Le « phishing », arnaque aux faux sites Internet

Des e-mails frauduleux pour récupérer vos données personnelles

26 oct. 2009 Arnaud Devillard

Les escroqueries aux faux e-mails vous demandant de remplir un formulaire d'informations sensibles se multiplient et se perfectionnent. Attention à ce que vous faites...

Vous en avez forcément déjà reçu au moins un : un e-mail d'une banque ou d'un site de commerce en ligne vous avertit qu'il y a un problème sur votre compte, ou que suite à une mise à jour des bases de données, il faut que vous envoyiez certaines informations.

Un lien est fourni. Vous cliquez et là, un formulaire apparaît. Vous n'avez qu'à le remplir : nom, mot de passe, adresse, login, coordonnées bancaires, e-mail… Stop, arrêtez tout, ne faîtes jamais ça ! Il s'agit d'une arnaque que l'on appelle le « phishing »

Usurpation et contrefaçon

Le terme, traduit en français par « hameçonnage » , est un condensé de « phreaking » (une arnaque par téléphone) et « fishing » (« pêcher »). L'idée consiste à tromper l'internaute en lui faisant croire qu'il a affaire à un interlocuteur officiel tout ce qu'il y a de plus sérieux. Bref : endormir la méfiance pour amener la personne à fournir des informations confidentielles.

Les mails se présentent comme émanant du Crédit Lyonnais, de la Caisse d'Epargne, de BNP Paribas, d'Amazon, d'Orange… Avec logo et charte graphique correspondants reproduits. C'est un peu une usurpation d'identité, avec contrefaçon de marque.

Il y a quelques années, la plupart des messages étaient rédigés en anglais. Comme en 2005, où une vaste attaque de « phishing » avait impliqué quatre banques en même temps avec un mail commençant ainsi : « Dear Societe Generale/BNP Paribas/CIC Banque/Banque CCF member »

Ou alors, quand les messages étaient en français, ils étaient farcis de fautes. Puis, au fur et à mesure que ce type d'arnaque a été plus connu, les escrocs ont soigné leurs approches. La contrefaçon des logos s'est améliorée, le formulaire proposé et l'usage du français aussi, les mails se sont vus dotés des mentions et crédits « officiels » de l'organisme censé vous l'avoir l'envoyé.

E-mails d'Orange et de Free

Bien sûr, le formulaire n'est en aucun cas mis en ligne sur le site de la société qui soit disant vous contacte. C'est un leurre, relié à des serveurs ou à d'autres sites Internet contrôlés par les escrocs, souvent à l'étranger.

Si vous vous faites avoir, ceux-ci vont pouvoir récupérer les informations que vous avez de vous-même données, pour ensuite s'en servir. Faire des achats avec vos coordonnées bancaires, puiser dans votre compte, utiliser sur Internet vos login et mot de passe, revendre vos données personnelles qui iront alimenter des fichiers d'e-mails marketing, etc.

Les banques ou Paypal ont longtemps été les principaux organismes visés. Aujourd'hui, les banques sont très attentives et communiquent régulièrement sur leurs sites Internet à propos des arnaques en cours.

C'est pourquoi les escrocs du « phishing » varient désormais leurs angles d'attaques. A l'automne 2009, de faux mails d'Orange et de Free sont apparus. « Il a été porté à notre attention que les informations de votre compte Free doit être mise [sic] à jour dans le cadre de notre engagement à protéger votre compte et à réduire les cas de fraude sur notre site Web »explique ainsi un mail (grammaire respectée !) émanant soi-disant du service client de Free.

Les Impôts et la CAF en ligne de mire

La procédure ne change pas: l'internaute est invité à saisir ses informations dans un formulaire. Faute de quoi, affirme le mail, il risque de voir sa connexion à Internet coupée…

Plus récemment, les escrocs ont usurpé l'identité de la Caisse d'allocations familiales faisant croire que vous pouviez toucher 325,54 euros. Mieux encore, début octobre, la Direction générale des impôts était impliquée.

Un e-mail très bien imité renvoyait à une page elle aussi confondante de réalisme du site impots.gouv.fr. Le message promettait à l'internaute un remboursement de 178,80 euros sur ses impôts, s'il prenait soin de fournir nom, numéro de carte bancaire, code confidentiel et date d'expiration de la carte !

Avertissement du ministère du Budget

Le ministère du Budget s'est fendu le 6 octobre 2009 d'un communiqué mettant en garde les internautes. En rappelant cette vérité basique: jamais les Impôts ne vous demanderaient votre numéro de carte bancaire et votre code confidentiel !

Dans tous les cas, la parade au phishing est la même: ne jamais cliquer sur les liens que l'on vous indique, ne jamais remplir un quelconque formulaire adressé par mail (les banques ne font jamais ça), toujours vérifier en allant sur le site officiel de l'organisme censé vous écrire, toujours vous assurer que vous rentrez des données personnelles sur une page Web dont l'adresse commence par « https» (et pas seulement « http»). Voire: ne jamais ouvrir un e-mail a priori douteux, c'est plus sûr !

Voir aussi: Le SCAM 419

Les droits de l'article Le « phishing », arnaque aux faux sites Internet publié dans Internet et réseaux appartiennent à Arnaud Devillard. La permission de reproduire Le « phishing », arnaque aux faux sites Internet dans la presse traditionnelle ou sur internet doit être accordée par écrit par l'auteur lui-même.

Le faux formulaire des Impôts

commenter cet article

---

NOTE: Vous n'êtes pas membre de Suite101. Votre commentaire sera publié après révision.

Poster

Combien font 1+8?

Commentaires

27 oct. 2009 21:43

Guest
:

Bonjour,
La mention "https" n'est pas suffisante pour se protéger du phishing, le certificat a pu être volé ou falsifié.
Le plus facile est d'essayer de déceler que l'adresse http est louche, par exemple si on vous demande de rentrer vos coordonnées bancaires sur http://www.laviecestcool.p0wn3d-u.com, alors c'est du phishing, car cela n'a pas l'air d'être une adresse valide de banque.

1 Commentaire: