compte bancaire, ni son code secret sur un site, dont l affichage a été obtenu à partir d un lien d un message électronique, même si le site semble habituel ; saisir directement l adresse à partir de votre navigateur Web ou cliquez sur un lien sûr mis en favoris ; ne jamais faire confiance aux formulaires qui s affichent comme des publicités de type pop-up (dans une fenêtre qui s ouvre par-dessus celle du navigateur) lorsque vous naviguez sur le Web ; installer la dernière version de Windows XP. Baptisée SP2, cette mise à jour est gratuite pour tout possesseur d une licence de Windows XP ; ne jamais donner son code secret de carte bancaire sur un site, quel qu il soit. 35

5 COMMENT DÉTECTER UNE TENTATIVE DE PHISHING? Les courriers électroniques d arnaque sont issus, dans la plupart des cas, de pays étrangers. En conséquence, vérifiez l orthographe et la grammaire du courrier non sollicité : un nombre inhabituel et suspect de fautes grossières doit vous alerter. Vous n êtes pas client de la banque ou de l organisme financier qui vous sollicite pour un incident bancaire ou une vérification? Détruisez immédiatement le message. Mieux encore, créez une règle pour que tout courrier envoyé par cet expéditeur soit, à l avenir, systématiquement supprimé (voir le chapitre sur les courriers indésirables). Lorsque le site de votre banque ne répond pas comme à l habitude, abstenezvous. En effet, les sites de commerce électronique, comme ceux des banques, des organismes financiers ou de Bourse en ligne sont sécurisés. Si le navigateur affiche une boîte de dialogue inhabituelle, indiquant «Cette page contient des éléments sécurisés et non sécurisés.» «Souhaitez-vous afficher les éléments non sécurisés?», choisissez de n afficher que le contenu sécurisé. Vérifiez que le site est bien celui qu il prétend être grâce à la présence d un cadenas jaune en bas à droite de la fenêtre de votre navigateur : ce symbole signifie que votre connexion au site (et donc les échanges d informations que vous faites avec lui) est cryptée, donc sécurisée. La présence d un cadenas jaune en bas de la fenêtre de votre navigateur Internet indique que la connexion est sécurisée. Il existe des barres d outils pour le navigateur Microsoft Internet Explorer (disponibles auprès de Netcraft ou Core Street, par exemple) qui protègent du phishing. Elles se révèlent particulièrement efficaces pour le phishing par pop-up (une fenêtre qui s ouvre au-dessus de celle du navigateur), que les versions d Internet Explorer antérieures à celle livrée avec Microsoft Windows XP SP2 ne savaient pas détecter. Lorsque vous surfez sur le Web, de nombreuses fenêtres commerciales de type pop-up s affichent en effet. Dans leur grande majorité, il s agit de simples publicités, mais des pirates peuvent parfois se cacher derrière un banal formulaire. 36

6 La plupart des navigateurs ont une option de blocage des pop-up ; des logiciels spécialisés, en freeware ou en shareware, existent également. Microsoft Windows XP SP2 propose un bloqueur de fenêtres publicitaires intempestives. Pour l activer, il suffit d aller dans le Panneau de configuration et de cliquer sur l icône Options Internet. Dans l onglet Confidentialité de la fenêtre Propriétés de Internet, cochez la case Bloquer les fenêtres publicitaires intempestives. Il sera toujours temps ensuite, sur certains sites sûrs, de les réactiver, temporairement ou en permanence. Pour minimiser le risque de phishing par pop-up, modifiez les paramètres de confidentialité de Microsoft Windows XP SP2. Si vous ne disposez pas de cette version, mettez votre système d exploitation à jour grâce à Windows Update. BANQUE À DISTANCE ET PAIEMENT EN LIGNE Les opérations ou transactions financières réalisées à distance sur Internet sont aménées à connaître une croissance exponentielle dans les prochaines années. Il est d ores et déjà possible de payer ses factures en ligne (France Télécom, EDF-GDF, impôts ), de faire ses emplettes sur le Net, de consulter ses comptes bancaires ou encore de jouer en Bourse. Pour éviter tout problème, il convient de rester très attentif à la sécurité, avant et pendant ces opérations. Voici quelques conseils pour diminuer l exposition aux risques. 37

7 La banque à distance Le code d accès à vos comptes bancaires sur Internet est strictement personnel : ne le divulguez à personne, même à une personne se présentant comme faisant partie de votre banque. Si c est possible, changez ce code d accès dès la réception de celui qui vous est attribué par défaut à la souscription au service, et modifiez-le régulièrement par la suite. Le code doit être difficile à indentifier : évitez donc les dates de naissance, le nom du chien ou le surnom des enfants Choisissez de préférence un code alphanumérique, contenant à la fois des lettres et des chiffres, et évitez les codes que vous utilisez déjà pour d autres services en ligne. Si vous êtes amené à saisir votre code sur un autre ordinateur que le vôtre, assurez-vous que personne ne vous observe, et modifiez-le sans attendre si vous croyez que quelqu un a pu le découvrir, par exemple lors d une connexion sur un ordinateur partagé, dans un lieu public ou un cybercafé par exemple. Ne mémorisez pas ces codes d accès dans l ordinateur, même s il vous le propose : cela permettrait à un utilisateur passant après vous d usurper votre identité et d effectuer des opérations à votre place. Utilisez le bouton de déconnexion du site de la banque dès que vous avez terminé. Si vous avez téléchargé et supprimé des documents, n oubliez pas d effacer le contenu de la Corbeille de Windows. Si vous utilisez un ordinateur partagé avec d autres personnes, effacez l historique après chaque connexion. Enfin, si elle est affichée, vérifiez que la date de votre dernière connexion au service correspond bien à votre dernière visite. Le paiement en ligne Assurez-vous, avant de saisir les informations relatives à votre carte bancaire, que le site est bien sécurisé : un cadenas apparaît généralement en bas de l écran à droite. En cas de doute, mieux vaut passer votre commande par un autre moyen. D un seul clic, vous devez pouvoir accéder aux coordonnées du commerçant : nom, adresse, téléphone, service clients sur Internet comme dans le monde réel, la réputation d un commerçant peut devenir un critère de choix. N adressez jamais les caractéristiques de votre carte bancaire par courrier électronique, et encore moins le code confidentiel permettant d accéder à votre service de banque à distance : vous risqueriez de les voir tomber entre des mains pas forcément bien intentionnées. 38