Vous pensez être suffisamment méfiant sur les courriels que vous recevez ? Hélas, les méthodes des cybercriminels deviennent tellement perfectionnées que même les plus avertis peuvent tomber dans le panneau. La preuve avec cette nouvelle cyberattaque mondiale qui a visé de grandes entreprises mardi après-midi. La dernière cyberattaque de grande ampleur datait seulement de mi-mai.
En mai dernier, vous avez peut-être reçu un courriel de votre collègue avec un lien vers un document Word qu’il souhaitait partager avec vous dans Google Docs. La routine. Vous avez ensuite cliqué sur le document, qui vous demandait vos identifiants pour se connecter à votre compte Google. Et c’est là que les ennuis commencent : le malware contenu dans le fichier Word va siphonner tout votre carnet d’adresses et vos courriels pour pirater ensuite vos autres collègues et poursuivre sa propagation. Rapidement identifiée, cette arnaque a tout de même touché 0,10 % des utilisateurs de Gmail, soit près d’un million de personnes.
Des hackers très bien renseignés
On le voit : un expéditeur avec une adresse mail familière n’est plus une preuve de fiabilité. Le « hameçonnage », qui consiste à envoyer de manière massive et indifférenciée des messages truffés de fautes d’orthographe laisse aujourd’hui la place au « harponnage » ou « spear phishing ». Celui-ci s’appuie sur un nombre ciblé et limité d’utilisateurs. Grâce aux informations glanées sur les réseaux sociaux, le hacker connaît votre nom, la ville où vous habitez, votre banque et votre employeur. Grâce aux cookies, il connaît même vos habitudes d’achat et l’heure à laquelle vous vous connectez.
Grâce aux informations glanées sur les réseaux sociaux, le hacker connaît votre nom, la ville où vous habitez, votre banque et votre employeur. (Photo : Regis Duvignau/Reuters) Abonné chez SFR ? Vous recevrez une fausse facture de votre opérateur. Auto-entrepreneur ? Ce sera un e-mail de l’Urssaf. En avril, ce sont des responsables du mouvement En Marche ! d’Emmanuel Macron qui ont été ciblés par une campagne de spear phishing… envoyée via la boîte mail piratée du conseiller à la stratégie numérique Mounir Mahjoubi lui-même (aujourd’hui Secrétaire d’État en charge du numérique). Résultat : plusieurs gigaoctects de données issus des boîtes Gmail de cinq cadres du parti publiés sur Internet. «La vraisemblance des messages de spear phishing constitue la principale raison de leur efficacité, explique d’ailleurs le fournisseur de solutions de sécurité FireEye. Les internautes n’ouvrent que 3% du spam qui leur est adressé, mais 70% des e-mails de spear phishing.»
De faux sites web plus vrais que nature
Le plus souvent, les courriels en question vous invitent à cliquer sur un lien, renvoyant vers un site « vitrine » en tous points identique au vrai. Récemment, l’assurance maladie a ainsi mis en garde contre une campagne frauduleuse vous expliquant comment récupérer un trop-perçu. L’adresse semble correcte, mais lorsqu’on passe sa souris sur le lien (sans cliquer dessus), on s’aperçoit qu’il s’agit d’une fausse page web avec une adresse url fantaisiste.
Récemment, l’assurance maladie a ainsi mis en garde contre une campagne frauduleuse vous expliquant comment récupérer un trop-perçu. (Photo : capture d’écran Twitter)
Comment trafiquer une adresse web
Pire : même les adresses web semblant 100 % fiables peuvent faire l’objet de manipulations complètement tordues. Il suffit par exemple de remplacer le « a » latin de apple.com par le « a » cyrillique en utilisant les caractères Unicode, ou encore le G majuscule de Google.com par la petite capitale G. Indétectable à l’œil nu, alors que l’adresse renvoie vers le site « cousin » malicieux.
Encore plus pervers : une fausse page web hébergée sur l’adresse du vrai site. Des hackers sont ainsi parvenus à détourner des serveurs DNS (Domain Name System), qui attribuent l’adresse IP d’un site par rapport à votre requête. En tapant par exemple Google.com, vous êtes redirigé vers un faux site identique en tous points.
Autre signe de sécurité normalement à surveiller : l’adresse du site doit débuter par https avec un petit cadenas vert, le « s » signifiant que la communication entre le navigateur et le serveur web est cryptée. Hélas, là encore, les hackers ont trouvé une faille et plusieurs sites de phishing se sont vus attribuer cette certification.
Pour se protéger, pas de miracle. Même Google et Facebook se sont fait avoir par un faux fournisseur taïwanais en avril dernier. (Photo : Ritchie B. Tong/EPA) Pour se protéger, pas de miracle. Même Google et Facebook se sont fait avoir par un faux fournisseur taïwanais en avril dernier. Voici quelques conseils
- Faites appel à votre bon sens : votre copine a-t-elle pour habitude de vous envoyer des recommandations par e-mail ? A-t-elle ajouté d’autres éléments dans son message permettant de vous assurer qu’il s’agit bien d’elle ?
- Plutôt que de cliquer directement sur le lien, copiez-collez l’adresse du site dans le navigateur
- Ne donnez jamais vos coordonnées bancaires ou vos mots de passe par courriel. Allez directement sur le site Internet du service pour correspondre avec les impôts ou votre opérateur
- Mettez régulièrement à jour votre navigateur Internet
Les vacanciers sont friands de Wi-Fi gratuit, mais prudence. (Photo : Fotolia)
ACTUALITÉ
En vacances, j’oublie tout, mais difficile de ne pas rester connecté. Et les vacanciers sont friands de Wi-Fi gratuit. Mais attention aux dangers ! Les cybercriminels vous attendent aussi !
