Phishing : ne mordez pas à l'hameçon

Le phishing est une forme de cybercriminalité dans laquelle la victime (potentielle) est approchée par e-mail, sms, messagerie instantanée, médias sociaux ou téléphone. L’escroc se fait passer pour quelqu’un d’autre. Il peut s’agir de votre banque, fournisseur d’énergie ou d’une société de technologie, mais aussi d’un ami ou d’un membre de la famille.

Le but est de "pêcher" ("phishing" en anglais) des données sensibles, comme des informations personnelles, des mots de passe, des données de carte bancaire ou de crédit. Une fois qu’il s’est emparé de ces données, l’escroc a les coudées franches : il peut par exemple accéder aux principaux comptes de la victime et ainsi dérober son argent ou usurper son identité.

Veuillez modifier les paramètres des cookies afin de voir cette video. Acceptez "Cookies de ciblage publicitaire". CLIQUEZ ICI

Différentes formes

Différents moyens sont mis en œuvre pour obtenir ces informations. Les e-mails sont encore et toujours les plus utilisés, mais il y en a d’autres. Il n'est pas rare que les escrocs réagissent à l'actualité, comme la crise du coronavirus.

Phishing via e-mail

Il existe plusieurs variantes du mail de phishing : un avertissement relatif à votre compte, votre banque qui vous demande de confirmer vos données... L’émetteur semble fiable, mais il a l’intention de dérober vos données financières ou personnelles qu’il vous invite à compléter sur une page web contrefaite, ou il souhaite infecter votre appareil avec un malware en vous invitant à ouvrir une pièce jointe.

Ci-dessous, un exemple de mail de phishing émanant prétendument d’Apple. Soyez attentif à l’adresse e-mail : support@rjmamasatim02-team.freshdesk.com. Elle ressemble à tout sauf à une adresse Apple officielle. Si on fait glisser la flèche de la souris sur le lien ("verify your identity"), on voit apparaître la véritable URL : il s’agit d’un lien raccourci (https://t.co/dzjF8OKRbN) ne menant pas vers le véritable site Apple.

Phishing via sms, WhatsApp of Facebook Messenger

Les SMS ou les applis de messagerie instantanée sont utilisés pour le "smishing" : vous recevez un sms, un message WhatsApp ou Facebook Messenger contenant une mise en garde (p.ex. "C’est toi dans cette vidéo ?" ou "Payez maintenant ou votre compte sera bloqué") ou une offre (p.ex. "Remportez un bon chez Lidl"), qui vous demande de cliquer sur un lien ou de composer un numéro de téléphone. Le lien installe un malware ou dirige vers une page web contrefaite sur laquelle vous êtes invité à compléter vos données (de paiement). Le numéro aboutit à un fraudeur qui se fait passer pour une entreprise et tente de vous soutirer vos données.

Voici un exemple d'un faux SMS dans lequel l'escroc prétend être un enquêteur dans le cadre de la crise du coronavirus. Le numéro officiel est le 8811. Ce message semble provenir d'un autre numéro. Et le lien mène à une URL erronée, ce qui peut être également confirmé sur www.virustotal.com.

Voici un autre exemple de faux SMS. Le message est rédigé en français mais provient d’un numéro portugais : suspect. Le lien n’aboutit pas à une photo, mais bien à une url contenant un malware, comme en atteste notre vérification sur www.virustotal.com.

Autre escroquerie bien connue : une "connaissance" vous contacte soudain par WhatsApp et vous demande de l'argent sous un certain prétexte. Vous recevez un message d'un numéro inconnu. La personne prétend avoir un nouveau numéro. Pour une raison quelconque, il a besoin d'argent rapidement, par exemple pour payer une facture, et vous demande de le faire à sa place, parce que cela doit se faire rapidement. Vous obtenez la promesse que votre argent vous sera rendu dès que possible. Si vous essayez d'appeler cette personne pour obtenir votre remboursement, elle ne répondra généralement pas ou prétendra qu'elle a une mauvaise connexion. Parfois, les arnaqueurs vont même plus loin et imitent brièvement la voix de votre contact. Ils la connaissent des réseaux sociaux (par exemple d'une vidéo de votre contact sur Facebook ou Instagram). N'acceptez jamais une telle demande !

