Le phishing : comment fonctionne l'hameçonnage

Le phishing consiste à se faire passer pour un organisme de confiance afin d'obtenir des identifiants, des coordonnées bancaires ou une validation. C'est, de loin, la porte d'entrée la plus utilisée : elle ne demande aucune faille informatique, seulement une inattention de quelques secondes.

Pourquoi cela fonctionne sur des gens attentifs

L'idée que seules les personnes crédules se font avoir est confortable et fausse. Une campagne d'hameçonnage est envoyée à des centaines de milliers d'adresses ; il lui suffit qu'une fraction infime réponde. Statistiquement, elle finit toujours par tomber sur quelqu'un au moment précis où il attend ce message.

Vous venez de commander : le message sur le colis paraît normal. Vous avez appelé votre banque la veille : le rappel paraît normal. Le message n'a pas besoin d'être convaincant dans l'absolu — seulement dans votre contexte du moment.

L'économie de l'opération

Comprendre le modèle économique explique la forme des messages. Envoyer un million d'emails coûte quelques euros. Le site imité est monté à partir d'un modèle, souvent en quelques minutes, et sera signalé puis bloqué en quelques heures.

• D'où l'urgence. Le dispositif ne vit que quelques heures : il faut que vous agissiez tout de suite.
• D'où le volume. Peu importe que 99,9 % des destinataires ne réagissent pas.
• D'où la standardisation. Les mêmes modèles reviennent d'une campagne à l'autre, ce qui les rend reconnaissables.
• D'où la revente. Les identifiants collectés sont souvent revendus plutôt qu'exploités directement, ce qui explique qu'un usage frauduleux survienne parfois des semaines plus tard.

Les variantes

Ce que cherche exactement l'opération

Rarement de l'argent directement. Le plus souvent, l'un de ces quatre éléments :

1. Un mot de passe, qui vaut surtout par sa réutilisation ailleurs.
2. Un numéro de carte complet, revendu ou utilisé par petits montants.
3. Un code de validation, qui autorise une opération immédiate.
4. L'accès à votre messagerie, la clé qui permet de réinitialiser tous les autres comptes.

Reconnaître un message d'hameçonnage

La méthode détaillée, avec la lecture de l'adresse d'expéditeur et l'examen des liens, figure dans notre guide sur les emails de phishing. En résumé :

Se protéger durablement

1. 1

   Un mot de passe différent par service

   C'est la mesure qui limite le plus les dégâts. Un gestionnaire de mots de passe s'en charge, et refuse en prime de remplir un formulaire sur un domaine qu'il ne reconnaît pas — une protection contre l'hameçonnage à part entière.

2. 2

   La double authentification partout où elle existe

   En priorité sur la messagerie principale, puis sur les comptes bancaires et les plateformes marchandes.

3. 3

   Les mises à jour

   Téléphone, ordinateur, navigateur. Elles corrigent les failles qu'exploitent les pages piégées.

4. 4

   Le réflexe du canal choisi

   N'agissez jamais depuis le message reçu. Ouvrez le site ou l'application par vos propres moyens : c'est le geste qui neutralise la totalité du procédé.