Cet article indique ce qu'est le phishing. Il contient des informations pour identifier les manœuvres de phishing et donne des conseils pratiques en matière de protection contre les escroqueries en ligne. Il explique par ailleurs en quoi Microsoft Office system 2007 vous permet de vous protéger contre les manœuvres de phishing.
Contenu de cet article
Définition du phishing
Le phishing est une technique de fraude en ligne visant à vous soutirer des informations personnelles.
Il existe de nombreuses tactiques pour vous tromper, dont les messages électroniques et les sites Web prétendant faussement représenter des marques légitimes connues. Une pratique de phishing courante consiste à utiliser des messages ayant la même apparence que ceux envoyés par une société ou un site Web connu (banque, société de crédit, œuvre caritative ou site de commerce en ligne). Le but de ces messages trompeurs est de vous inciter à divulguer des informations personnelles (informations d'identification personnelle : toute information qui peut être utilisée pour identifier une personne, par exemple son nom, son adresse postale, son adresse électronique, son code gouvernement et son adresse IP ou tout identificateur unique associé à ces informations dans un autre programme.) telles que :
Ces informations sont utilisées de diverses manières dans un but frauduleux. Il est notamment pratique courante d'usurper une identité grâce à laquelle le voleur peut se faire passer pour vous en vue d'effectuer les opérations suivantes :
- Solliciter et obtenir un crédit.
- Vider votre compte bancaire et utiliser les réserves disponibles de vos cartes de crédit.
- Transférer de l'argent de vos comptes de placement ou de crédit sur votre compte chèques, puis utiliser une copie de votre carte de crédit pour retirer du liquide dans un distributeur de billets, dans le monde entier.
Pour obtenir des conseils et vous protéger contre la fraude sur Internet, reportez-vous à la section Comment se protéger efficacement contre la fraude sur Internet plus loin dans cet article.
Haut de la page
Exemples et caractéristiques des techniques de phishing
Voici quelques exemples de techniques de phishing :
- Messages électroniques fictifs Le message semble provenir d'une société avec laquelle vous traitez. Il indique que la société doit vérifier vos informations bancaires et que votre compte sera suspendu si vous ne renvoyez pas ces informations.
- Combinaison de fraude aux enchères et de sites de dépôt fictifs Cas d'articles mis en vente sur un site d'enchères habilité pour vous inciter à payer sur un site de dépôt fictif.
- Transactions commerciales en ligne fictives Un criminel vous propose de vous acheter un article. Il vous propose de payer davantage que le prix annoncé et que vous lui remboursiez ensuite la différence par chèque. Le paiement qui vous est destiné n'arrive jamais, mais votre chèque est encaissé et le voleur conserve la différence. Le chèque que vous avez envoyé comporte en outre votre numéro de compte bancaire, votre code de transfert bancaire et votre numéro de téléphone, que le criminel peut continuer d'utiliser pour dérober votre argent.
- Oeuvres caritatives fictives Ce type de technique de phishing consiste à se faire passer pour une œuvre caritative et à demander des dons. Votre générosité est malheureusement la cible de gens mal intentionnés.
- Sites Web fictifs Les sites Web peuvent avoir l'apparence de sites légitimes. Lorsque vous les visitez par inadvertance, ces sites peuvent télécharger automatiquement des logiciels malveillants comme des virus (virus : programme informatique ou macro qui « infecte » des fichiers informatiques en y insérant des copies de lui-même. Lorsque le fichier infecté est chargé en mémoire, le virus peut infecter d'autres fichiers. Les virus ont souvent des effets secondaires néfastes.) ou des logiciels espion. Les logiciels espion peuvent ensuite enregistrer les touches que vous utilisez pour vous connecter à vos comptes personnels en ligne. Ces informations sont renvoyées à l'auteur du phishing. Vous pouvez vous protéger contre ce type d'attaque spécifique en téléchargeant et en installant un logiciel anti-espion comme le logiciel anti-espion de Microsoft.
Il existe de nombreuses autres techniques de phishing. Pour obtenir un rapport actualisé sur ces techniques malveillantes détectées par les autorités compétentes, visitez le site Web du Anti-Phishing Working Group (APWG).
