Si vous avez reçu un courrier électronique de l'Internal Revenue Service ou de la Federal Deposit Insurance Corporation, il s'agit probablement d'une tentative de phishing. Si vous avez reçu des courriels de votre banque, de PayPal ou de Facebook vous demandant de vérifier immédiatement des informations ou de risquer de voir votre compte suspendu, il s'agissait sans aucun doute d'un phishing.

Selon de récents rapports, les attaques de phishing ont connu une hausse cette année. Le groupe de travail anti-hameçonnage signale qu'il y a eu plus de 55 600 attaques de phishing au cours du premier semestre de 2009 uniquement. Le phishing est particulièrement dangereux, car une fois que les criminels ont obtenu le mot de passe d'une victime pour un site Web, ils peuvent souvent l'utiliser pour accéder à d'autres comptes sur lesquels des personnes ont réutilisé le mot de passe.

Et n'importe qui peut être en danger. L’épouse du directeur du FBI, Robert Mueller, lui a interdit de faire des transactions bancaires en ligne après avoir failli tomber en tentative de phishing.

Voici quelques informations de base qui peuvent aider les gens à ne pas se laisser piéger par des attaques de phishing.

Qu'est-ce que le phishing?

Le phishing est une tentative, généralement par courrier électronique, pour amener les gens à révéler des informations sensibles telles que des noms d'utilisateur, des mots de passe et des données de carte de crédit en prétendant être une banque ou une autre entité légitime. Les courriers électroniques incluent généralement un lien vers un site Web qui semble légitime et qui invite les utilisateurs à fournir des informations. Parfois, le courrier électronique de phishing inclura un formulaire dans une pièce jointe à remplir. Une tactique commune utilisée par les phishers consiste à faire semblant d'être du service de la fraude d'une institution financière ou d'un détaillant en ligne tel que PayPal et à demander que des informations soient fournies pour prévenir la fraude d'identité. Dans un cas, un courrier électronique d'hameçonnage prétendant provenir d'une commission de loterie d'État a demandé aux destinataires leurs informations bancaires afin que leurs "gains" puissent être versés sur leurs comptes.

Les phishers exploitent également de plus en plus l’intérêt pour les nouvelles et d’autres sujets populaires pour amener les gens à cliquer sur des liens. Un courrier électronique prétendument sur la grippe porcine a demandé aux personnes de donner leur nom, adresse, numéro de téléphone et autres informations dans le cadre d'une enquête sur la maladie. Et les utilisateurs de réseaux sociaux deviennent des cibles populaires. Les utilisateurs de Twitter ont été dirigés vers de fausses pages de connexion.

Les pirates se tournent également vers la messagerie instantanée pour attirer les gens dans leurs pièges. Dans une arnaque récente, une fenêtre de discussion en direct a été lancée via le navigateur. L'escroc communiquait avec les victimes via la fenêtre de discussion en se faisant passer pour une banque et en demandant des informations supplémentaires.

Quels sont les autres exemples récents d'attaques de phishing?

• Une arnaque récente à la messagerie électronique demande aux clients de PayPal de fournir des informations supplémentaires ou de risquer de faire supprimer leur compte en raison de modifications apportées au contrat de service. Les destinataires sont instamment priés de cliquer sur un lien hypertexte qui indique "Get Verified!"

• Les courriers électroniques qui semblent provenir de la FDIC comportent une ligne d'objet indiquant "vérifiez votre couverture d'assurance-dépôts bancaires" ou "La FDIC a officiellement désigné votre banque comme une banque en faillite." Les e-mails incluent un lien vers un faux site de la FDIC où les visiteurs sont invités à ouvrir des formulaires à remplir. En cliquant sur les liens du formulaire, vous téléchargez le virus Zeus, conçu pour voler les mots de passe des banques et d’autres informations.

• Les courriers qui semblent provenir de l’IRS indiquent aux destinataires qu’ils sont éligibles pour un remboursement d’impôt et que l’argent pourrait être réclamé en cliquant sur un lien de ce courrier. Le lien dirige les visiteurs vers un faux site IRS qui demande des informations personnelles et financières.

• Un courriel Facebook d'apparence légitime demande aux gens de fournir des informations pour aider le réseau social à mettre à jour son système de connexion. En cliquant sur le bouton "Mettre à jour" dans l'e-mail, les utilisateurs se retrouvent dans un faux écran de connexion à Facebook dans lequel le nom d'utilisateur est renseigné et les visiteurs sont invités à fournir leur mot de passe. Lorsque le mot de passe est saisi, les utilisateurs se retrouvent sur une page proposant un "outil de mise à jour", mais qui est en réalité le cheval de Troie de la banque Zeus.

Quels sont quelques signes révélateurs d'une tentative de phishing?

De nombreuses tentatives de phishing proviennent de pays autres que les États-Unis. Elles comportent donc souvent des fautes d'orthographe et des erreurs grammaticales. Certains ont un ton urgent et recherchent des informations sensibles que les entreprises légitimes ne demandent généralement pas par courrier électronique.

Que dois-je rechercher dans un e-mail?

Vérifiez les informations sur l'expéditeur pour voir si elles ont l'air légitimes. Les criminels choisiront des adresses similaires à celles qu’ils simulent. Par exemple, les phishers ont utilisé "[email protected]". Cependant, les messages légitimes de PayPal aux États-Unis proviennent de [email protected] "et incluent une icône représentant une clé. La plupart des courriels de phishing proviennent de l'extérieur des États-Unis. Une adresse se terminant par" .uk "ou par un autre moyen que" .com " indiquer qu'il s'agit d'une tentative de phishing.

