Ne mordez pas à l’hameçon!

Internautes, prenez garde! Des pêcheurs nouveau genre lancent leurs lignes dans la vaste mer qu’est Internet, en espérant que vous mordiez à leur hameçon!

Avec le nombre toujours croissant d’Internautes qui magasinent et utilisent les services bancaires en ligne, et effectuent de plus en plus de transactions en ligne, les escrocs ont élaboré de nouveaux stratagèmes dans le but d’obtenir de manière frauduleuse les renseignements personnels de victimes sans méfiance.

Identifier les arnaques pour éviter de se faire voler

1. Qu'est-ce que l'hameçonnage?

L’hameçonnage (de l’anglais « phishing ») est une tactique qu’utilisent certains arnaqueurs en ligne pour vous amener à révéler vos renseignements personnels et financiers. Cela consiste le plus souvent à envoyer des courriels frauduleux qui proviennent en apparence d’organisations bien connues et dignes de confiance avec lesquelles vous traitez peut-être (comme des grandes banques ou boutiques en ligne).

Utilisé depuis le milieu des années 1990, le terme « hameçonnage » identifiait au départ l’arnaque consistant à envoyer ce type de faux courriels aux clients d’AOL pour « aller à la pêche » aux noms d’utilisateur et mots de passe et abuser de leur accès Internet.

2. Comment identifier les arnaques par hameçonnage

L’hameçonnage requiert généralement deux composantes : un courriel et le site web vers lequel le message fait un hyperlien.

Premier contact: les courriels d’hameçonnage

Ces courriels trompeurs vous poussent à cliquer sur un lien mis en évidence dans le message, censé vous mener vers le site web de l’organisation, où vous pourrez confirmer vos renseignements personnels et financiers. En réalité, le lien vous dirige vers une page de renvoi frauduleuse, opérée par l’arnaqueur, qui reçoit les informations que vous inscrivez sur cette page.

Les hameçonneurs incluent habituellement dans leurs courriels des liens véritables, comme par exemple vers la page d’accueil réelle de l’entreprise, ou sa clause de confidentialité, pour accroître davantage l’apparence de légitimité de leurs courriels falsifiés.

• Sujet trompeur suggérant l’urgence: « Mise à jour immédiate! »
• Adresse de l’expéditeur falsifiée: le courriel semble faussement provenir de comptes@mabanque.com, par exemple.
• Contenu d’apparence authentique: l’aspect visuel et le style du courriel copient ceux des courriels véritables de la compagnie ciblée (incluant des liens et des images authentiques pour renforcer la confiance de la victime).
• Hyperliens déguisés: Un lien apparaissant comme https://www.votrebanque.com/login.php peut en vérité vous mener à http://www.arnaque!!!.com.
• Formulaire dans le courriel: il n’est pas sécuritaire d’inscrire des renseignements sensibles dans un tel formulaire.
  

Raisons souvent citées pour justifier le besoin de fournir à nouveau vos renseignements personnels:

• « Activité suspecte » dans votre compte: on vous avise d’une fraude potentielle dans votre compte (comble de l’ironie!) et vous demande de confirmer votre numéro de compte, NIP et autres informations sensibles afin de prouver que vous êtes bien le titulaire du compte et éviter sa suspension.
• Défaillance technique: suite à une panne de base de données, les renseignements relatifs à votre compte ont été « perdus » et on vous demande de les entrer à nouveau dans le système.
• Vous êtes déclaré vainqueur d’un (faux!) concours ou « sweepstakes » et devez fournir vos renseignements personnels pour obtenir votre prix.

Liens trompeurs: sites web d’hameçonnage

Les hameçonneurs appuient leur arnaque par courriel sur un site web « réplique » aussi identique que possible au site légitime pour parvenir à tromper les utilisateurs et qu’ils inscrivent leurs renseignements sans se douter de quoi que ce soit.

Les faux sites sont souvent de parfaits miroirs du site original. Seule la page de renvoi correspondant au lien fourni dans le courriel doit être fausse: les liens figurant sur cette page sont habituellement les bons liens vers le vrai site de l’organisation.

Paypal, eBay et les sites bancaires transactionnels comptent parmi les cibles les plus fréquentes des hameçonneurs.

3. Hameçonnage par virus

Certains virus ou chevaux de Troie (« trojans ») contiennent des enregistreurs de touches (« key loggers »), dont les effets équivalent ceux d’une attaque par hameçonnage. Cachés sur votre ordinateur, les enregistreurs de touches enregistrent tout ce que vous tapez au clavier et envoient ces informations à l’hameçonneur: noms d’utilisateur, mots de passe, numéros de comptes bancaires ou de cartes de crédit, etc. Les enregistreurs de touches sont particulièrement dangereux car ils facilitent le vol complet d’identité.

4. Que faire si vous êtes victime d'hameçonnage…

Si vous croyez avoir transmis des renseignements personnels et/ou financiers à un tiers mal intentionné:

• Signalez immédiatement le vol à l’émetteur de votre carte de crédit, à votre banque, aux principales agences d’évaluation du crédit et aux services gouvernementaux appropriés (par ex. l’Assurance sociale)
• Annulez votre compte et ouvrez-en un nouveau
• Examinez attentivement vos relevés de facturation

Dans le cas d’un virus ou cheval de Troie:

• Téléchargez les dernières définitions de votre antivirus et effectuez un balayage complet
• Mettez à jour votre pare-feu et confirmez toutes les connexions réseau autorisées par celui-ci
• Mettez à jour votre logiciel anti-logiciels espions et effectuez un balayage complet
• Une fois débarrassé de l'intrus, changez les mots de passe de tous vos comptes nécessitant une authentification en ligne: comptes bancaires et de commerce électronique, comptes eBay et Paypal, courrier électronique et connexion Internet, etc.
  

5. Derniers conseils et liens utiles

Puisque les hameçonneurs exploitent souvent les vulnérabilités des fureteurs, assurez-vous de télécharger et installer les mises à jour de sécurité (rustines, correctifs) dès qu'elles sont disponibles.

• Site Microsoft Sécurité
• Mozilla (Firefox) Security Center (anglais seulement)
• Support Apple

Téléchargez et installez la barre anti-hameçonnage de Netcraft qui vous aidera à identifier les sites frauduleux.

Liens pratiques:

• Anti-Phishing Working Group (anglais seulement)
• Fraud Watch International (anglais seulement)
• Phonebusters (Centre canadien anti-fraude)
• GRC
  

L'équipe d'Inter.net Canada

Pour vous désabonner à InterConnexion, cliquez ici.