L’hameçonnage ou le phishing en anglais, est une arnaque qui consiste à obtenir des renseignements personnels, grâce à une usurpation d’identité. Le plus souvent ce sont des sites et des courriels contrefaits. Les informations personnelles dérobées sont par la suite utilisées dans un but malintentionné ou commercial. Cela peut aussi conduire à infecter l’ordinateur par un malware, de types divers et variés.  C’est sans aucun doute l’arnaque la plus vielle et la plus connue d’internet. Malgré tout elle prospère encore beaucoup, car elle est très efficace quand le phising est bien réalisé et que les personnes qui y sont confrontées méconnaissent l’informatique. Découvrons ensemble les arcanes de cette arnaque qui fait beaucoup de victimes.

Avant-propos

Tout d’abord pourquoi ai-je décidé de réaliser un guide sur le sujet du phishing ? Tout simplement parce que ces derniers  temps j’ai reçu énormément de courriel d’hameçonnage. Et il y en a un qui était particulièrement réussi, crédible, j’ai failli y croire ! Mais la consultation (systématique) des différents points de contrôle, m’a permis de m’apercevoir de la contrefaçon. Après cette tentative de phishing avortée sur ma personne, je me suis dit que je devais partager les astuces pour détecter systématiquement ce genre de pourriels ! Et plus généralement parler de ce sujet.

Les différents types de phishing

Les pirates redoublent d’ingéniosité mal placée pour réaliser le phishing, et ce en utilisant différents canaux de communications. Voici les différents leviers utilisés pour la pratique du phishing :

• la plupart du temps c’est par le biais d’un faux site et courriel. Le site contrefait, parfois de façon parfaite, et la pour vous extorquer des données personnelles, comme par exemple vos identifiants pour se connecter à votre compte ou encore vos coordonnées bancaires. Le courriel lui contient des liens vers des sites contrefait ou des pièces jointes contenant des logiciels malveillants (malware).
• le smishing, par SMS suit la procédure est la même que par courriel avec une incitation à cliquer sur un ou plusieurs liens
• par téléphone, c’est du vishing, souvent les appels sont automatisés (voix de synthèse)
• les réseaux sociaux, un compte est piraté et les abonnés reçoivent des liens malveillants. Ou encore des faux comptes sont créés, ressemblant à des comptes à succès en appâtant les utilisateurs du réseau social de différentes façons. Comme par exemple à leur faire croire qu’ils ont gagné un cadeau, suite a un tirage au sort.

Quels sont les traits caractéristiques du phishing ?

Créé de la peur et de la panique

Créer des situations d’urgence, alarmistes, pour limiter la réflexion et déclencher des décisions hâtives. Par exemple : ” votre compte a expiré “, ” une livraison est bloqué “, ” problème suite à votre achat “, etc. Le message incite à réaliser une action rapide. En détail :

• Votre banque ou une autre (hasard) vous avertit de la détection d’une activité suspecte. Elle vous indique de confirmer vos informations personnelles. Bien évidemment vers un site contrefait. De plus les banques ne procèdent pas ainsi.
• Le gouvernement vous menace de sanctions pour tels ou tels actes délictueux.
• Une soi distante livraison qui vous est destinée est bloquée, à moins de régler une somme restante

Le gain d’argent

Vous avez gagné une somme argent grâce à un héritage, une loterie, etc. Ou encore un organisme officiel a un remboursement pour vous, comme par exemple la Sécurité sociale. Il faut bien sûr rentrer des informations vous concernant. Là encore c’est n’importe quoi, par exemple un notaire qui vous contacte pour un héritage ne procèdent pas ainsi et à bien évidemment déjà vos coordonnées.

Appel à la compassion et l’altruisme

Une personne étrangère ou proche fait appel à votre générosité, en vous demandant de l’aider financièrement. Prétextant une situation catastrophique et urgente, maladie, accident, etc. avec de longues histoires parfois…Cette personne précisera bien sûr un remboursement plus tard avec même parfois des gros intérêts de prévu !

Site d’autorité

La source du contact est apparemment digne de confiance ou possède de l’autorité (impôts, site de vente en ligne, sécurité sociale, CAF, etc.). Il invite à réaliser une action de saisie de données personnelles ou de coordonnées bancaires sur le site contrefait à travers un lien. Une pièce jointe peut être aussi présente, contenant des malwares pour infecter votre ordinateur. Le texte vous incitera à l’ouvrir.

Anonymes ou personnalisés

Le plus souvent il y a un caractère totalement impersonnel du contact, avec des mentions comme : « Monsieur », « cher client », « cher abonné », etc. Aucun nom et prénom, numéro de client, etc. Tout simplement parce qu’en général ce sont des campagnes massives de phising qui sont mis en place par les pirates, du coup elles ne peuvent être qu’impersonnelles.

