Les quatre temps de l'hameçonnage
Le faux message
Un message imite un service connu : colis, banque, impôts. Il annonce un problème et pousse à agir vite.
Indice qui alerte : l'adresse de l'expéditeur ne ressemble pas à celle du vrai service, et le texte presse : « sous 24 h ».
Le même message part vers des milliers de personnes ; quelques-unes se laisseront prendre. L'urgence sert à vous empêcher de réfléchir.
Bon réflexe : ne cliquez pas. Ouvrez vous-même le site ou l'application officielle.
Le lien vers une fausse page
Le lien mène à une copie du vrai site. Seule l'adresse trahit la ruse : le nom de domaine, c'est la partie juste avant la fin.
Indice qui alerte : le début de l'adresse rassure, mais le vrai nom du site est ailleurs.
Un attaquant peut mettre n'importe quel mot au début d'une adresse. Pour savoir où l'on arrive, lisez le nom juste avant la fin (ici « securite-compte.example »), pas le début.
Bon réflexe : survolez le lien sans cliquer pour lire sa vraie adresse, ou tapez vous-même celle du site.
La saisie des identifiants
Sur la fausse page, vous tapez identifiant, mot de passe, parfois le code reçu par SMS. Tout est copié chez l'attaquant.
Indice qui alerte : une page ouverte depuis un message qui réclame votre code SMS.
Ce code à usage unique ne protège que si vous le gardez pour vous : celui qui le reçoit peut l'utiliser tout de suite.
Bon réflexe : un code reçu par SMS ne se donne jamais, ni sur une page ouverte depuis un message, ni à quelqu'un au téléphone.
L'attaquant s'en sert aussitôt
Le code ne vaut que quelques dizaines de secondes : l'attaquant se connecte donc au vrai service en direct, change le mot de passe, vide un compte.
Indice qui alerte : un code SMS que vous n'avez pas demandé, ou un message « nouvelle connexion » alors que vous n'étiez pas connecté.
Bon réflexe : prévenez le service, changez le mot de passe depuis le site officiel, faites opposition sur la carte si besoin.
Un geste coupe chaque maillon
La chaîne ne marche que si elle va jusqu'au bout. À chaque maillon, un geste simple suffit à l'interrompre.
Bon réflexe : au moindre doute, fermez la page et ouvrez vous-même le site officiel.