Reconnaître un mail frauduleux est devenu important pour sécuriser son activité en ligne et éviter les arnaques car le phishing ou hameçonnage est une pratique massivement diffusée via la messagerie électronique ou les SMS. Les techniques se sont affinées avec le temps et ces messages sont de plus en plus réalistes. Outre la prudence qui doit être toujours de mise, voici quelques clés pour identifier un mail frauduleux dans l’ensemble des messages que vous recevez.
Comprendre le principe du Phishing
L’objectif du phishing est de récupérer vos identifiants en se présentant comme un service que vous utilisez couramment pour ensuite étendre l’action sur la majorité des services web que vous utilisez (messagerie, réseaux sociaux, e-commerce, assurance maladie, impôts, etc) afin de collecter des informations et de potentiellement vous bloquer les accès.
Cette usurpation d’identité permet de récupérer des données complémentaires, changer les mots de passe, changer ou récupérer des RIB et exploiter vos accès pour, finalement, détourner de l’argent, envoyer des fausses factures ou acheter des produits ou services à votre place.
L’envoi de ces messages est généralement adressé au hasard et de manière massive. La technique est malheureusement efficace, car la probabilité est élevée qu’une ou plusieurs personnes se fassent piéger et rentrent leurs données d’identification sans prendre de précaution. Il peut aussi s’agir d’un envoi très ciblé sur une entreprise ou un utilisateur stratégique pour pirater ses données.
Quelques réflexes à avoir pour reconnaître un mail frauduleux
La demande de connexion par mail
Rares sont les services qui vous demandent de vous connecter via un mail, encore moins par téléphone ou SMS sans une action spécifique de votre part, donc prudence par défaut.
Pour éviter la propagation en cas de récupération de votre identifiant sur un service : il faut utiliser des mots de passe différents pour tous les accès, services en ligne ou logiciels. [tutos : choisir un bon mot de passe]
Est-ce un prestataire habituel et connu par vous ?
Le premier réflexe est de voir s’il s’agit d’un service, un fournisseur ou d’un organisme qui vous concerne et surtout dont vous êtes utilisateur ou client.
L’identité de l’expéditeur est-elle cohérente ?
Il s’agit d’identifier en regardant l’adresse mail si l’expéditeur est bien celui qu’il prétend être, par exemple : serviceclient@orange.service-operateur.com. Vous pouvez vérifier si l’adresse mail est bien rattaché au nom de domaine de l’entreprise.
Idem si vous avez un lien web cliquable en survolant le lien.
Le message est-il cohérent ?
Il est important de lire précisément le message afin d’identifier par exemple des fautes d’orthographe et de vérifier si le contenu du mail correspond à ce qu’est en mesure de vous demander l’expéditeur.
Prendre la promesse de ce message avec prudence
Proposition d’un gain, d’un remboursement, d’un concours, d’un pourcentage de remise ou éventuellement une urgence à faire une action spécifique en vous connectant ? : il est certain que ce message présente un risque.
Être attentif lors d’un changement de RIB de fournisseur
À la suite d’une attaque sur un de vos fournisseurs, vous pouvez recevoir un mail précisant que les virements sont maintenant à faire sur un nouveau compte après un changement de banque.
Par sécurité, il est prudent de le contacter pour avoir confirmation.
Demande de paiement
Réception d’un SMS ou un mail demandant un paiement en ligne avec un message d’urgence avant une sanction ou une perte de biens.
Pour une demande de changement de mot de passe ou de connexion
Soyez vigilant si vous recevez un mail pour changer votre mot de passe venant d’un système que vous utilisez (Windows, Gmail) sans que vous l’ayez sollicité. Ce message a sûrement pour objectif de prendre le contrôle de ce service si vous rentrez vos identifiants.
Un SMS, un message ou un appel d’un de vos fournisseurs numériques
Bien que ce ne soit pas tout à fait la même technique, vous pouvez recevoir un SMS ou un appel que votre téléphone mobile identifie comme étant celui d’un de vos prestataires (en particulier la banque ou un service informatique) avec une proposition de corriger une erreur après avoir donné vos identifiants. Dans ce cas, ne donnez aucune information.
Une demande d’aide d’un proche ou d’un salarié
Une demande d’argent liée à une perte de téléphone via SMS ou sur les réseaux sociaux est surement une prise de contact avec une tentative de récupération d’informations de connexion ou d’argent. Donc par défaut, supprimez le message.
Pour aller plus loin
Comment reconnaître un mail de phishing ou d’hameçonnage ? (vidéo et fiches pratiques)
Que faire en cas de phishing ou hameçonnage ?
Sensibilisation à la cybersécurité
—
Crédits photos :
En-tête d’article : Photo de Lindsey LaMont sur Unsplash