Sinon plus rarement, car l’hameçonnage est plus difficiles à mener, il y a des attaques ciblées. Le pirate a pu réussir à récupérer quelques morceaux de votre vie privée pour l’exploiter dans des tentatives de phishing ciblé, contre plusieurs personnes ou même une seule personne, très importante, c’est le Whaling ou l’harponnage. Ce phising est utilisé généralement contre les entreprises, les pirates récupèrent des données sur les réseaux sociaux professionnels ou par d’autres moyens. Puis il se fait passer pour le patron ou un salarié au statut élevé pour soutirer des données confidentielles ou même provoquer un virement bancaire !

DNS véroler

Appelée également pharming ou dévoiement en français, cette technique détourne l’utilisateur vers un faux site web. Les serveurs DNS permettent  la conversion du nom de domaine en IP. En modifiant des paramètres réseau de votre environnement (fichier « hosts » de Windows, routeur, etc.) grâce à un malware, ou encore en piratant un serveur DNS, vous allez être redirigé vers site contrefait à partir d’une URL saine.

XSS

L’hameçonnage par XSS est la plus difficile à détecter. Le Cross Site Scripting est une faille de sécurité majeure d’un site web. Les pirates peuvent exploiter cette faille en injectant du code client (par exemple du JavaScript) malveillant pour diffuser des malwares ou encore récupérer vos données de connexion.

Contrefaçon d’URL

L’URL des liens ne correspond pas à ce qu’ils sont censés être. Sauf avec une lecture consciencieuse de ses liens contrefaits, il nous induit en erreur. En effet l’esprit a tendance lors d’un balayage rapide d’une suite de mots à « gommer » certains caractères ! D’autant plus que ce sont des références à des sites très connus voire gouvernementaux.  Ses liens sont volontairement munis de fautes plus ou moins discrètes et réussies.  Un nom de domaine (NDD) ne peut pas être usurpé (sauf par DNS et XSS), par conséquent il y a forcément une faute volontaire au niveau du NDD dans le liens menant vers une réplique d’un site.

Design et rédaction

Le design est souvent de qualité médiocre et pas identique (mais similaire) au mail ou aux sites originaux. Il y a une mauvaise qualité de rédaction. La police d’écriture est différente, le logo pixelisé, l’agencement différent, etc. C’est vrai que ces dernières années ils ont fait des progrès en matière de design…

Entité inconnue

On vous demande de réaliser une action en direction d’un service ou d’une entreprise que vous ne connaissez même pas ! Par exemple vous êtes au crédit mutuel et vous recevez un message du crédit agricole, vous demandant de réaliser une action. C’est une preuve claire et nette de phishing

Quels sont les données ou actions recherchées ?

• coordonnées bancaires
• copie de pièces officielles (carte d’identité, permis de conduire, etc.)
• informations confidentielles d’entreprise
• infecter un ou plusieurs ordinateurs
• déclencher un virement bancaire
• récolter des identifiants pour un site particulier (banque, service cloud, plateforme d’échange de crypto-monnaie, etc.)

Que faire contre le phishing

Tous les éléments cités plus haut, servent à mieux comprendre et à détecter le phishing. Ils incitent également à avoir un esprit plus critique lors de demandes sensibles par voie digitale. En règle général, méfiez-vous de tous ce qui est trop beau, malheureusement c’est en majorité bidon ! Donc voici les points de contrôle à vérifier systématiquement pour s’en protéger au mieux.

 Le NDD

Un NDD ou nom de domaine, fait partie des premiers mots de l’URL et est composé de deux éléments. Tout d’abord le domaine qui est positionné avant l’extension. C’est le nom du site qui apparaît dans l’URL. Ensuite l’extension composée de termes historiques (.com,.net,.org, etc.), de termes liés à un pays (.fr,.us, etc.), de termes génériques (.tech,.pro,.bar,etc.). C’est les registrars qui permettent l’achat de NDD. A part l’hameçonnage par pharming ou XSS, la bonne orthographe du NDD est une preuve valable car un NDD est lié à une IP. Les différentes techniques de tromperie utilisées :

• par un sous-domaine qui représente le domaine du site copié par exemple : leboncoin.ex.fr. Le domaine est juste…sauf que c’est un sous-domaine, du domaine ex ! Le domaine est réduit au maximum pour qu’il reste discret…
• Une extension différente est utilisée, par exemple wikipedia.pro au lieu de .org, en cas de lecture rapide on peut se faire avoir ! Les registrars proposent des protections en ce sens.
• Par faute d’orthographe volontaire, la plus discrète possible bien sur. Par exemple youtubes.com ou wiklpedia.org.
• La plus facile à voir, le délire total, par exemple e55jerbe99.com au lieu d’ups.com

C’est une vérification capitale. Vérifier caractère par caractère, le NDD de l’URL des liens fourni ainsi que l’adresse du courriel. Ils doivent être strictement identiques au NDD qu’ils sont censés représentés ! Ce qui vient après le NDD n’est pas un problème.

URL raccourcis

Méfiez-vous des liens raccourcis, car par nature on ne sait pas où cela redirige.