Caractéristiques générales des techniques de phishing
Malheureusement, dans la mesure où les attaques par phishing sont de plus en plus sophistiquées, il est très difficile pour une personne non expérimentée de savoir si un message électronique ou un site Web est frauduleux. Les techniques de phishing sont aussi nombreuses qu'efficaces. Ainsi, de nombreux messages électroniques et sites Web incluent des liens vers des logos de marques connues semblant dès lors les légitimiser. Voici quelques conseils pour vous protéger :
- Demandes d'informations personnelles par courrier électronique La plupart des sociétés légitimes ne vous demandent pas d'informations personnelles par courrier électronique. Soyez très vigilant si vous recevez un message vous demandant des informations personnelles, même s'il a l'air légitime.
- Formulation urgente La formulation des messages électroniques de phishing est généralement polie et agréable. Elle tente presque toujours de vous faire répondre au message ou de cliquer sur le lien inclus dans le message. Pour augmenter le nombre de réponses, l'auteur tente de lui conférer un caractère urgent afin que vous répondiez rapidement, sans trop réfléchir. Généralement, les messages électroniques usurpant une identité ne sont pas personnalisés, alors que ceux provenant de votre banque ou société de commerce en ligne le sont. Voici un exemple de technique de phishing réelle :
Cher membre, Nous venons d'être informés que vos informations bancaires doivent être mises à jour en raison d'un manque d'activité, des risques de fraude ou d'usurpation d'identité. En l'absence de réponse de votre part, nous nous verrions dans l'obligation de supprimer votre compte. Suivez le lien ci-dessous pour confirmer vos données.
- Pièces jointes De nombreuses techniques de phishing consistent à vous demander d'ouvrir des pièces jointes, qui peuvent infecter votre ordinateur avec un virus (virus : programme informatique ou macro qui « infecte » des fichiers informatiques en y insérant des copies de lui-même. Lorsque le fichier infecté est chargé en mémoire, le virus peut infecter d'autres fichiers. Les virus ont souvent des effets secondaires néfastes.) ou un logiciel espion. Si un logiciel espion est téléchargé sur votre ordinateur, il peut enregistrer les touches que vous utilisez pour vous connecter à vos comptes personnels en ligne. Enregistrez les pièces jointes, puis analysez-les avec un programme antivirus à jour avant de les ouvrir. Pour vous aider à protéger votre ordinateur, Outlook bloque automatiquement certains types de fichiers joints susceptibles de contaminer l'ordinateur. Si Outlook détecte un message suspect, les pièces jointes de tout type sont bloquées. Pour plus d'informations, voir Protection de Microsoft Outlook contre les virus, les courriers indésirables et le phishing.
- Liens fictifs Les auteurs de messages de phishing sont habiles à créer des liens trompeurs et une personne inexpérimentée n'a aucun moyen de savoir si ces liens sont légitimes. Il est vivement recommandé de taper l'adresse Web ou l'URL (adresse URL (Uniform Resource Locator) : adresse qui spécifie un protocole (tel que HTTP ou FTP) et l'emplacement d'un objet, d'un document, d'une page World Wide Web ou d'une autre destination sur Internet ou un intranet, par exemple : http://www.microsoft.com/.) dont vous êtes sûr dans le navigateur. Vous pouvez également enregistrer les URL vérifiées dans les Favoris de votre navigateur. Évitez de copier et coller des URL provenant de messages dans votre navigateur. Voici quelques-unes des techniques utilisées par les criminels pour créer des liens :
- Masques de lien Même si le lien sur lequel vous êtes incité à cliquer peut contenir, en partie ou en totalité, le nom d'une société réelle, le lien peut être « masqué ». En d'autres termes, le lien affiché ne vous mène pas vers cette adresse, mais vers une adresse quelque peu différente, généralement un site Web usurpant une identité. Notez, dans cet exemple, que si vous positionnez le pointeur sur le lien dans un message Outlook, une autre adresse Internet s'affiche dans le champ sur fond jaune. Ceci doit suffire à vous alerter. N'oubliez pas que même le lien dans le champ sur fond jaune peut être imité pour ressembler à une adresse Web légitime.
De même, soyez vigilants avec les URL qui comportent le signe @. Dans l'exemple https://www.woodgrovebank.com@nl.tv/secure_verification.aspx, l'URL vous mène à l'emplacement spécifié après le signe @ et non à la Wood Grove Bank. Ceci s'explique par le fait que les navigateurs ignorent tout ce qui précède le signe @ dans les URL.
L'emplacement réel, nl.tv/secure_verification.aspx, peut tout à fait être un site à risque.
