Phishing : comment identifier et éviter les arnaques par email ?

Parmi les actes de cyber malveillance, le phishing est la technique la plus fréquemment utilisée pour tenter de collecter des données personnelles de manière frauduleuse. Mais comment s'en protéger ?

Phishing ou hameçonnage, de quoi s’agit-il ?

Le phishing, ou hameçonnage en français, est une technique frauduleuse utilisée par les cybercriminels pour tenter de collecter des données personnelles (informations bancaires, identifiants de connexion en ligne...), en se faisant passer pour un tiers de confiance comme une administration, une banque, un organisme réputé, un fournisseur d’énergie, un opérateur téléphonique… L’objectif est d’arriver à vous tromper pour vous voler des informations personnelles ou professionnelles notamment celles concernant votre identité (numéro de Sécurité sociale, adresse postale…) afin d’en faire un usage illégal. Cette technique simple, peu coûteuse et très rentable, est en tête des actes de cybermalveillance. Elle touche indifféremment les particuliers comme les professionnels qui n’ont pas mis en œuvre une stratégie de protection numérique. L’objectif pour eux est de voler des données d’identification directes ou indirectes et de les rapprocher d’autres sources de données collectées de manière illicite en vue de futures cyberattaques.

Pour aller plus loin... D'après le rapport d'activité 2023 de Cybermalveillance.gouv.fr indique que l'hameçonnage demeure la menace prédominante pour tous les publics, représentant 38 % des recherches d’assistance.

Quels sont les différents types de phishing ?

Les cybercriminels utilisent différentes techniques de phishing pour arriver à leurs fins. Parmi les tentatives classiques de phishing par email, on retrouve :

• Les faux messages d’infraction pédopornographique,
• Les sollicitations relatives au compte personnel de formation,
• Les faux messages concernant la livraison de colis,
• Les messages de faux supports techniques,
• Les demandes émanant soi-disant de proches…

À cette batterie de mails frauduleux vient s’ajouter l’attaque phishing par SMS, aussi appelée smishing en anglais. Cette technique d’escroquerie en ligne profite de vos difficultés à identifier avec certitude un SMS frauduleux reçu sur un smartphone et en mouvement. Visant un large éventail de cibles, ces différentes attaques vont des emails ou SMS d’arnaque générique à des contenus beaucoup plus ciblés comme le spear phishing ou l’hameçonnage ciblé. Et il existe bien d’autres types d’attaques d’ingénierie sociale, parmi lesquelles :

• Le whaling, une attaque de phishing qui consiste à cibler le management d’organisation (PDG, directeur financier…),
• Le vishing, qui consiste en une arnaque vocale destinée à piéger la victime,
• Le phishing sur les réseaux sociaux. Avec cette technique, le cybercriminel établit une relation de confiance avec la victime pour qu’elle finisse par lui divulguer des données personnelles ou des informations confidentielles…

Le saviez-vous ? En 2023, 278 770 infractions liées au numérique ont été enregistrées par la police et la gendarmerie en France, incluant escroqueries, rançongiciels, harcèlement, vol de données personnelles et usurpation d'identité.

Comment reconnaître un email de phishing ?

Les messages malveillants sont d’une qualité de plus en plus élaborée. Mais, même si les emails de phishing sont conçus pour être quasi similaires aux mails originaux, il est possible d'identifier un message malveillant grâce à des signaux révélateurs. Les éléments suspects qui peuvent vous alerter :

• Une offre particulièrement attractive ou un contenu alarmiste (défaut de paiement ou problème de facturation) qui comprend un lien à cliquer ou une pièce jointe à télécharger,
• Un email d’une société dont vous n’êtes pas client,
• Une adresse d’expédition surprenante,
• Une adresse de messagerie qui pointe vers un expéditeur ouvertement frauduleux,  
• Une demande de mise à jour ou de confirmation de données personnelles,
• Un appel aux dons illicite…

Si vous avez installé un antivirus sur votre équipement connecté, cette solution de cyber protection vous signale la réception d’un message frauduleux et le bloque.

Que faire si je suis victime de phishing ?

Si vous avez été victime de phishing, vous devez réagir rapidement pour limiter le préjudice éventuel.

• Changez immédiatement vos mots de passe de connexion à des comptes potentiellement compromis (boite d'emails, comptes bancaires, réseaux sociaux...),
• Contactez les institutions concernées : si vous avez divulgué des informations bancaires, informez immédiatement votre banque ou votre fournisseur de services financiers pour qu'ils puissent bloquer toute activité suspecte,
• Signalez l’incident : déposez une plainte auprès des autorités compétentes, comme la police ou via des plateformes de signalement en ligne (Cybermalveillance.gouv.fr en France),
• Mettez à jour vos logiciels : assurez-vous que tous vos logiciels et applications sont à jour, car cela peut prévenir d'autres attaques...

Si vous souhaitez anticiper de potentielles cybermenaces, Protected propose une offre complète de fonctionnalités pour protéger vos données, mais aussi des assistances pour vous accompagnez dans ce type de situation.