Le phishing, comment ça marche ?

Le Phishing (ou hameçonnage en français) est une technique bien rodée utilisée par des faussaires afin de leurrer un internaute non averti.

Les faussaires utilisent l’identité d’une entreprise, d’un organisme ou d’une administration afin d’obtenir des données personnelles ou bancaires.

Ces données sont par la suite utilisées de manière frauduleuse. L’internaute reçoit dans sa boîte mail, par téléphone ou par SMS un faux message lui demandant de renseigner certaines informations (comptes, mots de passe, données bancaires…).

Le message semble, à première vue, émaner d’une entreprise connue comme un opérateur téléphonique, un réseau social, un site de commerce en ligne ou une administration.

En réalité, des faussaires ont emprunté l’identité graphique ou vocale d’entreprises connues afin de tromper un internaute non averti.

C’est pourquoi, il est important d’examiner deux éléments : l’adresse mail de votre expéditeur et le contenu du mail.

1. Détectez l’adresse mail du faussaire

Souvent, les organismes ou les entreprises ont des adresses mails génériques du type nepasrépondre@entreprise.fr ou nepasrépondre@administration.fr. Celles-ci ont été créées afin d’avertir les utilisateurs sur le fait que ces adresses n’ont pas vocation à demander des information.

Un mail de phishing envoyé par un faussaire ne pourra pas correspondre avec vous avec ce type d’adresse. Très souvent, il va s’agir d’adresses farfelues telles que 12354@oranges.fr .

L’orthographe du nom de l’entreprise peut comporter une erreur ou bien la première partie de l’adresse mail être composée d’un mot qui ne correspond pas aux noms génériques utilisés par les entreprises de manière générales tels que (contact, information, nepasrépondre…)

Bon signe :

• nepasrépondre@
• contact@
• information@…

Mauvais signe, lorsque après le « @ » le nom de l’entreprise ne correspond pas ou porte une erreur comme :

• @oranges.fr
• @ursssaf.fr
• impots.gouv@finances.gouv.fr (au lieu de @impots.gouv.fr)

2. Identifiez le phishing dans le contenu du mail

Comme souvent rappelé dans de nombreuses campagnes contre le phishing, aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone.

Source : https://www.arobase.org/phishing

 

Si un message tend à obtenir des coordonnées bancaires ou vos identifiants de connexion, il ne faut absolument pas répondre et faire preuve de vigilance, il s’agit très certainement d’une tentative de phishing.

Il faut également porter une importance aux termes employés dans le mail et à l’orthographe. Très souvent les fraudeurs font de nombreuses fautes dans leurs mails.

On peut facilement reconnaître un contenu frauduleux lorsque le dernier présente un graphisme douteux ou est constitué d’une seule image collée dans le corps du mail (pratique permettant d’échapper aux filtre anti-phishing).

Enfin, faites extrêmement attention aux liens vers lesquels ont vous redirige et plus précisément à l’adresse URL à laquelle on vous renvoi. Très souvent il ne s’agit pas de sites dont l’url est sécurisée donc pas de https:// au début de l’URL.

Souvent, le site vers lequel nous sommes redirigés ressemble à celui de l’entité qui nous a sollicité à quelques éléments prêts :

• Pas un site disposant d’un certificat de sécurité (SSL) dont l’URL est sensé commencé par https:/
• Des erreurs dans le nom de l’URL par exemple oranges.fr au lieu d’avoir orange.fr
• Des fautes d’orthographe dans le texte du site.

De nombreux sites internet de grands distributeurs vous renseignent sur le phishing et vous communiquent les mails utilisés par des faussaires pour vous tromper. https://www.economie.gouv.fr/dgccrf/Publications/Vie-pratique/Fiches-pratiques/Phishing-hameconnage

En cas d’usurpation d’identité prenez contact avec nos experts afin qu’ils puissent vous accompagner dans vos démarches.