Que signifie ‘ phishing ‘ ?Le mot ‘ phishing ‘ est inspiré de l’anglais fishing qui vient de to fish et signifie ‘ pêcher, partir à la pêche ‘. Par extension, on pourrait traduire par ‘ mordre à l’hameçon ‘. Pour compléter la métaphore, le pêcheur, c’est le pirate. Et le poisson, c’est… l’internaute !En quoi consiste l’arnaque ?C’est une technique de piratage par usurpation d’identité. Pour un pirate, elle consiste à se faire passer pour un site commercial ou bancaire afin de soutirer vos codes d’accès, coordonnées bancaires ou numéro de carte bleue. Le scénario est le suivant : vous recevez un courriel d’un site auquel vous êtes abonné (eBay, PayPal) ou de votre banque, qui vous demande de cliquer sur un lien pour confirmer vos nom d’utilisateur et mot de passe. Si vous vous exécutez, vous êtes perdu ! Le site sur lequel vous êtes redirigé, qui a tout d’un vrai (graphisme, logo, etc. ), ne l’est pas plus que le courriel d’avertissement. Les escrocs récupèrent alors vos précieux codes et procèdent au piratage de votre compte en effectuant, par exemple, des virements vers des comptes situés dans des paradis fiscaux. Ou bien encore, ils utilisent votre numéro de carte bancaire pour commander aussitôt des produits en ligne.Comment identifier une tentative de phishing ?L’imagination des escrocs ne semble pas avoir de limites. En général, le message reçu explique que pour des raisons de sécurité, les informations personnelles de l’intéressé doivent être mises à jour. Ou bien c’est le système de gestion et sa sécurité qui ont changé. Ou encore, on vous demande de vous réinscrire pour vous faciliter la vie. Rien de plus facile, il vous suffit de cliquer sur le lien hypertexte inclus dans le message. Si l’internaute naïf qui, justement, est en relation avec l’établissement prétexté, clique et livre ses informations confidentielles, il tombe dans le piège.Qui est concerné par l’arnaque ?Tout le monde ! L’envoi étant réalisé au hasard, le phishing ne cible personne en particulier. La plupart des internautes qui reçoivent un faux courriel d’un établissement bancaire ne sont d’ailleurs pas clients de celui-ci. Une étude réalisée en 2004 par l’institut Gartner, révèle que 57 millions d’Américains ont reçu un courriel de phishing. Une autre étude, signée Mirapoint et Radicati, révèle que 9 % des internautes américains ont déjà perdu de l’argent par phishing.Qui se cache derrière de telles escroqueries ?Ces escrocs professionnels de la cybercriminalité (on parle de ‘ mafia high-tech ‘) maîtrisent parfaitement l’outil informatique. Ils savent que les polices s’arrêtent bien souvent aux frontières, et ils utilisent les paradis fiscaux comme plates-formes de travail. Ils agissent depuis n’importe où. Selon Pierre André Martin, du site Antiphishing.fr, la Chine, la Malaisie et la Russie sont leurs terrains de jeux favoris.Le phishing est-il facile à repérer ?La grande majorité des tentatives de phishing sont grossières, et peuvent être démasquées d’un simple coup d’?”il. Il y a d’abord les messages pour le moins improbables, car rédigés en anglais ou concernant plusieurs établissements bancaires (‘ vous êtes client du Crédit Lyonnais, BNP ou Société Générale… ‘). Il y a ensuite les messages rédigés en français, mais truffés de fautes d’orthographe et de formules approximatives. Le faux message du Crédit Mutuel envoyé mi-août précisait ainsi ‘ c’est Credit Mutuel qui vous salue ! ‘, ou encore ‘ le niveau de notre sécurité est monté au nouveau degré qualitatif ‘, pour finir par ‘ Appuyez ce lien pour vous faire enregistrer ‘ (sic).Comment les pirates trompent-ils notre vigilance ?De récentes tentatives de phishing se sont révélées bien moins grossières qu’à l’accoutumée. La méfiance est donc plus que jamais de mise. Pour tromper votre vigilance, certains pirates utilisent une adresse à rallonge, dont l’intégralité n’est pas visible dans le navigateur. Ils utilisent aussi un nom de domaine présentant des similitudes avec l’établissement piraté (par exemple banqueX-users.com). Enfin, d’autres utilisent des codes en javascript qui permettent de masquer la fausse adresse par une autre, bien réelle, elle.Comment éviter de tomber dans le piège ?Jamais votre banque ne vous réclamera par courriel des informations personnelles (mot de passe ou numéro de compte), sous prétexte de vérification, pas plus qu’un site marchand. Dans le cas d’une banque, et pour des raisons juridiques, aucun code secret n’est envoyé par courriel : tout se fait par courrier postal. Ne cliquez jamais sur un lien contenu dans un courriel aux couleurs de votre banque. Détruisez tout message suspect. C’est LE principe de base pour éviter le phishing.
Microsoft a pris le sujet très au sérieux, puisque les prochaines versions de la barre d’outils MSN (prévue mi-septembre) puis Internet Explorer 7 (début 2006) intégreront un filtre antiphishing. Il sera chargé d’afficher un avertissement dès que l’internaute tentera d’accéder à un site répertorié par Microsoft comme présentant un risque.
En attendant la sortie de ces versions, n’hésitez pas à installer un logiciel antispam puisque le phishing est perçu comme du courrier non sollicité et, donc, détecté, puis supprimé, par un bon logiciel. Plus généralement, ayez toujours un antivirus à jour et un firewall. Vous éviterez ainsi que votre PC ne serve de zombie (voir page précédente, deuxième colonne).
Pour terminer, nous vous conseillons de visiter régulièrement le site www.antiphishing.fr. Il propose aux internautes, particuliers comme entreprises, de lui faire parvenir les cas de phishing reçus. Ce qui en fait un véritable observatoire dans lequel on peut consulter la liste des cas, classés par date, et consultables au format PDF.Que faire si l’on est victime de phishing ?Si vous êtes tombé dans le panneau en fournissant vos coordonnées bancaires, avertissez immédiatement votre banque. Si une somme a d’ores et déjà été prélevée, aucune assurance ne couvre ce cas de figure. La seule façon de rentrer dans vos frais, c’est despérer un geste commercial de votre banque !
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