Vérifier l’aspect

Si le rendu du courriel/site fait amateur, avec des couleurs inadéquate, un logo de mauvaise qualité, etc. comparé à ce que vous avez l’habitude de voir, il faut creuser plus loin. Aussi si la rédaction est de mauvaise qualité, en matière de grammaire, d’orthographe et de cohérence, ce n’est pas bon signe également.

Vérifier à la source

C’est sans aucun doute la méthode la plus efficace. La règle est simple, en cas de sollicitation pour effectuer toute action importante, par exemple :

• un notaire cherche à vous contacter pour un soi-disant héritage
• un virement important reçu
• un remboursement de la sécurité sociale
• etc.

Il faut vérifier à la source la réalité de la demande, en contournant les liens du courriel ou du SMS. Tout d’abord en allant directement sur le site en question, via Google en cliquant sur les premiers résultats ou en tapant directement dans la barre d’adresses de votre navigateur, etc. Ensuite avec les donnés du site, il ne vous reste plus qu’à téléphoner, à vous présenter physiquement dans les locaux, à vérifier l’information sur votre compte, etc. Tout dépend de la situation.

AntiMalware

Dans ce guide j’ai souvent parlé de malware qui pouvait être présent dans les pièces jointe d’un courriel d’hameçonnage ou encore sur un site contrefait. Un malware est un logiciel malveillant, pour s’en protéger en temps réel il faut utiliser des anti-malware efficace. Par exemple le logiciel Malwarbytes combiné au célèbre anti-virus Avast (bien plus qu’un antivirus en fait) ou à Windows defender, l’anti-virus natif de Windows (bien plus efficace que par le passé) sont un bon choix.

HTTPS

Toujours privilégier le protocole HTTPS, c’est-à-dire qu’il faut avoir la bonne indication à gauche de la barre d’adresse (soit la mention sécurisée soit un petit cadenas). L’HTTPS permet de rajouter au protocole HTTP, un chiffrement SSL ou TLS, du client au serveur. Cela rend possible aussi une vérification de l’identité du site via le certificat d’authentification délivré par un organisme fiable, comme un registrars. Plus simplement cela rend l’interception des données inutiles, car inexploitable en l’état.

Malgré tout en cas d’hameçonnage par XSS, l’HTTPS ne sert à rien. En effet c’est le bon site, donc le certificat sera bon, alors que pourtant il est piégé !

Signaler et bloquer le phishing le plus possible

La plupart des fournisseurs de messagerie internet possèdent une option dans les menus permettant de bloquer des adresses et de les signaler comme hameçonnages. Profitez-en !. Vous pouvez aussi le signaler sur signal spam ou encore directement à l’entreprise oui l’organisme visé. Si vous êtes victime d’un ransomware, c’est-à-dire du chiffrage de vos données, il ne faut jamais céder a la demande de rançon,. Ne jamais céder a ce chantage, car en plus de nourrir des escrocs, ils ne vous donneront même pas la clé de déchiffrement !

Analyse d’un cas concret de phishing

C’est un cas concret d’hameçonnage bien lourd et grossier que je vais présenter, mais cela fera l’affaire. Je n’ai trouvé que ceci dans ma boîte mail, au jour où j’écris ce guide. Malheureusement le courriel bien ficelé d’hameçonnage qui a déclenché l’envie de ce guide est parti à la poubelle virtuelle !.

Ce courriel me demande de payer 1€ de frais de transport qui n’ont bizarrement pas été réglés. OK donc de l’argent virtuel s’est fait la malle 😉 . Bien sûr tous les liens mènent vers un site fiable et propre 😉 .

Point révélateurs

1. Aucun logo et nom de transporteur existant dans les URL et l’infographie
2. Situation urgente
3. Une petite recherche rapide sur Google montre que marketing.jotex.se, a été signalé comme une arnaque
4. Totalement impersonnel, même pas une adresse de destination ou d’expéditeur !
5. Design vraiment léger pour un transporteur
6. Petite somme pour faciliter le passage à l’action, mais multipliée par 10 000 victimes, cela fait 10 000€ obtenus frauduleusement !
7. Objet du courriel illogique, le colis a déjà été envoyé, par conséquent les frais de port ont été payés, sinon pas d’envoi ! Ne pas confondre avec le contre remboursement qui consiste à l’acheteur de payer le montant de la commande à la livraison. Ici on parle de ce qu’une partie de la somme n’a pas été payée. Or c’est tout ou rien, pas un mélange des deux !

En conclusion cela fait sept raisons de soupçons, certaines sont carrément éliminatoires !

Crédit images : Pixabay.

Si vous avez apprécié ce guide sur comment ce protéger du phishing, merci de le partager sur Facebook, Twitter ou Printerest. Vous pouvez aussi le noter de 1 à 5 plus bas. Pour soutenir ce site merci de passer par les liens Amazon. Si vous avez une question sur ce sujet, n’hésitez pas à la poser avec les commentaires plus bas.