Qu'est-ce qu'un message d'hameçonnage ? 10 drapeaux rouges à ne pas ignorer
par
Temps de lecture : 7 min
Vous pensez pouvoir repérer une escroquerie ? Les messages d'hameçonnage sont de plus en plus sournois.
Lors d'un hameçonnage, les attaquants envoient des courriels frauduleux contenant des liens vers des sites web malveillants. Ces sites peuvent contenir des logiciels malveillants (par exemple, des rançongiciels) destinés à saboter les systèmes et les organisations. Ils peuvent aussi avoir pour but de pousser les utilisateurs à révéler des informations sensibles (par exemple, des numéros de carte de crédit). Les escrocs se font souvent passer pour des marques et des entités auxquelles vous faites déjà confiance, comme Amazon, Netflix ou des banques. Ces attaques peuvent entraîner des pertes financières considérables et des vols d'identité.
Avant de cliquer sur un lien, vérifiez ces 10 signaux d'alerte qui pourraient vous éviter de devenir une victime.
Points clés à retenir
- Les types courants de messages d'hameçonnage comprennent l'hameçonnage par courriel, l'hameçonnage par SMS, l'hameçonnage social et l'hameçonnage vocal.
- Certains signaux d'alarme peuvent indiquer qu'il s'agit d'une escroquerie par hameçonnage. Il s'agit notamment de messages d'accueil génériques, de demandes d'informations sensibles, d'offres trop généreuses et alléchantes, de liens de désabonnement suspects, etc.
- L'usurpation d'identité de marques réputées est un autre élément clé des escroqueries par hameçonnage et constitue un signal d'alarme utile.
- Parmi les exemples concrets d'escroquerie par hameçonnage, on peut citer les fausses demandes de DocuSign, les escroqueries de confirmation de commande Amazon et les fraudes au remboursement d'impôts par le fisc.
- Les outils de protection contre les menaces avancées, l'authentification des courriels et le MFA peuvent aider les entreprises à rester protégées.
Types courants de messages d'hameçonnage
Il existe différents types de messages de phishing, certains plus courants que d'autres.
Hameçonnage par courriel
Il s'agit du type d'hameçonnage le plus répandu. Dans ce cas, les cybercriminels envoient des courriels provenant d'entités apparemment légitimes, comme des services en ligne, des banques, des marques réputées, etc. Ces courriels peuvent contenir de fausses factures et des demandes de réinitialisation de mot de passe, souvent accompagnées d'un sentiment d'urgence. Ils incitent la victime à cliquer sur un lien malveillant ou à télécharger une pièce jointe, ce qui peut avoir des conséquences désastreuses.
Smishing (SMS)
Le nom suggère la signification : un mélange de "SMS" et de "phishing". Au cours de ces attaques, les acteurs de la menace envoient des messages textuels trompeurs qui manipulent le destinataire pour qu'il entreprenne une action qui lui est préjudiciable. Il peut s'agir de saisir des données sensibles, de cliquer sur des liens nuisibles ou d'installer un logiciel malveillant. Un exemple pourrait être un SMS du type "Votre colis est retardé - cliquez ici !". où le destinataire est invité à cliquer sur un lien potentiellement malveillant.
Hameçonnage social
L'hameçonnage par les médias sociaux est une attaque menée par le biais de plateformes de médias sociaux telles que Facebook, Instagram, LinkedIn, X ou autres. Le message peut être très amical et prendre la forme de cadeaux gratuits. Il peut aussi susciter la peur, en disant par exemple : "Votre compte a été verrouillé". Dans tous les cas, il est souvent difficile de faire la différence entre ces faux messages et les vrais.
Hameçonnage (appels vocaux)
Le vishing (ou hameçonnage vocal) est une attaque par hameçonnage dans laquelle les cybercriminels utilisent des appels téléphoniques pour manipuler la victime et l'amener à fournir des informations personnelles ou professionnelles importantes. Un exemple courant de vishing est le "Votre SSN est suspendu", qui provoque immédiatement la peur et pousse la victime à agir le plus rapidement possible.
10 drapeaux rouges : Qu'est-ce qu'un message d'hameçonnage ?
Il existe des signaux d'alerte auxquels vous devez toujours prêter attention si vous voulez vous protéger contre les attaques de phishing.
1. Menaces urgentes
Voici quelques exemples de menaces urgentes : "Votre compte sera fermé dans 24 heures !" "Votre compte a été violé". "Payez maintenant pour conserver votre compte professionnel". Le sentiment d'urgence est l'un des éléments les plus courants dans les tentatives d'hameçonnage. Mais quel que soit le degré d'urgence de la situation, prenez toujours un peu de recul, réfléchissez et vérifiez si la situation est vraiment aussi urgente qu'elle ne le semble à première vue.