-
Homographes Un homographe est un mot écrit avec la même orthographe qu'un autre mot, mais avec une signification différente. En matière d'informatique, une attaque par homographe est une adresse Web qui ressemble à une adresse familière, mais qui est en fait modifiée. L'objectif des liens Web factices utilisés par les techniques de phishing est de vous inciter à cliquer sur le lien. Par exemple, www.microsoft.com peut apparaître sous la forme :
www.micosoft.com
www.mircosoft.com
Dans les attaques par homographe plus élaborées, l'adresse Web ressemble parfaitement à celle d'un site Web légitime. Cela se produit lorsque le nom de domaine (nom de domaine : adresse d'un emplacement réseau qui identifie son propriétaire en respectant ce format spécifique : serveur.organisation.type. Par exemple, www.whitehouse.gov identifie le serveur Web de la Maison Blanche, qui fait partie du gouvernement des États-Unis.) a été créé à l'aide de caractères alphabétiques d'autres langues. Ainsi, l'adresse Web ci-après semble tout à fait légitime, alors que le « i » est en fait un caractère cyrillique de l'alphabet russe :
www.microsoft.com
Les auteurs de phishing usurpent les noms de domaine de banques et d'autres sociétés afin de faire croire aux clients qu'ils visitent un site Web familier. Des logiciels spéciaux sont nécessaires pour détecter ces types de noms de domaine factices. Reportez-vous à la section qui suit pour en savoir plus sur la manière dont Office version 2007 vous protège contre les liens qui tentent de vous conduire vers des sites Web suspects.
Haut de la page
Protection de Microsoft Office contre le phishing et les attaques par homographes
Liens suspects dans des documents
Par défaut, Office version 2007 affiche des alertes de sécurité dans les situations suivantes :
- Vous avez un document ouvert et vous cliquez sur un lien vers un site Web dont l'adresse peut correspondre à un nom de domaine factice.
- Vous ouvrez un fichier à partir d'un site Web dont l'adresse peut correspondre à un nom de domaine factice.
L'alerte ci-dessous s'affiche lorsque vous cliquez sur un lien vers un site Web qui utilise un nom de domaine qui peut être factice.
Vous pouvez alors choisir de poursuivre ou non la visite du site Web. En l'occurrence, il est recommandé de cliquer sur Non. Cette fonctionnalité vise à vous protéger contre les attaques par homographes. Pour plus d'informations, voir Activer ou désactiver les avertissements relatifs à des liens ou des fichiers provenant de sites Web suspects.
Liens suspects dans des messages électroniques
Par défaut, Microsoft Office Outlook 2007 procède comme suit lorsqu'il détecte un message suspect :
- Si le filtre de courrier indésirable considère un message non comme un courrier indésirable mais comme un cas de phishing, le message reste dans la Boîte de réception mais les liens qu'il contient sont désactivés, de même que les fonctions Répondre et Répondre à tous.
- Si le filtre de courrier indésirable considère que le message est à la fois un courrier indésirable et un cas de phishing, le message est automatiquement envoyé dans le dossier Courrier indésirable. Les messages envoyés dans le dossier Courrier indésirable sont convertis au format texte brut et tous les liens sont désactivés. Les fonctions Répondre et Répondre à tous sont également désactivées. La barre d'informations vous avertit de ce changement de fonctionnalité.
Si vous cliquez sur un lien qui a été désactivé dans un message de phishing, la boîte de dialogue Sécurité Outlook représentée ci-dessous s'affiche.
Si vous souhaitez continuer à être averti des risques de sécurité potentiels, cliquez sur OK, sinon cochez la case Ne plus afficher cette boîte de dialogue.
Pour plus d'informations, voir Activer ou désactiver les liens et les fonctionnalités dans les messages de phishing.
Haut de la page
Comment se protéger efficacement contre la fraude sur Internet
- Ne répondez jamais à des messages électroniques qui vous demandent des informations personnelles Méfiez-vous des messages électroniques provenant d'une société ou d'une personne et qui vous demandent vos informations personnelles, ou des messages qui envoient vos informations personnelles et vous demandent de les mettre à jour ou de les confirmer. Contactez plutôt la société à l'aide du numéro de téléphone que vous pouvez trouver sur l'un de vos relevés. N'appelez pas un numéro figurant dans le message électronique. De même, ne proposez jamais spontanément des informations personnelles à des personnes inconnues qui vous contactent.
- Ne cliquez sur aucun lien contenu dans un message électronique suspect Il est fort probable que ce lien est un lien à risque. Visitez les sites Web en tapant directement l'URL dans le navigateur ou en utilisant le lien enregistré dans vos Favoris. Ne copiez pas dans votre navigateur de liens inclus dans des messages.
