Le phishing est probablement l'un des risques cyber que je rencontre le plus souvent dans les exemples étudiés. Ce qui me frappe, c'est qu'un message frauduleux n'a pas forcément besoin d'être techniquement très sophistiqué : il doit surtout réussir à nous faire agir rapidement.
J'essaie donc d'appliquer une règle simple : avant de cliquer, je regarde ce que le message essaie de me faire faire et pourquoi il veut que je le fasse immédiatement.
1. L'urgence artificielle
Un message de phishing cherche souvent à réduire le temps de réflexion : compte qui va être bloqué, paiement refusé, colis en attente, facture urgente, remboursement à réclamer ou problème de sécurité à résoudre immédiatement.
L'urgence n'est évidemment pas une preuve de fraude. Mais lorsqu'un message combine urgence et demande d'action, je préfère vérifier la situation par un autre moyen avant de continuer.
2. Regarder l'adresse réelle de l'expéditeur
Le nom affiché peut sembler parfaitement normal alors que l'adresse utilisée derrière ce nom est différente de celle attendue.
Je regarde donc l'adresse complète et pas seulement le nom visible. Une différence de domaine, une faute discrète ou une adresse sans rapport avec l'organisation annoncée peut être un signal d'alerte.
À l'inverse, une adresse qui paraît correcte ne suffit pas à garantir qu'un message est légitime. C'est seulement un élément parmi d'autres.
3. Examiner le lien sans se précipiter
Le texte d'un bouton peut annoncer « Accéder à mon compte » alors que le lien réel conduit vers un autre domaine.
Sur ordinateur, il est souvent possible d'observer la destination d'un lien avant de cliquer. Je vérifie surtout le nom de domaine réel, car une adresse peut contenir beaucoup de mots rassurants tout en conduisant vers un site sans rapport avec le service attendu.
4. Se méfier des demandes de connexion
Une technique classique consiste à envoyer l'utilisateur vers une page qui imite un service connu afin de récupérer son identifiant et son mot de passe.
Si un message m'annonce un problème avec un compte, je préfère généralement ouvrir moi-même le site ou l'application habituelle plutôt que passer par le lien reçu dans le message.
5. La pression psychologique
Le phishing ne repose pas uniquement sur la peur. Il peut aussi utiliser la curiosité, l'autorité, l'espoir d'un gain ou l'envie de rendre service.
Un message peut ainsi prétendre provenir d'un responsable, d'un proche, d'une administration ou d'une entreprise connue et demander une action inhabituelle : paiement, transmission d'un code, changement de coordonnées ou ouverture d'un document.
6. Les pièces jointes inattendues
Une pièce jointe inattendue mérite également de la prudence, notamment lorsqu'elle accompagne une facture, un document administratif, une livraison ou un message professionnel que l'on n'attendait pas.
Le fait qu'un fichier porte un nom crédible ne permet pas de savoir qu'il est sûr. Je préfère vérifier l'origine de la demande avant de l'ouvrir.
7. Les fautes ne sont plus un critère suffisant
On conseille souvent de rechercher les fautes d'orthographe. Elles peuvent effectivement être un indice, mais un message frauduleux peut aussi être très bien rédigé.
Pour moi, l'absence de fautes ne doit donc jamais être considérée comme une preuve d'authenticité.
8. Une demande inhabituelle doit attirer l'attention
Je trouve utile de me demander si l'action demandée correspond au fonctionnement habituel du service.
Est-ce normal que cette entreprise demande un mot de passe par message ? Que cette personne réclame soudainement un paiement ? Que ce service demande un code reçu par SMS ? Que je doive confirmer des informations que l'organisation possède déjà ?
Une rupture avec les habitudes peut être un signal important.
9. Vérifier par un autre canal
En cas de doute, le plus simple est souvent de ne pas utiliser les coordonnées présentes dans le message suspect.
Je peux ouvrir directement l'application officielle, saisir moi-même l'adresse connue du site ou contacter l'organisation avec des coordonnées déjà vérifiées.
Cette vérification indépendante permet d'éviter de rester dans l'environnement préparé par l'auteur du message.
10. Si j'ai déjà cliqué
Cliquer sur un lien ne signifie pas automatiquement qu'un compte est compromis. La suite dépend de ce qui s'est passé : simple ouverture d'une page, saisie d'un identifiant, transmission d'un mot de passe, téléchargement d'un fichier ou validation d'une opération.
Si des identifiants ou informations sensibles ont été transmis, il faut agir à partir du service officiel concerné et adapter les mesures à la situation.
11. Regarder l'ensemble des signaux
Finalement, je ne cherche pas un signe unique qui permettrait de reconnaître tous les messages frauduleux.
Je regarde plutôt l'ensemble : qui me contacte, ce qu'on me demande, l'urgence créée, le lien proposé, le domaine utilisé et le caractère habituel ou inhabituel de la demande.
Le phishing fonctionne souvent parce qu'il provoque une réaction rapide. Prendre quelques instants pour sortir du message et vérifier indépendamment la demande peut déjà faire une grande différence.
CodeSleuth — étudiante en informatique, membre du forum Cyberdétective®.