Repérer le phishing et ne pas livrer son mot de passe

Le phishing vise la personne, le serveur n'y est pour rien : on vous convainc de saisir vous-même un mot de passe, un code SMS ou vos données de carte sur une fausse page. Il reste le type de piratage le plus répandu pour une raison : il coûte peu. Envoyer des milliers d'e-mails ne coûte presque rien, et une seule victime rembourse tout. La bonne nouvelle : se protéger coûte peu aussi, de l'attention et quelques habitudes.

À quoi ressemble le phishing aujourd'hui

Le classique est un e-mail de la « banque » ou du « service de messagerie » demandant de confirmer le compte d'urgence. S'y ajoutent messageries et SMS avec des liens de « suivi de colis », fausses pages de connexion derrière des annonces de recherche, codes QR sur des prospectus et e-mails de « collègues » avec pièce jointe. Les réseaux neuronaux ont supprimé le grand indice d'autrefois : la langue bancale. Le texte est désormais correct et les logos exacts, alors regardez les signes techniques et ignorez le style.

Dix règles qui couvrent presque tout

1. Ouvrez les services importants depuis un favori ou en tapant l'adresse, sans passer par les liens des e-mails.
2. Vérifiez le domaine dans la barre d'adresse lettre par lettre avant de saisir le mot de passe.
3. Activez la validation en deux étapes partout où elle existe : un mot de passe volé sans second facteur est presque inutile. Son fonctionnement est expliqué dans l'article sur l'authentification à deux facteurs.
4. Passez aux clés d'accès quand c'est possible : la clé est liée au domaine et ne fonctionne tout simplement pas sur un faux site.
5. Utilisez un gestionnaire de mots de passe. Il ne remplit le mot de passe que sur le vrai domaine, son silence sur un site familier est donc déjà un signal.
6. N'ouvrez pas de pièces jointes inattendues, même d'adresses connues : l'expéditeur a pu être piraté.
7. Lisez entièrement les codes SMS et confirmations push : ils indiquent l'action que vous validez.
8. Gardez une boîte séparée pour les inscriptions ponctuelles et les lettres d'info, et réservez la principale aux banques et documents.
9. Mettez le navigateur à jour : ses listes de sites dangereux bloquent une bonne part des faux avant le chargement de la page.
10. Parlez de ces ruses à vos proches : la victime est souvent un parent de celui qui lit ce genre d'article.

Le phishing n'arrive pas que par e-mail

L'e-mail n'est que le plus ancien canal. Les mêmes ruses circulent sur les messageries : « vote pour ma nièce », « un colis vous attend, payez la livraison », le compte piraté d'un ami qui demande de l'argent. Au téléphone, c'est l'appel de la « sécurité de la banque » qui vous presse de dicter un code SMS. Les QR codes sur les tables et affiches mènent aux mêmes fausses pages, sauf que vous ne voyez même pas l'adresse. Autre fléau : les annonces payantes dans la recherche, où le faux site passe devant le vrai. La règle vaut pour tous les canaux : le canal ne prouve pas l'identité de l'interlocuteur, seuls le domaine dans la barre d'adresse et le second facteur le font.

Cela fonctionne aussi sur les gens expérimentés, car l'attaque vise votre état plutôt que vos connaissances : fatigue, hâte, peur de perdre de l'argent. L'escroc crée un manque de temps où vérifier semble superflu. C'est pourquoi les règles ci-dessus sont pensées pour fonctionner par automatisme, sans réfléchir.

Si un e-mail paraît suspect sans certitude

Analysez-le techniquement. Ouvrez la source du message et lisez les en-têtes de service : d'où il vient vraiment et s'il a passé les contrôles d'authenticité de l'expéditeur. Notre analyseur d'en-têtes d'e-mail montre la chaîne de serveurs et les résultats SPF, DKIM et DMARC sans lecture manuelle. Vous pouvez passer le domaine du lien par la recherche DNS : les domaines jetables récents n'ont presque aucun historique.

Mot de passe déjà saisi : la première demi-heure

1. Changez le mot de passe sur le vrai site. S'il servait ailleurs, changez-le aussi là-bas.
2. Fermez toutes les sessions dans les réglages de sécurité du compte : un mot de passe volé sert souvent dans les premières minutes.
3. Vérifiez l'e-mail et le téléphone liés, les règles de transfert et les codes de secours : les pirates aiment se laisser une entrée de réserve.
4. Si vous avez saisi des données de carte, bloquez-la via la banque. Cela suffit, la réémission règle le reste.
5. Surveillez le compte quelques jours. La liste complète des signes d'accès étranger et les étapes de récupération figurent dans l'article sur le piratage de compte.

Ce que le phishing ne sait pas faire

Connaître les limites de l'attaque évite des craintes inutiles. Ouvrir un e-mail ne vole pas à lui seul un mot de passe : le danger commence sur la fausse page ou dans la pièce jointe lancée. Consulter un site en HTTPS ne livre pas à l'escroc vos mots de passe d'autres services. Et une clé d'accès ou une clé physique ne peut pas être « saisie au mauvais endroit », même exprès, car le navigateur ne la présente pas à un domaine étranger. Plus vos comptes sont protégés ainsi, moins toute l'industrie des fausses pages a de sens pour vous.

Le phishing compte sur votre pilote automatique : l'e-mail presse, la main va vers le lien. Une pause de dix secondes avec la question « est-ce le bon domaine ? » casse tout le stratagème. L'habitude coûte moins cher que la récupération de l'accès.