Sécurité du courrier électronique: Vous avez un message.
Sécurité sur Internet
Lettres, notifications, newsletters, documents et bien plus inondent nos messageries électroniques. Les escrocs tentent de nous piéger en glissant des messages frauduleux dans ce flot d’informations.
Menacé·e par un courriel
Si la cybermenace a aujourd’hui plusieurs visages et s’exerce via de nombreux canaux, le courriel en reste un des principaux vecteurs. Qu’elle soit privée ou professionnelle, la communication par courriel a l’air personnelle, mais c’est une illusion. N’importe qui peut vous envoyer un message – et ne s’en prive pas.
Les scénarios des attaques par courriels ont souvent la même trame : ils vous incitent à faire quelque chose que vous ne devriez pas faire, comme cliquer sur un lien, ouvrir un document ou transférer de l’argent. Et c’est toujours urgent : vous devez agir dans la minute, ce qui vous empêche de réfléchir.
«C’est toujours urgent !»
Scénario I : Cliquez ici !
Le cybercriminel vous pousse à visiter un faux site web pour vous voler vos données de connexion ou infecter votre ordinateur avec un maliciel. Voici trois méthodes typiques que essaient de vous manipuler.
Offre alléchante - Un iPhone à CHF 1.00, un gain de loterie, 80% de rabais sur des sacs de marque.
Menace - Votre compte sera supprimé, vos courriels seront effacés, votre compte a été piraté.
Fausse identité - Votre service informatique, votre banque, un·e ami·e, un·e collègue.
Vous avez cliqué ? Pas de panique.
Changez vos mots de passe.
Lancez votre programme antivirus.
Contactez votre service informatique.
En savoir plus :
Phishing
Le hameçonnage (Phishing en anglais) est une technique utilisée par les cybercriminels pour accéder aux données personnelles des internautes et commettre des vols d’identité au moyen de sites Web et d’emails frauduleux. En savoir plus ...
Ingénierie sociale
L’ingénierie sociale ou Social Engineering est une méthode d’espionnage répandue visant à obtenir l’accès à des données confidentielles.
La cible de l’attaque est toujours la personne humaine. Pour soutirer des informations confidentielles, les arnaqueurs exploitent très souvent la bonne foi, la serviabilité, mais aussi l’insécurité des personnes. Que ce soit par téléphone, en se faisant passer pour quelqu’un d’autre, ou par Internet (attaques par hameçonnage), ils sont prêts à tout pour obtenir ce qu’ils veulent.
Spam
Le spam désigne l’envoi massif de courriels indésirables ou non sollicités à des fins publicitaires. Un spam contient souvent des pièces jointes infectées ou des liens conduisant à des sites Web piratés.
Scénario II : Ouvrez ce document !
Le cybercriminel vous pousse à ouvrir ou télécharger un document dans le but d’installer un maliciel sur votre ordinateur. Voici trois méthodes typiques que essaient de vous manipuler.
Menace - Vous avez omis de régler une facture (cf. pièce jointe !), vous avez signé un contrat.
Curiosité - Un lanceur d’alertes vous confie une information secrète, quelqu’un vous confie des informations salariales ou stratégiques par erreur.
Fausse identité - Julian Assange, tout prestataire de services, une société de recouvrement, une grande banque, une entreprise très connue, votre employeur, un·e candidat·e.
Vous avez ouvert un document ? Pas de panique.
Supprimez le document complètement.
Lancez votre programme antivirus.
Contactez votre service informatique.
En savoir plus :
- De vous espionner,
- De voler, supprimer, bloquer, modifier ou copier vos données personnelles,
- De voler vos mots de passe
- D’exécuter n’importe quelle action nuisible
Ransomware
Les ransomware sont des logiciels malveillants qui infectent votre ordinateur et affichent des messages demandant de verser une certaine somme.
Cette catégorie de programmes malveillants est une arnaque lucrative et criminelle qui peut être installée en cliquant sur des liens trompeurs dans un e-mail, via la messagerie instantanée ou un site Internet. Les ransomware ont la capacité de verrouiller l’écran d’un ordinateur ou de chiffrer des fichiers importants prédéfinis avec un mot de passe.