L'adresse de messagerie peut également être masquée. Cliquer sur "répondre à tous" peut révéler la véritable adresse électronique. Vous pouvez également définir vos préférences de messagerie pour afficher "en-tête complet" afin de voir l'adresse de messagerie complète et d'autres informations. Si vous ne savez pas si le courrier électronique est légitime, rendez-vous sur le site Web de la société pour voir l’adresse indiquée.

Les entreprises légitimes ont tendance à utiliser des noms de clients ou des noms d'utilisateurs dans leurs courriers électroniques, et les banques incluent souvent une partie d'un numéro de compte. Les e-mails de phishing proposent généralement des salutations génériques, telles que "Cher client PayPal".

Inspectez les liens hypertexte à l'intérieur du corps de l'e-mail. Les hameçonneurs utilisent généralement des sous-domaines, des lettres ou des chiffres avant le nom de la société. Les mots figurant dans les liens sont parfois mal orthographiés. Par exemple, www.BankA.security.com renverrait à la section "BankA" du site Web "Sécurité". Il est souvent difficile de dire si le lien est légitime en le regardant. En déplaçant la souris sur le lien, vous pouvez voir la véritable adresse au bas de la plupart des navigateurs Web.

De plus, PayPal, Amazon, les banques et de nombreuses autres entreprises utilisent le protocole SSL (Secure Sockets Layer), conçu pour garantir que les clients visitent le site réel. Cela signifie que // sera visible dans la barre d'adresse URL au lieu de // et généralement, il y aura un autre changement dans la barre d'adresse. Par exemple, PayPal affiche un "P" et son nom est mis en surbrillance en vert au début de l'URL. Les principaux navigateurs disposent de mesures antiphishing conçues pour détecter les sites malveillants. Certains phishers tentent également de masquer la véritable adresse Web à laquelle ils envoient leurs victimes en utilisant des services de réduction du nombre d'URL.

Si le message contient une pièce jointe, méfiez-vous des fichiers .exe. Les fraudeurs aiment y cacher les virus et autres logiciels malveillants pour qu’ils s’exécutent lorsqu’ils sont ouverts.

Ne vous laissez pas berner par l'apparence du site Web auquel vous pouvez être dirigé. Le site Web peut ressembler à une vraie banque ou à une page PayPal, y compris l’utilisation des vrais logos et de la marque. Il peut s'agir d'une fausse page ou d'une page légitime avec une fenêtre de phishing en haut.

Comment éviter les attaques de phishing?

• Essayez de rester en dehors des listes de spam. Ne postez pas votre adresse électronique sur des sites publics. Créez une adresse électronique moins susceptible d'être incluse dans les listes de courrier indésirable. Par exemple, au lieu de [email protected], utilisez [email protected].

• Si un e-mail semble raisonnable, contactez directement la société si vous recevez un e-mail vous demandant de vérifier des informations. Tapez l'adresse de la société dans la barre d'adresse directement plutôt que de cliquer sur un lien. Ou appelez-les, mais n'utilisez pas le numéro de téléphone indiqué dans l'e-mail.

• Ne communiquez pas les informations personnelles demandées par courrier électronique. Les entreprises et les agences légitimes utiliseront le courrier ordinaire pour les communications importantes et ne demanderont jamais à leurs clients de confirmer leurs identifiants de connexion ou leurs mots de passe en cliquant sur des liens dans les courriers électroniques.

• Examinez attentivement l'adresse Web vers laquelle un lien est dirigé et saisissez des adresses dans le navigateur pour les entreprises en cas d'incertitude.

• N'ouvrez pas les pièces jointes que vous ne vous attendiez pas à recevoir. N'ouvrez pas les liens de téléchargement dans IM. Et n'entrez pas d'informations personnelles dans une fenêtre contextuelle ou dans un courrier électronique.

• Assurez-vous que vous utilisez un site Web sécurisé lorsque vous soumettez des informations financières et sensibles.

• Changer les mots de passe fréquemment. N'utilisez pas le même mot de passe sur plusieurs sites.

• Connectez-vous régulièrement à des comptes en ligne pour surveiller l'activité et vérifier les relevés.

• Utilisez les logiciels antivirus, antispam et pare-feu et maintenez votre système d'exploitation et vos applications à jour.

(Mon collègue Larry Magid a d'autres astuces et une interview en podcast avec Symantec pour éviter les attaques de phishing.)

Que puis-je faire si je pense avoir été victime d'hameçonnage?

Le groupe de travail anti-hameçonnage dispose d'un site complet expliquant précisément les étapes à suivre par les utilisateurs en fonction du type d'informations fournies.

Où puis-je signaler des tentatives de phishing?

Vous pouvez transférer les courriels d'hameçonnage suspects à [email protected] et [email protected]. Les entreprises ont généralement une adresse à laquelle transmettre des exemples de phishing, telles que "[email protected]". Incluez toujours l'intégralité de l'e-mail de phishing. Les plaintes peuvent être déposées auprès du Internet Crime Complaint Center du FBI.

Voici des ressources supplémentaires.

//apwg.org/consumer_recs.html

//www.irs.gov/newsroom/article/0,, id=154848, 00.html

//www.microsoft.com/mscorp/safety/technologies/antiphishing/guidance.mspx