Phishing par téléphone

Le phishing par téléphone ("vishing") fonctionne comme suit : des escrocs tentent de convaincre leur victime de verser de l’argent pour partager des données personnelles, financières ou de sécurité. Exemple classique : un "collaborateur" de Microsoft ou d’une autre entreprise de technologie vous téléphone pour vous signaler un problème sur votre pc : votre pc est infecté par un virus, a été hacké, ne dispose pas de la version légale de Windows 10, etc.

En guise de "solution", il vous fait télécharger un programme ou vous invite à surfer sur un site Web déterminé. L’escroc a ainsi accès à votre ordinateur et au final, son intention est de vous faire payer pour résoudre le problème. Il s’agit alors d’un montant de quelques euros, que vous devez souvent payer au moyen de votre digipass. Alors que vous pensez que vous ne versez qu’une somme modique, l’escroc parviendra à vous subtiliser des centaines, voire des milliers d’euros.

Méfiez-vous aussi des personnes qui prétendent vous contacter de la part d’un organisme officiel pour, par exemple, vous permettre de toucher une prime suite à la crise du Covid. Abrégez la conversation et raccrochez. Surtout, ne communiquez pas vos informations bancaires : jamais une instance belge (ONSS, SPF…) ou européenne ne vous téléphonera pour vous demander ainsi votre numéro de compte.

Phishing sur les réseaux sociaux

Imaginez : vous n’êtes pas satisfait d’une société et exprimez votre mécontentement sur Facebook ou Twitter. L’entreprise a tout intérêt à réagir rapidement car le post est visible par tout un chacun. Mais... les escrocs aussi savent lire. Ils créent un faux compte et réagissent à votre plainte comme s’il s’agissait du service client. Pour être aidé, vous devez alors cliquer sur un lien (souvent raccourci). Ils installent ainsi un malware ou vous amènent à compléter vos données de paiement dont ils abusent ensuite.

Ci-dessous, un exemple de phishing via Twitter. Un client mécontent pose une question à PayPal et reçoit une réponse de "@AskPayPal_Tech". Les comptes officiels de PayPal sont toutefois "@PayPal" et "@AskPayPal". Le lien abrégé mène vers une fausse page de connexion où la victime est invitée à saisir ses données.

Exemple de phishing via Twitter : l'escroc se fait passer pour le service d'assistance de PayPal.

Phishing via Google Agenda

Pour cette méthode, les escrocs envoient de fausses invitations aux utilisateurs de Google Agenda. Ces invitations contiennent des liens de phishing. Sous prétexte que vous avez gagné une somme d'argent, par exemple, ils essaient de vous faire cliquer. L'intention est de vous faire remplir vos informations personnelles ou celles de votre carte de crédit dans un faux formulaire sur le web.

Les escrocs profitent d'un paramètre qui est activé par défaut dans Google Agenda et qui garantit que chaque invitation de calendrier est automatiquement ajoutée à votre agenda. Pour éviter que des invitations malveillantes apparaissent dans votre agenda et que vous cliquiez accidentellement sur des liens dans ces invitations, il est préférable de désactiver ce paramètre.

Ouvrez Google Agenda dans votre navigateur et cliquez sur la roue dentée en haut à droite, puis sur Paramètres. Cliquez sur Paramètres des événements. Sous Ajouter automatiquement les invitations choisissez Non, n’afficher que les invitations auxquelles j’ai répondu. Sous Options d’affichage décochez Afficher les événements refusés.

Phishing sur un site de seconde main

Vous savez certainement que vous devez vous méfier des annonces trop belles pour être vraies sur les sites de seconde main : article payé mais jamais reçu, article abîmé, article de contrefaçon, vous êtes prudent, à juste titre.