C’est un paradoxe hexagonal. Les trois quarts des Français disent vouloir se déconnecter pendant leurs vacances et surtout sur leur lieu de villégiature. Sauf qu’ils sont quasi autant à embarquer avec eux ordinateurs portables, smartphones et autres tablettes. Ben, ça peut être utile pour se géolocaliser, trouver un bon plan, regarder des films en streaming, envoyer ses photos sur les réseaux sociaux… Quand ce ne sont pas les enfants qui ont exigé d’avoir accès à du Wi-Fi sous peine de refuser de partir !
Les Français prétendent vouloir déconnecter pendant leurs vacances. Pourtant, ils partent avec smartphones, tablettes, ordinateurs… (Photo : Archives Ouest-France)
9 Français sur 10 prennent des risques
Et quoi de mieux pour se connecter qu’un accès Wi-Fi gratuit de préférence, juste histoire de ne pas épuiser son forfait 4G ! Sauf que ce n’est pas sans danger comme le souligne une étude publiée ce lundi par Norton Symantec. « Les internautes ont tendance à minimiser leur vulnérabilité et adoptent une attitude désinvolte dans leur utilisation des réseaux Wi-Fi publics, sans se rendre compte des risques qu’ils encourent, notamment en matière de protection et de confidentialité de leurs informations personnelles », annonce l’étude en préambule. « 9 Français sur 10 prennent des risques avec leurs données ou leur confidentialité lorsqu’ils utilisent un réseau Wi-Fi public. »
Se connecter au Wi-Fi gratuit n’est pas sans danger. (Photo : Fotolia)
Mon Wi-Fi tout de suite
Il faut aussi préciser que les cybercriminels ou cyberescrocs de tout poil seront au rendez-vous cet été. Eux aussi adaptent leurs pièges aux saisons. Et quoi de plus facile que de créer de faux hotspot de Wi-Fi gratuit et d’y attirer les touristes en mal de connexion. Et hop, ni vu ni connu, j’aspire toutes vos infos personnelles. Et si vous êtes en train de faire des transactions (achats de place de cinéma, réservations d’hôtels ou de train…), voilà comment on intercepte de précieuses informations bancaires.
69 % des Français pensent, à tort, être en sécurité en se connectant à un réseau gratuit. (Photo : Archives Ouest-France) « Les utilisateurs sont friands de connectivité ininterrompue », précise l’étude. « 43% d’entre eux indiquent ne pas pouvoir attendre plus de quelques minutes pour se connecter à un réseau Wi-Fi quand ils arrivent dans un nouvel endroit. » Plus inquiétant : « 69% des Français pensent que leurs informations personnelles sont en sécurité lorsqu’ils utilisent un réseau Wi-Fi public, et, néanmoins un Français sur cinq est incapable de dire si un réseau Wi-Fi public est sécurisé ou non. »
Décalage
Et pour enfoncer le clou, « qu’il s’agisse du mot de passe de leur compte bancaire ou de leurs habitudes sur le web, les Français ont tendance à se dévoiler sans retenue sur un réseau Wi-Fi public. » D’où le constat de Nick Shaw, vice-président et directeur général de Norton by Symantec. « Il existe un énorme décalage entre ce que les gens pensent être un comportement sûr ou confidentiel sur un réseau Wi-Fi public et la réalité. Ce que l’on croit privé sur son appareil personnel est facilement accessible par des hackers via des réseaux Wi-Fi non sécurisés ou même des applications comportant des vulnérabilités en matière de respect de la vie privée.»
Une forme de naïveté alors que plus de la moitié des français (53 %) se sentiraient horrifiés si les détails de leurs comptes en banque et de leurs informations financières étaient publiés en ligne. Près d’un Français sur cinq (24 %) affirme qu’il serait embarrassé si les détails de ses conversations et SMS privés ou ses secrets les plus intimes étaient publiés en ligne…
Comment se protéger ?
Alors quelles sont les règles à respecter ? «L’un des meilleurs moyens pour protéger vos informations en ligne est d’utiliser un réseau privé virtuel (VPN) émanant d’un vendeur de confiance. » Par exemple le logiciel Symantec Norton Wi-Fi Privacy. Les VPN fournissent un « tunnel sécurisé » qui crypte les données envoyées et reçues entre votre appareil et Internet.
Sur les réseaux publics, il vaut mieux éviter de partager des informations personnelles (mots de passe, données financières, photos…). (Photo : Fotolia) Autre mesure à prendre : « Rechercher le HTTPS. Beaucoup de sociétés utilisent des sites web sécurisés (HTTPS pour Hypertext Transfer Protocol Secure) pour assurer la sécurité en ligne. » Comment savoir si un site utilise ce protocole ? Si c’est le cas, son URL débute par https et comporte un petit cadenas.
Et sans doute la règle de conduite la plus importante à observer : « Le mieux est de partager le moins possible d’informations personnelles. Pensez-y à deux fois avant d’entrer des informations personnelles (mots de passe, données financières, photos, etc.) sur des réseaux Wi-Fi publics. »
Aucun commentaire:
Enregistrer un commentaire