- N'envoyez pas d'informations personnelles dans des messages électroniques classiques Les messages électroniques classiques ne sont pas chiffrés et équivalent à envoyer une carte postale. Si vous devez effectuer des transactions personnelles via courrier électronique, utilisez Outlook pour signer électroniquement vos messages et les chiffrer à l'aide de la sécurité S/MIME. MSN, Microsoft Hotmail, Microsoft Outlook Express, Microsoft Office Outlook Web Access, Lotus Notes, Netscape et Eudora prennent tous en charge la sécurité S/MIME.
- Ne traitez qu'avec les sociétés que vous connaissez et dont vous êtes sûrs Ne traitez qu'avec des sociétés connues et réputées pour la qualité de leur service. Tout site Web commercial doit toujours disposer d'une déclaration de confidentialité qui stipule clairement que la société ne communiquera pas votre nom et vos informations personnelles à d'autres personnes.
- Assurez-vous que le site Web utilise le chiffrement L'adresse Web doit être précédée de https:// et non de l'habituel http:// dans la barre Adresse du navigateur. De même, double-cliquez sur l'icône de verrou
dans la barre d'état de votre navigateur pour afficher le certificat numérique du site. Le nom qui suit Délivré à dans le certificat doit correspondre au site que vous pensez visiter. Si vous avez le moindre doute quant à la légitimité du site Web, quittez-le immédiatement et signalez-le. Ne suivez aucune des instructions affichées.
- Protégez votre ordinateur Il est crucial d'utiliser un pare-feu, de maintenir votre ordinateur à jour et d'utiliser un logiciel antivirus, en particulier si vous vous connectez à Internet via un modem classique câblé ou un modem ADSL. Pour plus d'informations, consultez la section Protéger votre ordinateur. Pour plus d'informations sur la protection contre les virus, voir Comment se protéger efficacement contre les virus et Comment se protéger contre les messages indésirables. Il est en outre recommandé d'utiliser un logiciel anti-espion. Vous pouvez télécharger le logiciel anti-espion de Microsoft ou utiliser un produit tiers disponible sur le site de téléchargements de logiciels de sécurité et de versions d'évaluation.
- Suivez vos transactions Vérifiez les confirmations de vos commandes ainsi que vos relevés de banque dès que vous les recevez afin de vous assurer que les montants prélevés correspondent bien aux montants des commandes. Signalez immédiatement toute irrégularité détectée sur vos comptes en téléphonant au numéro indiqué sur vos relevés. L'utilisation d'une seule carte de crédit pour les transactions sur Internet facilite le suivi des transactions.
- Utilisez des cartes de crédit pour les transactions sur Internet Dans la plupart des pays, la responsabilité personnelle en cas d'utilisation frauduleuse de votre carte de crédit est considérablement limitée. Au contraire, si vous utilisez un débit direct sur votre compte bancaire ou une carte de débit, votre responsabilité personnelle correspond fréquemment au solde total de votre compte bancaire. De plus, une carte de crédit avec une limite de crédit réduite est préférable pour une utilisation sur Internet car cela limite les sommes d'argent qu'un voleur peut dérober en cas d'utilisation frauduleuse. Mieux encore, les cartes de crédit les plus connues offrent aux clients la possibilité d'effectuer des achats en ligne avec des numéros de carte de crédit virtuels à usage unique, expirant au bout d'un mois ou deux. Si ce service est disponible dans votre pays, votre banque peut vous fournir les informations nécessaires sur ces numéros de carte de crédit virtuels à durée limitée.
Si vous désirez des conseils supplémentaires sur les achats et la banque en ligne sécurisés, visitez le site Web Fraude en ligne.
Haut de la page
Signaler une fraude en ligne ou un vol d'identité
Si vous pensez avoir reçu un message électronique frauduleux, vous pouvez le signaler en joignant le message suspect. Signaler les messages suspects aux autorités compétentes contribue à lutter contre les manœuvres de phishing.
- Dans Outlook, sélectionnez (sans l'ouvrir) le message suspect à signaler.
- Dans le menu Actions, cliquez sur Transférer en tant que pièce jointe ou appuyez sur les touches Ctrl+Alt+F.
- Dans la ligne À, tapez l'adresse électronique de la société à laquelle vous signalez le message de phishing. Vous pouvez signaler tout courrier suspect aux adresses suivantes :
- Cliquez sur Envoyer.
Haut de la page
France
Version pour impression
Afficher tout
Masquer tout