Ce qu’on sait moins c’est qu’il faut également se méfier des acheteurs. En effet, les escrocs utilisent les sites de seconde main pour entrer en contact avec les vendeurs, qu’ils proposent un vélo, une paire de chaussures, un vêtement, peu importe, le scénario est à peu près identique. Peu après la parution de votre annonce, un acheteur potentiel se dit intéressé, il est parfois même prêt à payer plus que le prix demandé pour être sûr d’avoir l’article. Ensuite, plusieurs scénarios sont possibles :

• Le soi-disant acheteur vous demande d’effectuer un paiement très modeste (0,50 à 1 €) par mesure de sécurité, il veut en effet s’assurer que votre n° de compte existe avant de vous verser le prix de l’article et il vous demande aussi votre n° de téléphone sous un prétexte quelconque;
• L’acheteur vous demande de pouvoir payer via un site ou une application où vous devrez créer un compte d’utilisateur pour récupérer l’argent. Lors de la création de ce compte, on vous demandera également de verser une somme modique ou de lier votre compte bancaire;
• L’acheteur habite à l’étranger et vous propose d’utiliser un service de livraison (parfois bien connu) il vous envoie le lien (qui est, bien sûr, un faux lien qui ne renvoie pas vers l’opérateur connu mais vers le site de notre escroc), là aussi, il vous sera demandé de créer un compte d’utilisateur impliquant le versement d’une somme modique ou l’utilisation de vos identifiants bancaires;
• L’acheteur habite à l’étranger et vous propose de payer l’article via un service de livraison (bien connu également). Vous recevez un mail soi-disant de ce service de livraison vous disant qu’il a bien reçu le paiement et que vous devez ouvrir un compte pour le récupérer.

Ce que ces 4 scénarios ont en commun c’est qu’on vous demande de verser de l’argent (en général, très peu) mais rappelez-vous que vous êtes le vendeur, vous n’avez rien à payer du tout pour vendre un article. Si on vous demande de l’argent alors que c’est à vous d’en recevoir, c’est assurément une arnaque. En communiquant votre n° de compte et votre n° de téléphone, l’escroc peut parvenir à installer une appli bancaire sur son propre smartphone et à ponctionner votre compte en banque. Pareil si vous communiquez vos identifiants bancaires à un site de paiement inconnu ou pour lequel l’escroc vous a envoyé un lien. 

Phishing via un code QR

Voici comment fonctionne une arnaque par code QR : vous vendez un objet sur un site de seconde main et une personne vous contacte en vue de l’acheter. L’acheteur propose d'effectuer le paiement via son compte professionnel. Pour que le paiement soit possible, il demande de lui fournir votre numéro de compte. Rien d’anormal jusque-là. Quelques minutes après l’avoir communiqué, vous recevez un code QR à scanner pour confirmation. L’analyse se fait à partir de l'appli mobile réelle de la banque : tout semble légitime.

En fait, dans ce scénario de  fraude, le code ne fait pas référence à une confirmation de paiement mais renvoie à un portail de connexion qui donne à l'escroc - en combinaison avec le numéro de compte bancaire précédemment utilisé - un accès direct à vos comptes, qui risquent d'être débités de sommes importantes. Nous vous conseillons donc d'être prudent lorsque vous recevez une demande de paiement pour laquelle vous scannez un code QR. Le transfert manuel est toujours plus sûr, car vous ne vous retrouverez pas dans un environnement de paiement contrefait, parfois difficile à identifier.

Bref, restez vigilant et prenez le temps de tout vérifier minutieusement.

Maintenant que vous savez ce qu'est le phishing et quelles sont ses formes, vous désirez certainement savoir comment vous en protéger. Nos articles suivants vous expliquent comment :

• A quoi être attentif ?
• Comment puis-je me protéger ?
• Nos solutions contre le phishing