Bien sûr, cela va sans dire, … mais cela va mieux en le disant.
Bien que ces règles soient supposées largement connues, l’expérience montre que dans le cas d’un envoi massif de courriels malveillants, une proportion importante de destinataires tombe dans le piège du pirate.
Aussi croyons nous utile d’exposer ces quelques règles élémentaires, à partir d’un exemple réel.
Vérifiez l’expéditeur
Usurper une adresse mail est du niveau d’un enfant de 3 ans. N’importe qui peut expédier des courriels au nom d’un de vos amis, ou de vous-même.
Ici, le domaine de l’adresse d’expédition est cftc-paris.fr, un syndicat de salariés existant réellement, mais l’adresse mail de l’expéditeur est une adresse en « postmaster », qui est une adresse générique qui n’est pas appropriée pour envoyer des factures, ce qui est un premier élément suspect.
Il faut parfois faire preuve de vigilance : une arnaque bien connue est l’expédition d’un mail anxieux, du genre « j’ai de gros problèmes en ce moment, pouvons-nous en parler ? » reçu de quelqu’un que vous connaissez. Le plus souvent, un pirate a mis la main sur votre carnet d’adresse, en utilisant un mail vérolé ou un virus. Il lui suffit ensuite d’ouvrir une adresse qui ressemble à la votre (par exemple, si votre ami Jacques Dupont a une adresse j.dupont@free.fr, le pirate va l’expédier depuis une adresse en j.dupond@free.fr), et vous allez commencer une discussion avec une personne qui n’a rien à voir avec votre ami, et qui va solliciter votre compassion pour tenter de vous soutirer quelque argent. Dans ce cas, il faut impérativement faire un scan complet des ordinateurs possiblement compromis avec un antivirus à jour.
Vérifiez les liens
Ne cliquez jamais sur un lien sans l’avoir vérifié.
Ici, l’URL vers laquelle pointe le lien hypertexte est
- un sous-domaine (savigneuxcom) d’un domaine (securesite.fr), tentant de faire croire que le mail vient du domaine (légitime) savigneux.com
- qui n’a rien à voir avec le domaine de l’adresse de l’expéditeur (cftc-paris.fr).
Dès constatation, ces deux éléments doivent vous interdire de cliquer sur le lien.
Pour aller un peu plus loin, vous voyez que ce lien pointe vers un fichier d’extension .php, avec un paramètre, ici 001838274191030.
Les fichiers php sont des fichiers qui peuvent être compilés et exécutés sur les serveurs, pour effectuer tout type d’action : mise à jour d’un fichier, envoi de mail, etc.
Or en général, quand une entreprise envoie une facture, soit elle l’envoie en pièce jointe dans le mail, soit elle l’envoie via un lien url, mais qui vous permet simplement de vous connecter à votre espace client, rien de plus.
Protégez vous des téléchargements automatiques
Quand vous recevez un mail, ce mail peut contenir un lien vers une image. Votre client mail, selon son paramétrage, va alors soit la télécharger automatiquement, soit vous afficher une zone blanche dans le cas contraire.
Or ces images peuvent servir :
- soit à vous identifier, et savoir que vous avez ouvert le mail qui vous a été adressé
- soit à injecter des programmes malveillants (bien que ce cas soit plus rare)
Dans les réglages de votre client mail, paramétrez le pour qu’il ne télécharge jamais les images automatiquement. Ne cliquez sur le bouton de téléchargement que si vous êtes certain de l’expéditeur, … et que vous avez vraiment besoin de l’image.
Attention, votre responsabilité est en jeu !
Être victime d’ hameçonnage et répondre à un escroc en fournissant ses données bancaires n’est pas forcément excusable, selon la Cour de cassation. Dans un arrêt du 25 octobre 2017, l’instance jugeait le cas d’une cliente qui avait reçu un message électronique faussement signé de son opérateur téléphonique l’invitant à mettre à jour ses moyens de paiement. Elle avait répondu au message en fournissant son numéro de carte bancaire, son cryptogramme ainsi que sa date d’expiration. La cour a donc considéré que la victime aurait dû avoir conscience de recevoir un message frauduleux et qu’elle a commis une faute en y répondant, dit la Cour : voir la suite sur cet article de La Tribune.