Les techniques d’ingénierie sociale sont spécialement conçues pour prendre avantage sur la nature humaine. Ceci inclut le fait que les gens ont tendance à faire plus d’erreurs lorsqu’ils sont dans une situation d’urgence, lorsqu’ils sont curieux ou encore lorsqu’ils croient être en contact avec une autre personne en position de pouvoir. Selon un rapport publié par Forbes sur les statistiques en cybersécurité de 2021, 80% des incidents de sécurité rapportés par les utilisateurs sont dans la catégorie de l’hameçonnage. Les rançongiciels et l’hameçonnage demeurent les risques les plus importants pour les organisations en 2021, c’est pourquoi il est important de mettre en place des solutions qui nous aident à nous en protéger.
L’hameçonnage en 2 catégories
Divulguer de l’information sensible par le biais de sites Web copiés
Les utilisateurs recevront un courriel à l’image d’une entreprise existante, avec un message simulant une urgence relative à leur compte ou leurs informations. Dans le courriel se trouve un lien qui redirige ces derniers vers un site qui est une copie presqu’identique du site original de l’entreprise. Celui-ci, en revanche, capture toute l’information saisie dans les formulaires par l’utilisateur.
Installer un logiciel malveillant
Les utilisateurs reçoivent un courriel avec une pièce jointe ou un lien vers un site Web frauduleux qui installent un logiciel malveillant sur leurs périphériques. Encore une fois, le courriel simulera de provenir d’une personne ou d’une entreprise de confiance.
Comment identifier un courriel d’hameçonnage?
- Repérer les erreurs
Les courriels frauduleux sont souvent porteurs de fautes d’orthographe et d’une mauvaise structure de texte. Souvent, avec une lecture attentive, nous pouvons identifier un courriel d’hameçonnage par sa piètre qualité. - Demande d’information sensible
Les organisations établies ne demanderont jamais de renseignements personnels par courriel. Si vous recevez un courriel qui demande des informations sensibles, il est important de ne pas les fournir et de signaler le courriel comme étant potentiellement frauduleux. - Message alarmant avec beaucoup d’avertissements et de conséquences
Certains messages peuvent provoquer un sentiment d’urgence en prétextant un compte expiré, piraté, ou une perte de service importante. C’est impératif de ne jamais ouvrir les liens dans ces messages, et de valider en consultant directement le site officiel des organisations en question. - Offre urgente
Certains acteurs malveillants concevront un message qui propose une offre limitée sur le point d’expirer afin d’attirer les victimes vers un site trafiqué. Si une victime tente de réclamer l’offre, le site enregistre ses informations de paiement pour de la fraude ultérieure. Il est important de ne pas fournir vos informations à des commerces qui vous sont inconnus ou pour lesquels vous n’êtes pas déjà abonnés. - Site Web non sécurisé
Un élément qui est très indicateur d’un site Web frauduleux est l’absence de certificat sécurisé. Lorsqu’on clique sur un lien dans un courriel et que l’adresse du site, dans la barre d’adresse, n’est pas précédée d’un cadenas et est plutôt précédée d’un message d’alerte, il est important de ne jamais y fournir d’informations car celles-ci pourraient être volées.
Que faire lorsque vous croyez avoir reçu un courriel d’hameçonnage?
- Ne pas paniquer ni cliquer sur les liens
Il est important de rester calme. Les logiciels de messagerie reconnus empêchent généralement l’exécution de code lors de l’ouverture d’un courriel, alors la simple lecture ou prévisualisation d’un courriel présente un risque faible, quoique toujours existant. Le risque principal se situe normalement dans les pièces jointes et les liens. Il est donc important de ne pas les consulter. Si vous voulez, après la lecture d’un courriel frauduleux, vous pouvez lancer une analyse complète de votre système avec un anti-virus. - Valider l’identité de l’expéditeur du message
Si vous connaissez l’expéditeur du message, validez avec celui-ci si c’est bien lui qui a envoyé le courriel suspect. Il est important de ne pas répondre au message suspect, mais bien de rédiger un nouveau courriel en utilisant une adresse connue, ou avec un appel téléphonique. Si le courriel vient d’une entreprise connue, visitez leur site Web officiel (sans suivre le lien dans le message) pour y trouver une ressource que vous pourrez contacter. - Signaler le message comme étant de l’hameçonnage
Certaines fonctions peuvent être activées dans les logiciels de courriel qui permettent de signaler les courriels frauduleux. Si ces fonctionnalités ne sont pas accessibles dans votre outil de courriel, vous pouvez suggérer à votre équipe technique de les activer. Lorsque vous croyez avoir reçu un courriel d’hameçonnage, vous pouvez, une fois le courriel ouvert, aller dans la barre d’outils, sous l’onglet «Message», sélectionner l’option «Signaler le message». - Supprimer le courriel
Après avoir signalé le courriel, il n’y a aucune raison de le conserver. Vous pouvez donc le supprimer de votre boite aux lettres, et par la suite des «éléments supprimés».
Pour en savoir plus
Hameçonnage: ne mordez pas!
Vidéo de sensibilisation de la campagne Pensez cybersécurité du gouvernement du Canada
Hameçonnage: Ne vous laissez pas prendre
Pensez cybersécurité, campagne de sensibilisation du gouvernement du Canada
Comment protéger vos données contre les attaques d'hameçonnage par courriel
Document préparé par Terranova Security et partagé sur le site du l'Université du Québec à Chicoutimi (UQAC)
Qu'est-ce que l'hameçonnage?
Document préparé par Terranova Security et partagé sur le site du l'Université du Québec à Chicoutimi (UQAC)
L’extorsion par hameçonnage: ce que c’est, et comment vous en protéger
Pensez cybersécurité, campagne de sensibilisation du gouvernement du Canada
How to avoid social engineering attacks
Vidéo diffusée sur la chaîne YouTube Google Help