Comment éviter les escroqueries par hameçonnage
Publié: 2022-01-29L'écriture de logiciels malveillants n'est qu'un autre travail de codage de nos jours, mais c'est un travail difficile. Les codeurs légitimes doivent créer des programmes qui font ce qu'ils sont censés faire, en coopération avec le système d'exploitation et tout autre processus. Les codeurs de logiciels malveillants ont la tâche supplémentaire de concevoir des programmes capables de cacher leurs actes néfastes au système d'exploitation et aux programmes antivirus. Ce n'est pas un moyen facile de gagner de l'argent. Il n'est donc pas étonnant que certains malfaiteurs évitent d'essayer de déjouer le système d'exploitation et se tournent vers une cible beaucoup plus facile… vous ! Ils créent des copies frauduleuses de sites Web populaires et attendent que les victimes se connectent. Lorsque vous remplissez vos informations d'identification sur l'un de ces faux, vous avez donné votre compte aux fraudeurs. Gardez les yeux ouverts, cependant, et vous pouvez éviter d'être victime d'une arnaque.
Le facteur COVID-19
Avec un grand nombre de personnes coincées à la maison, à la recherche de divertissement sur Internet, les escrocs par hameçonnage sont au paradis du porc. Pour commencer, ils viennent de gagner un public plus large pour les fraudes ordinaires de vol d'informations d'identification. Mais la peur, l'incertitude et le doute suscités par cette pandémie sans précédent constituent un fourrage parfait pour de tout nouveaux types d'escroqueries.
Même en avril 2020, Google a signalé avoir bloqué 18 millions d'escroqueries liées aux virus chaque jour. Google fait du bon travail ; les estimations suggèrent qu'il bloque 99,9% des spams et des e-mails de phishing. Cela signifie, cependant, que 18 000 messages indésirables sont passés, à un nombre inconnu de victimes, chaque jour.
Les arnaqueurs de virus ne cherchent pas seulement vos mots de passe ; ils veulent votre argent. Les escroqueries et les escroqueries existent depuis aussi longtemps que l'humanité, et elles fonctionnent aussi bien en ligne qu'en personne. Méfiez-vous de tout e-mail ayant un lien avec la pandémie, surtout s'il vous invite à cliquer sur un lien ou à télécharger un fichier. Si le sentiment d'urgence du faux e-mail vous inquiète, allez directement à la source plutôt que d'utiliser un lien fourni.
N'oubliez pas non plus que le chèque que vous attendez de l'Oncle Sam s'appelle un "paiement de relance économique". Si vous voyez une phrase comme "vérification du stimulus", vous êtes en présence d'une arnaque.
Je n'ai personnellement rencontré aucune fraude ou escroquerie liée au COVID-19, peut-être grâce à Google. Et les sites Web que j'explore pour trouver des fraudes par hameçonnage dans le monde réel pour les tests se concentrent sur le vol d'informations d'identification, et non sur d'autres types d'escroqueries. Mais je ne doute pas une seconde que les escrocs de virus sont là, en force.
Pour des conseils spécifiques sur la façon de vous protéger contre ce type de menace, veuillez lire Comment repérer et éviter les escroqueries liées au COVID-19.
Comment fonctionnent les escroqueries par hameçonnage
La clé pour exécuter une escroquerie par hameçonnage avec vol d'informations d'identification est de créer une réplique d'un site Web sécurisé qui est assez bonne pour tromper la plupart des gens, ou même seulement certaines personnes. Avec les contrefaçons les plus élégantes, chaque lien redirige vers le vrai site. Eh bien, tous les liens sauf celui qui soumet votre nom d'utilisateur et votre mot de passe aux auteurs. Cerise sur le gâteau, les fraudeurs peuvent essayer de créer une URL qui semble au moins un peu légitime. Au lieu de paypal.com, peut-être pyapal.com ou paypal.security.reset.com.
Cependant, toutes les pages de phishing ne sont pas bien faites. Certains utilisent les mauvaises couleurs ou ne correspondent pas à la page qu'ils imitent. D'autres ont des URL totalement peu convaincantes, comme admin.dentistry.com/forms ou X8el87.journal.com. Même ces contrefaçons boiteuses peuvent ramasser quelques ventouses, apparemment, sinon les fraudeurs abandonneraient.
Lorsque vous entrez votre nom d'utilisateur et votre mot de passe sur un site de phishing, les propriétaires du site obtiennent un accès complet à votre compte. Pour vous empêcher de réaliser que vous avez été victime d'une arnaque, ils peuvent transmettre les informations d'identification au site réel, de sorte qu'il semble que vous vous soyez connecté normalement. Votre seul indice peut venir lorsque vous constatez que votre compte bancaire est vide, ou que vous ne pouvez pas vous connecter à votre messagerie, et que vos amis disent qu'ils reçoivent des spams de votre part. Alors, comment vous protégez-vous contre ce genre d'attaque ?
Éliminer l'évident
Certains faux sites Web sont tout simplement trop mal mis en œuvre pour convaincre quiconque y prête attention. Si vous créez un lien vers un site et qu'il ressemble à des ordures, appuyez sur Ctrl + F5 pour recharger totalement la page, au cas où la mauvaise apparence serait un hasard. Mais si cela ne semble toujours pas correct, restez à l'écart.
Consultez la page ci-dessus. Le formatage est bizarre, et c'est encore plus bizarre lorsque vous modifiez la largeur de la fenêtre du navigateur. Les libellés des champs e-mail et mot de passe se déplacent différemment des champs de saisie de données correspondants. À quel point aurait-il été difficile de centrer tout le contenu ?
Lorsque vous créez une page de phishing, la vraisemblance est essentielle. L'utilisation d'un service d'hébergement Web gratuit qui laisse sa bannière sur votre page ou son domaine dans votre URL est une sorte de cadeau. Même ainsi, chaque fois que j'exécute un test de protection contre le phishing, je rencontre une poignée de contrefaçons comme celle-ci. Qui croirait que Facebook utilise 000webhostapp.com ?
Vérifier l'adresse
Les navigateurs Web modernes ne se concentrent plus sur la barre d'adresse. C'est maintenant la barre de recherche plus adresse, à tout le moins. Mais cette barre d'adresse est une ressource extrêmement importante lorsque vous regardez une page pour confirmer qu'elle est légitime. Les meilleurs renifleurs de phishing peuvent repérer une URL décalée du coin de l'œil, sans même y penser.
Méfiez-vous des tentatives d'obscurcissement de la partie domaine réelle de l'URL. C'est la partie qui précède immédiatement le dernier .com, .net, .org, etc. Tout ce qui précède le domaine n'est qu'un sous-domaine. Si l'URL fakery.paypal.com existait, ce serait un sous-domaine de paypal.com. Si à la place vous voyez paypal.fakery.com, eh bien, c'est du pur fake !
Les attaques de phishing sur les comptes Dropbox ou d'autres comptes de stockage en ligne n'ont pas la valeur garantie que les voleurs obtiennent en capturant les identifiants bancaires. A l'inverse, les gens n'appliquent pas forcément le même niveau de vigilance à ces comptes. Tout peut apparaître dans le stockage en ligne, d'une liste de commandes de cookies Girl Scout à des plans secrets pour une mission sur Mars. De même, il n'y a pas beaucoup de potentiel de revenu évident dans la capture de connexions pour le streaming multimédia, mais l'accès à ce compte peut conduire à compromettre un compte plus important avec les mêmes informations d'identification. Jetez un oeil à la barre d'adresse dans l'image ci-dessus. Même si vous vous connectez à Netflix en escroquant les informations d'identification d'un ami idiot, vous ne verrez sûrement pas "idiotfriend" dans l'URL !
Voici une autre bizarrerie. Il est clair que l'URL ne représente ni Xfinity, ni Comcast, ni aucune marque apparentée. Mais au-delà de cela, le navigateur agite un grand drapeau rouge, soulignant que le certificat de sécurité du site a été révoqué. Oui, les webmasters des sites valides se trompent parfois et laissent leurs certificats expirer, mais cette page est clairement une fraude.
Cherchez la serrure
Le système de communication HTTP (HyperText Transfer Protocol) utilisé pour la communication Internet de base est un vestige des premiers jours du World Wide Web. Ce n'est pas sécurisé, car personne n'imaginait que d'autres faisaient de mauvaises choses sur Internet naissant. Eh bien, les méchants sont là, et la seule façon sensée de se connecter est d'utiliser le protocole sécurisé HTTPS. Les navigateurs Web affichent une icône de verrouillage pour les pages HTTPS. Chrome va plus loin en marquant activement les sites HTTP comme "non sécurisés". Vous ne devez jamais vous connecter à un site qui n'utilise pas HTTPS.
"Mais attendez", vous pouvez dire, "qu'en est-il d'un site légitime qui n'a tout simplement pas réussi à se sécuriser?" Désolé, je ne l'achète pas. À l'ère du HTTPS Everywhere, il n'y a aucune excuse. Un site qui veut que vous vous connectiez sans utiliser HTTPS, même s'il ne s'agit pas d'une fraude, n'est tout simplement pas légitime.
Si vous ne remarquez pas le domaine .ru, cette page peut ressembler à une page de connexion Amazon légitime. Notez cependant qu'il n'y a pas de verrou et que l'adresse commence par http:, et non par https:. Ne touchez pas cette page ; c'est mal !
Recommandé par nos rédacteurs
Parfois, vous ne pouvez pas le dire en regardant. Le site Web de la Commonwealth Bank appelle son système bancaire en ligne Netbank. La page sécurisée de netbank.com illustrée ci-dessus semble légitime. Si vous n'êtes pas sûr, un rapide coup d'œil aux données whois du domaine peut vous aider à prendre votre décision. Je pense que nous pouvons être d'accord, il est très peu probable que le site actuel de la Commonwealth Bank gare son hébergement avec CrazyDomains.com.
Considérez la source
Vous l'avez entendu un million de fois. Ne cliquez pas sur les liens contenus dans les e-mails de personnes que vous ne connaissez pas. Ne cliquez pas sur les liens dans les messages de personnes que vous connaissez, car ils peuvent avoir été piratés. C'est un bon conseil ! Cliquer sur un lien aléatoire peut vous mener vers un site hébergeant des logiciels malveillants ou vers une fraude. Lorsque le lien vous amène à une page de connexion, il est particulièrement important de considérer la source.
Il est concevable que vous receviez un e-mail de votre banque, bien que de nombreuses banques évitent cette forme de communication. Si vous avez cliqué sur un lien sur un site non lié et que vous vous êtes retrouvé à la connexion à la Banque d'Armorique, il y a de fortes chances que ce soit un faux.
Nos utilitaires antivirus les mieux notés
Voir tout (4 articles)
Mais que se passe-t-il si votre banque, ou l'IRS, ou PayPal essaie vraiment de vous joindre au sujet d'un problème avec votre compte ? La solution est simple : ignorez le lien et connectez-vous directement au service, comme vous le feriez normalement.
Obtenez de l'aide pour lutter contre l'hameçonnage
Déjouer les fraudeurs, repérer leurs ruses les plus rusées, vous donne un bon sentiment, à coup sûr. Mais vous ne serez peut-être pas aussi pointu demain, il est donc avantageux de demander de l'aide dans la lutte contre les escroqueries par hameçonnage. Les navigateurs modernes ont une protection intégrée contre les sites frauduleux, et ils font un travail décent. La plupart des produits antivirus et de suite de sécurité ajoutent leur propre protection contre le phishing ; les meilleurs d'entre eux obtiennent des scores allant jusqu'à 100% de protection lors de nos tests.
L'utilisation d'un gestionnaire de mots de passe vous aide également à vous protéger des fraudes. Avec la plupart de ces produits, vous pouvez visiter un site sécurisé et vous connecter en un seul clic. Et si vous parvenez d'une manière ou d'une autre à accéder à un site frauduleux, le fait que votre gestionnaire de mots de passe ne remplisse pas les identifiants de connexion enregistrés est un gros signal d'alarme.
Les internautes les plus avertis utilisent un réseau privé virtuel, ou VPN, pour leurs activités en ligne. L'utilisation d'un VPN protège vos données en transit, car les données voyagent sous forme cryptée vers le serveur VPN. Il offre également une certaine protection contre le cyber-harcèlement, car votre trafic semble provenir du serveur VPN, et non de votre adresse IP locale. Mais acheminer le trafic Web via un VPN n'aide en rien contre le phishing. Lorsque vous donnez vos informations d'identification aux propriétaires d'un site de phishing, peu importe comment ils y sont arrivés. Les attaques de phishing vous ciblent, pas vos appareils ou vos systèmes de communication.
Le phishing est plus répandu que vous ne le pensez. Pour obtenir les images de cet article, je viens de récupérer les cinq ou six douzaines de fraudes vérifiées les plus récentes sur un site de suivi de phishing populaire et je les ai parcourues à la recherche de bons exemples. Oui, les pages frauduleuses sont rapidement mises sur liste noire, mais les escrocs se ferment simplement et apparaissent avec une nouvelle page d'arnaque.
Protégez-vous du phishing
Pour éviter la douleur de vous faire arnaquer avec votre argent dont vous avez tant besoin, ou l'embarras de donner vos données sensibles à une fraude, utilisez les ressources disponibles telles que les gestionnaires de mots de passe et le système de détection de phishing de votre antivirus. Mais gardez les yeux ouverts, pour repérer les fraudes qui passent. Si une page provient d'un lien suspect, s'il n'y a pas de verrou HTTPS dans la barre d'adresse, si elle semble fausse, n'y touchez pas ! Votre vigilance sera payante.