Hameçonnage, tentative d’escroquerie par e-mail, filoutage… Autant de mots pour désigner une pratique de plus en plus répandue aujourd’hui : le phishing.
Le phishing, du mot anglais fishing qui signifie « pêcher », est une tentative d’escroquerie, le plus souvent perpétrée par e-mail. Le but ? Vous faire tomber dans les mailles des filets de cybercriminels aguerris.
Vous avez probablement déjà reçu l’e-mail d’un ami désespéré vous demandant une aide financière, d’un obscur fournisseur vous invitant à régler une facture impayée ou encore d’une administration vous annonçant un remboursement en votre faveur.
Sous couvert d’un organisme officiel ou d’une personne que vous connaissez, les cybercriminels souhaitent faire main basse sur vos identifiants (personnels ou professionnels) ou vos coordonnées bancaires. Leur objectif étant d’infiltrer votre réseau pour y propager malwares et ransomwares ou de vous soutirer de l’argent.
Dans tous les cas, les conséquences peuvent être gravissimes. D’après le rapport 2018 du FBI sur la cybercriminalité, le phishing aurait coûté plus de 48 millions de dollars. Comment s’en prémunir ?
La priorité est ici de sensibiliser aux risques en formant vos équipes et d’adapter votre ligne de défense en gérant efficacement les droits d’accès à vos différents composants réseau et en utilisant des solutions de cybersécurité à jour (antivirus, antispam, intelligence artificielle, machine learning…). Vous avez également la possibilité de déployer des solutions d’authentification multifacteurs ou des mots de passe à usage unique.
De manière plus générale, ne communiquez jamais d’informations confidentielles par e-mail.
Et si je reçois un e-mail suspect… ?
Si vous recevez un e-mail qui vous paraît douteux, ne cliquez pas sur les pièces jointes ou sur les liens qu’il contient. Plusieurs cas de figure peuvent se présenter : vous recevez un fichier « important » que vous n’attendiez pas, ne l’ouvrez pas. Contactez l’expéditeur pour vérifier s’il s’agit bien d’un e-mail de sa part. Si l’e-mail contient un lien, survolez le lien à l’aide de votre souris. Si le nom de domaine qui s’affiche ne correspond pas, c’est qu’il s’agit d’une tentative de phishing.
Autre exemple, un e-mail arrive dans votre boîte, et tout laisse à penser qu’il s’agit d’un envoi officiel : logo, charte graphique… Malgré les apparences, un examen minutieux peut permettre d’identifier des fautes d’accent ou de majuscule, que des entités officielles ne laisseraient pas passer. Le plus simple ? Vous rendre directement dans votre espace client si vous connaissez l’expéditeur ou supprimer immédiatement l’e-mail dans le cas contraire. Vous avez également la possibilité de contacter l’entreprise en lui transférant le message et en lui demandant si elle en est bien l’expéditeur.
Et si j’ai cliqué sur le lien contenu dans l’e-mail… ?
Les différences entre un site authentique et une copie malveillante peuvent être minimes, à l’instar d’une lettre supplémentaire ou déplacée dans l’URL. Le nom de l’entreprise peut être correct, mais le domaine peut être différent (.net au lieu de .fr par exemple). Vérifiez également que l’adresse du site vers lequel vous êtes redirigé commence par « https », qui indique un échange sécurisé des informations entre votre ordinateur et le serveur concerné.
Et si j’ai répondu à un expéditeur douteux… ?
Contactez immédiatement votre service IT, votre meilleure ligne de défense en termes de cybersécurité. Si vous avez communiqué des informations bancaires, contactez votre banque sans attendre pour faire opposition. Si vous avez saisi des identifiants de connexion, rendez-vous dans votre espace client pour les modifier. Dans tous les cas, n’attendez pas !
Le phishing peut engendrer de graves conséquences, ne laissez pas les cybercriminels vous atteindre ! Vous souhaitez en savoir plus ? Consultez notre article « 5 conseils pour préparer un grand plan de gestion de crise ».