2. Des salutations génériques ("Cher client" au lieu de votre nom)
Les pirates informatiques ciblent souvent plusieurs destinataires simultanément. Par conséquent, le message peut souvent sembler générique et dépourvu d'éléments personnalisés. Par exemple, au lieu de votre nom, vous pourriez voir un "Cher client" ou un "Monsieur", sans aucun identifiant. Il convient de toujours aborder ces messages génériques avec prudence.
3. Adresses d'expéditeur non concordantes
Faites attention à l'adresse de l'expéditeur et vérifiez si elle correspond à l'adresse légitime. Par exemple, regardez celle-ci : "[email protected]." Si vous n'êtes pas assez attentif, vous pourriez remarquer que la lettre "o" a été remplacée par le chiffre "0". Ce genre d'astuce est assez courant chez les pirates informatiques. Pour les repérer, il suffit d'être plus prudent et attentif, et de tout revérifier avant d'agir.
4. Liens suspects (survoler pour vérifier les URL)
Vous pouvez vérifier si un lien est légitime en survolant l'URL. Vous n'obtiendrez pas une image complète, mais vous aurez au moins une idée du modèle. Vous pouvez également utiliser un vérificateur d'URL en ligne pour obtenir des résultats plus précis.
5. Demandes de données sensibles (mots de passe, SSN, cartes de crédit)
Confieriez-vous votre enfant à un inconnu simplement parce qu'il vous le demande ? Très probablement, vous ne le feriez pas. Alors pourquoi confions-nous si facilement à des inconnus nos mots de passe, notre numéro de sécurité sociale, nos cartes de crédit et d'autres informations sensibles ? Chaque fois que l'on vous demande des informations sensibles, faites preuve d'une grande prudence ; sinon, les conséquences pourraient être préjudiciables à votre entreprise.
6. Mauvaise grammaire/orthographe
Vous avez repéré plusieurs fautes de style, de grammaire ou d'orthographe dans un seul paragraphe ? Le message ne sonne pas correctement dans votre langue maternelle ? C'est un bon signe pour vérifier la source avant de cliquer sur un lien.
7. Pièces jointes inhabituelles
Recherchez toujours des pièces jointes inhabituelles, comme des fichiers.exe ou .zip. Si vous les repérez, sachez que le message peut tout aussi bien être une escroquerie par hameçonnage.
8. Offres trop belles pour être vraies
Beaucoup d'entre nous ont déjà vu le message "Vous avez gagné un iPhone gratuit ! Il est tentant de cliquer sur un tel message. Ce fut le cas de ma jeune sœur, qui était tellement convaincue d'avoir gagné un iPhone qu'il nous a fallu, à ma mère et à moi, plusieurs heures pour la convaincre du contraire. Mais vraiment, pourquoi quelqu'un vous offrirait-il un cadeau coûteux, comme un iPhone, sans raison ? À moins que vous ne croyiez à l'histoire du "Père Noël qui vous récompensera si vous vous comportez bien tout au long de l'année", vous devez comprendre que les offres "trop belles pour être vraies" sont souvent fausses.
9. Usurpation d'identité de marques de confiance
Avez-vous reçu un message de Microsoft, PayPal, Amazon ou de votre banque de confiance ? Vous invite-t-il à saisir des informations sensibles ou à cliquer sur un lien ? Vérifiez à deux reprises s'il s'agit bien de votre entité de confiance ou d'un acteur qui s'est fait passer pour une menace.
10. Se désabonner des menaces
Les liens de désabonnement constituent un terrain fructueux et facile à exploiter pour les pirates. Les gens font généralement confiance aux liens de désabonnement, et les acteurs de la menace le savent bien. Ils peuvent inclure des liens et des fichiers malveillants dans ce champ. Un autre exemple est un message du type "Cliquez ici ou vous serez facturé 50 $/mois", dans lequel vous êtes invité à agir pour éviter de payer de l'argent. En réalité, vous finirez par payer plus si vous cliquez sur le lien.
Exemples de messages d'hameçonnage réels
Voici quelques exemples réels de courriels de phishing.
Fausse demande de DocuSign
Conscient de la prévalence des problèmes de sécurité, DocuSign a publié un article contenant des informations utiles sur la manière de repérer les fausses demandes envoyées en son nom. L'entreprise recommande de toujours rechercher le code de sécurité unique figurant au bas de l'e-mail de notification de l'enveloppe DocuSign.
Exemple de fausse demande de DocuSign
Escroquerie à la "confirmation de commande" d'Amazon
Dans l'exemple de courriel ci-dessous, de nombreuses erreurs peuvent être détectées si vous lisez attentivement le courriel. Par exemple, la ligne "Appelez notre numéro gratuit s'interrompt brusquementen termes de logique et de ponctuation. La ligne suivante vous invite à appeler un numéro. De même, l'adresse du colis ne mentionne pas le nom de la rue et est formatée de manière étrange. L'e-mail contient également des fautes de frappe que la société Amazon n'autoriserait pas. En bref, cet e-mail contient trop de signaux d'alarme.
