Le principe du phishing

Le phishing, aussi appelé hameçonnage, est une technique de fraude qui consiste à tromper une personne afin de lui faire communiquer des informations confidentielles. Les informations recherchées peuvent être un mot de passe, un numéro de carte bancaire, un code de validation ou des données personnelles.

Le fraudeur se fait généralement passer pour une personne ou une organisation connue : banque, administration, service de livraison, opérateur téléphonique, réseau social ou service en ligne.

Le déroulement d'une attaque

L'attaque commence généralement par l'envoi d'un message frauduleux. Il peut être transmis par e-mail, SMS, messagerie instantanée ou réseau social.

Le message utilise souvent un prétexte crédible : compte bloqué, paiement à confirmer, colis en attente, remboursement à effectuer ou problème de sécurité. Il cherche ainsi à provoquer une réaction rapide.

Un lien dirige ensuite vers une fausse page qui ressemble au véritable site. Cette page peut reproduire le logo, les couleurs et la présentation du service imité.

Lorsque l'utilisateur saisit ses informations sur cette fausse page, elles sont directement récupérées par le fraudeur. Celui-ci peut ensuite tenter de les utiliser pour accéder au véritable compte ou commettre une fraude.

Reconnaître un message frauduleux

Plusieurs éléments peuvent signaler une tentative de phishing : une demande inhabituelle, un message inattendu, une forte pression temporelle, une adresse d'expéditeur étrange ou un lien dont l'adresse ne correspond pas au service annoncé.

Les fautes d'orthographe ou une présentation inhabituelle peuvent également constituer des indices, mais leur absence ne garantit pas qu'un message soit authentique. Les messages frauduleux sont parfois très bien imités.

Vérifier un lien et un site

Avant de saisir des informations sensibles, l'adresse du site doit être vérifiée. Le nom de domaine doit correspondre exactement au service utilisé. Une adresse ressemblante mais différente peut conduire vers un site frauduleux.

En cas de doute, il est préférable de ne pas utiliser le lien reçu dans le message. Le service peut être ouvert directement depuis son application officielle ou en saisissant soi-même son adresse dans le navigateur.

Protéger ses informations

Un mot de passe, un code de validation ou une information bancaire ne doit pas être communiqué simplement parce qu'un message le demande. Les organismes légitimes ne demandent pas systématiquement ce type d'information par e-mail ou par SMS.

L'authentification à deux facteurs (2FA) apporte une protection supplémentaire contre le vol d'un mot de passe. Elle ne supprime cependant pas le risque de phishing : un fraudeur peut également tenter de récupérer le code de validation ou de faire approuver une connexion frauduleuse.

L'ingénierie sociale

Le phishing exploite principalement le comportement humain plutôt qu'une faille technique. Cette méthode appartient à l'ingénierie sociale.

Le fraudeur cherche notamment à provoquer la peur, la curiosité, l'urgence ou la confiance afin de pousser la victime à agir sans vérifier suffisamment le message. Prendre quelques instants pour contrôler l'expéditeur, le lien et le site permet donc de réduire fortement le risque.

Le phishing repose ainsi sur une méthode simple : imiter un service de confiance, provoquer une réaction rapide et récupérer les informations saisies par la victime. La vigilance reste la principale protection contre ce type de fraude.