En général, les attaques typiques demandent 100 à 200 dollars. D’autres attaques peuvent viser plus haut, notamment si le pirate sait que les données retenues en otage peuvent engendrer une perte financière directe et significative pour l’entreprise.
Quel que soit le scénario, même si la rançon est payée, il n’est nullement garanti que les utilisateurs de l’ordinateur pourront à nouveau accéder à leur système dans son intégralité.
Cheval de Troie
Un cheval de Troie est, comme le raconte la fameuse légende de l’Ilyade d’Homère, une ruse d’un cybercriminel pour faire intrusion dans votre système. En informatique, c’est un programme malveillant caché dans un logiciel à l’apparence sain, qui fait intrusion dans votre système et agit à votre insu.
Les cybercriminels usent de techniques d’ingénierie sociale pour vous inciter à charger et à exécuter ce cheval de Troie.
Une fois bien installé dans votre système, il permet à son concepteur :
Il peut aussi créer une brèche dans la sécurité de votre réseau qui peuvent impacter d’autre utilisateurs. Les chevaux de Troie ne doivent pas être confondus avec les virus car ils ne s’auto-répliquent pas.
Malware
Le terme Malware est la contraction de l'expression anglophone "malicious software". Il désigne tout programme ou logiciel spécifiquement conçu pour endommager un ordinateur. En réalité, c'est un terme générique qui désigne plutôt une classe de logiciel qu'un type précis de programme. Les virus, les chevaux de Troie, certains javascripts ou applets java en font partie.
Il existe deux manières de se protéger de ce genre de nuisances : bien utiliser les réseaux qui sont la principale source d'infection par malware. Par exemple, en n'ouvrant pas les pièces jointes des mails qui paraissent douteux, en évitant la fréquentation de certains sites illicites qui peuvent être de potentiels diffuseurs de malware. Il est également conseillé de protéger sa machine au moyen d'antivirus et autre firewall.
Spyware
Un spyware, également désigné en français par les noms de "logiciel espion", "espiogiciel" et "mouchard" est un logiciel malveillant qui s'installe dans un Ordinateur à l’insu de son utilisateur.
Le premier moyen de diffusion d’un spyware est en effet le chargement de certaines pages Web qui installent le logiciel espion à l'insu de l'utilisateur. Par ailleurs, ces logiciels sont souvent présents dans les logiciels totalement ou partiellement gratuits, appelés Freeware et shareware.
Mais peu importe la technique d'invasion des spywares, ils s'exécutent discrètement en arrière-plan, collectent des informations ou surveillent vos activités afin de déclencher des activités malveillantes liées à votre ordinateur et la façon dont vous l'utilisez. Ces activités incluent notamment l'enregistrement de vos saisies, de vos identifiants, de vos adresses e-mail personnelles, de données de formulaires Web, d'informations concernant l'utilisation d'Internet et d'autres informations personnelles telles que des numéros de cartes de crédit, ainsi que des captures d'écran.
Scénario III : Transférez l’argent !
Le cybercriminel vous pousse à transférer de l’argent via une société de transfert de fonds (Western Union) ou au moyen de bitcoins. Voici trois méthodes typiques que essaient de vous manipuler.
Menace - Si vous ne transférez pas l’argent, un projet très important échouera, vous serez licencié·e, des informations très personnelles vous concernant seront divulguées, le contact sera rompu.
Offre alléchante - En investissant une petite somme d’argent, vous en obtiendrez beaucoup plus en retour, un ami a besoin de votre aide.
Fausse identité - Un ami, votre supérieur, un prince nigérian, un fournisseur, un employé de banque.
Vous avez transféré de l’argent ? Pas de panique.
Contactez votre banque.
Cessez immédiatement toute communication avec le cybercriminel.
Déposez plainte à la police.