Exemple d'escroquerie à la confirmation de commande Amazon
Fraude au remboursement d'impôts par l'IRS
L'e-mail ci-dessous vise à vous convaincre de cliquer sur le lien "Check Your Refund" (Vérifiez votre remboursement) pour consulter votre relevé électronique de remboursement d'impôts. Bien que l'e-mail semble légitime à première vue, le véritable IRS ne vous contacterait jamais par email, SMS ou média social pour vous demander des informations sensibles. Seuls des pirates informatiques pourraient le faire au nom de l'IRS.
Exemple de fraude au remboursement d'impôts par l'IRS
Comment se protéger
Vous pouvez prendre de nombreuses mesures pour vous protéger contre les attaques de phishing.
Conseils généraux
Voici quelques conseils généraux que tout le monde peut suivre :
Ne cliquez pas sur des liens inconnus
Au lieu de cliquer sur un lien, visitez directement le site web correspondant. Vous aurez ainsi la certitude d'accéder à une source d'information légitime plutôt qu'à une source fausse et malveillante.
Utiliser l'authentification multifactorielle
L'authentification multifactorielle et le 2FA englobent une procédure de connexion en plusieurs étapes. Avec l'AMF, vous devez saisir d'autres informations (par exemple, un code d'accès) en plus du mot de passe pour accéder à votre compte. Cela ajoute une couche de sécurité, rendant l'accès à votre compte plus difficile pour les pirates.
Maintenir les logiciels et les navigateurs à jour.
Les logiciels et les navigateurs obsolètes créent un espace ouvert aux pirates informatiques qui peuvent ainsi exploiter et accéder à des données sensibles. La mise à jour de vos systèmes peut garantir une sécurité maximale et éloigner les pirates.
Conseils aux entreprises
Voici des conseils utiles destinés spécifiquement aux entreprises :
Simulations régulières d'hameçonnage et formation de sensibilisation
Mieux vaut prévenir que guérir. La préparation est une forme de prévention. Préparez-vous et préparez vos collègues à de telles situations. Qu'il s'agisse d'une formation ou de simulations régulières de phishing, la préparation de votre équipe peut vous aider à éviter efficacement les attaques de phishing réussies.
Outils de protection contre les menaces avancées
Des plateformes en ligne comme PowerDMARC offrent une gamme d'outils de protection contre les menaces avancées pour vous aider à rester protégé en ligne. Vu l'intégration de PowerDMARC avec SecLyticsvous pouvez bénéficier de :
- Renseignements prédictifs complets sur les menaces
- Mesurez le score de sécurité de vos adresses IP
- Obtenir des informations sur les cybermenaces actuelles et potentielles
- Repérer les schémas d'attaque
Authentification du courrier électronique (SPF, DKIM, DMARC)
SPF, DKIM, DMARC et d'autres protocoles d'authentification du courrier électronique fournissent des informations vérifiables sur l'origine d'un message électronique. Ils aident les fournisseurs à vérifier si une source donnée est légitime et fiable. Ils constituent donc un élément essentiel et indispensable de la sécurité du courrier électronique et doivent être exploités au maximum. Si vous n'avez pas encore mis en place l'authentification du courrier électronique, vous pouvez utiliser les outils ci-dessous :
Si vous les avez déjà mis en place, mais que vous souhaitez vérifier qu'ils sont correctement configurés, PowerDMARC dispose également de vérificateurs correspondants pour chacun d'entre eux. Vous les trouverez dans notre section Outils dans notre section Outils.
Que faire si vous avez cliqué sur un message d'hameçonnage ?
Voici quelques mesures à prendre si vous avez déjà cliqué sur un message de phishing :
- Déconnectez-vous de l'internet.
- Modifier immédiatement les mots de passe.
- Recherche de logiciels malveillants.
- Rapport au Groupe de travail anti-hameçonnage.
Conclusion
Les messages d'hameçonnage reposent sur la confiance et l'urgence. De nombreux signaux d'alerte peuvent vous aider à comprendre si un courriel est légitime ou s'il s'agit simplement d'une escroquerie par hameçonnage. Il peut s'agir de menaces urgentes, d'adresses d'expéditeur non concordantes, de liens suspects, de pièces jointes inhabituelles, etc. En cas de doute, ne cliquez pas.
Protégez votre domaine contre le phishing dès aujourd'hui avec PowerDMARC. Commencez avec une analyse DMARC gratuite et voyez comme il est facile de sécuriser vos emails - aucune compétence technique n'est requise !
Spécialiste du contenu à PowerDMARC
Milena est une rédactrice et créatrice de contenu qualifiée qui possède plus de 7 ans d'expérience dans la création de contenu attrayant sur les technologies de l'information, la cybersécurité, les événements virtuels, etc. Elle est diplômée d'institutions prestigieuses telles que la New York University Abu Dhabi, l'UWC China et le Collège d'Europe.
Derniers messages de Milena Baghdasaryan (voir tous)
