Les arnaques par hameçonnage (phishing) reposent sur des messages trompeurs visant à voler les informations personnelles des victimes et à accéder à leurs comptes. Dans ce deuxième article d’une série multimédia en trois parties consacrée à l’hameçonnage, Reporters sans frontières (RSF) présente cinq techniques courantes auxquelles les journalistes peuvent être confrontés et explique comment s’en protéger.
L’hameçonnage (phishing) est une forme de cybercriminalité qui consiste à inciter une personne à divulguer ses informations personnelles et ses identifiants de compte au moyen de messages ou de liens trompeurs. Ce type d’attaque peut être utilisé par des gouvernements, des entreprises ou des particuliers cherchant à compromettre le travail d’un journaliste, à identifier ses contacts ou à lui voler de l’argent.
1) Hameçonnage par courrier électronique
Qu’est-ce que c’est ? L’hameçonnage par e-mail prend généralement la forme d’un message proposant une nouvelle opportunité commerciale au nom d’une personne réelle, ou d’une notification signalant que le compte du destinataire a été piraté. L’e-mail incite la victime à cliquer sur un lien, par exemple pour contacter une personne ou réinitialiser son mot de passe, qui la redirige vers un site web malveillant.
Comment se protéger ? En cas de doute, vérifiez que l’adresse e-mail de l’expéditeur est légitime et que le lien mène bien vers le site annoncé. Pour renforcer votre protection, vous pouvez également configurer votre messagerie afin qu’elle affiche systématiquement les adresses complètes des expéditeurs. Certains antivirus intègrent des fonctionnalités permettant de détecter les tentatives d’hameçonnage.
2) Hameçonnage HTML
Qu’est-ce que c’est ? L’hameçonnage HTML consiste à utiliser des liens qui semblent mener vers un site fiable, comme Facebook ou un service de messagerie, mais qui redirigent en réalité la victime vers une page frauduleuse lui demandant ses identifiants et son mot de passe. Ces liens peuvent prendre la forme d’un texte souligné, comme « cliquez ici », ou être abrégés, ce qui rend leur destination réelle plus difficile à identifier.
Comment se protéger ? Pour vérifier la destination d’un lien, faites un clic droit dessus, sélectionnez « Copier l’adresse du lien », puis collez-la dans un éditeur de texte. Pour les liens abrégés, des outils comme CheckShortURL ou URLEX permettent d’afficher l’adresse complète sans avoir à cliquer sur le lien.
3) Spearphishing
Qu’est-ce que c’est ? Le spearphishing est une forme d’hameçonnage ciblé dans laquelle un attaquant exploite les informations personnelles disponibles en ligne sur sa victime pour se faire passer pour un ami ou un collègue et l’inciter à lui transmettre des informations sensibles.
Comment se protéger ? Si une personne que vous connaissez vous demande soudainement des informations personnelles ou sensibles en ligne, vérifiez son identité par un autre moyen, par exemple en l’appelant. Son compte pourrait avoir été piraté et utilisé pour vous tromper.
4) Hameçonnage de type « navigateur dans le navigateur »
Qu’est-ce que c’est ? L’hameçonnage de type « navigateur dans le navigateur » (Browser-in-the-Browser, ou BITB) consiste à afficher, dans le navigateur de la victime, une fausse fenêtre contextuelle qui lui demande de se connecter à un compte ou de fournir des informations personnelles.
Comment se protéger ? Essayez de faire glisser la fenêtre contextuelle en dehors de la fenêtre principale du navigateur. Si elle ne peut pas être déplacée indépendamment de l’onglet principal, il pourrait s’agir d’une tentative d’hameçonnage.
5) Hameçonnage OAuth
Qu’est-ce que c’est ? OAuth (abréviation d’Open Authorization) est un protocole qui permet à un utilisateur de se connecter à une application ou à un site web tiers sans y créer de compte. Il permet également à cette application ou à ce site d’accéder à certaines de ses informations sans lui demander de communiquer son nom d’utilisateur ni son mot de passe. L’hameçonnage OAuth consiste à exploiter frauduleusement ce mécanisme d’autorisation pour obtenir un accès non autorisé aux informations personnelles ou professionnelles de la victime.
Comment se protéger ? Les journalistes ne doivent jamais autoriser l’accès à leurs comptes via OAuth depuis une application inconnue. Si cette méthode d’authentification est nécessaire, ils doivent vérifier la légitimité de l’application ou du site web, examiner attentivement les informations auxquelles celui-ci demande à accéder et évaluer les risques associés à cette autorisation.