En savoir plus :
CEO Fraud
La « CEO fraud », baptisée aussi « fraude au président » ou « Fake President », est une forme de cyberattaque à redouter. En effet, 90 % des piratages basés sur cette technique ont été réalisés avec succès. Même si celle-ci reste encore peu employée, il importe de savoir comment les cybercriminels procèdent et dans quel but.
Le CEO fraud ou Fake President est une forme de "Social Engineering" et consiste à compromettre le compte e-mail du dirigeant d’une entreprise. Le pirate utilise un nom de domaine de messagerie proche de celui de ce dernier pour envoyer à des destinataires visés un courrier électronique. Par conséquent, ceux-ci sont induits en erreur en toute facilité.
Les cybercriminels ciblent les professionnels ayant accès à des données sensibles, à l’exemple de l’assistant exécutif du PDG. Ils peuvent également demander, par le biais d’un e-mail, à une personne autorisée, RH ou autre employé du département financier, la réalisation de paiements. Ils exigent souvent que la transaction soit effectuée en urgence. Pour réussir leur coup, les pirates cybercriminels procédant par cette technique n’oublient pas d’évoquer qu’il s’agit d’une requête hautement confidentielle.
Spoofing de courriels
Le terme spoofing vient de l’anglais to spoof et signifie tromper, falsifier, usurper, ce qui est tout à fait pertinent ici : des escrocs cherchent à tromper les destinataires de leurs courriels. Leur objectif ? L’hameçonnage ou le chantage.
Mode opératoire : ils envoient des courriels munis d’une adresse d’expéditeur falsifiée qui ressemble à s’y méprendre à des adresses fiables et connues. Pour ce faire, ils passent par des domaines Internet qu’ils ont loués en amont. Ainsi les destinataires, voyant arriver un courriel émanant d’une adresse familière, ne se méfient pas.
Une autre possibilité de spoofing consiste pour les pirates à manipuler l’en-tête du courriel. Ils modifient l’intitulé de l’expéditeur de sorte qu’il n’est pas ou guère possible de le distinguer de l’original.
Ce procédé permet à l’expéditeur d’envoyer des messages qui semblent provenir d’un compte connu ou sérieux, voire souvent aussi du propre compte du destinataire.
Que faire ?
1. Prenez votre temps. Chaque fois qu’il y a urgence, respirez profondément avant de cliquer sur un lien, d’ouvrir un document ou de transférer de l’argent. Examinez la situation avec objectivité.
2. Examen objectif. Si quelque chose est trop beau pour être vrai, en particulier sur Internet, demandez-vous si la demande ou l’offre que vous avez reçue par courriel est réaliste : ai-je vraiment participé à une loterie, est-ce qu’une grande marque braderait ses sacs, pourquoi un lanceur d’alertes m’enverrait-il des documents ?
3. Vérification. Si votre examen objectif n’est pas concluant, faites une vérification. Si le message suspect semble émaner de votre banque, appelez-la. S’il provient de votre supérieur, allez lui parler. Si c’est une facture ou un contrat d’une entreprise que vous connaissez, appelez-la.
Règles générales de protection
- Si vous recevez une pièce jointe d’un·e inconnu·e. ne l’ouvrez pas. Détruisez-la sur le champ. Méfiez-vous aussi des pièces jointes envoyées par des proches si vous n’en attendez pas : leurs comptes de messagerie sont peut-être infectés ou leurs adresses de courriel falsifiées.
- Faites glisser votre souris sur le lien avant de cliquer pour voir si l’URL semble sérieuse.
- Au lieu de cliquer sur un lien, ouvrez un nouveau navigateur et tapez l’adresse.
- Ne donnez pas votre adresse électronique à des sites à qui vous ne faites pas confiance.
- Ne publiez pas votre adresse électronique sur des sites web publics ou des forums. Les spammeurs ont pour habitude de scanner ces sites pour y glaner des adresses électroniques.
- Sachez que jamais une entreprise sérieuse ne vous demandera des informations personnelles par courriel.
- En cas d’adresse de courriel suspecte, faites une recherche sur Internet pour vérifier si d’autres personnes la connaissent et s’ils l’ont identifiée comme étant sérieuse ou non.
