Comment se protéger de l'hameçonnage

La plupart des conseils sur la façon de se protéger de l'hameçonnage reposent sur les fautes d'orthographe et les liens étranges, c'est-à-dire sur l'hameçonnage tel qu'il se présentait il y a dix ans. Les messages actuels sont bien écrits, correctement habillés aux couleurs de la marque et arrivent souvent dans un échange que vous attendiez déjà. La défense fiable n'est plus l'examen visuel. Ce sont quelques habitudes qui rendent le message sans effet : vérifier par un canal que l'attaquant ne contrôle pas, et organiser ses comptes pour qu'une seule tentative réussie n'entraîne pas tout le reste. Ce guide traite les deux, ainsi que ce qu'il faut faire dans l'heure qui suit un clic.

Ce que l'hameçonnage cherche à obtenir

Comprendre l'objectif derrière un message d'hameçonnage facilite l'évaluation du risque. Les attaquants peuvent chercher des identifiants, des codes de sécurité temporaires, de l'argent, un accès à votre appareil, ou des informations personnelles capables d'étayer une tentative plus convaincante plus tard.

Identifiants de connexion. Une fausse page de connexion peut copier fidèlement le service réel et récupérer votre nom d'utilisateur et votre mot de passe. Certaines pages vous redirigent ensuite vers le site légitime, ce qui fait paraître normal un échec ou une nouvelle saisie.

Codes à usage unique. Un mot de passe volé ne suffit pas lorsqu'un compte exige une seconde étape de vérification. Un attaquant peut donc vous demander de lire un code à voix haute en se faisant passer pour une banque, un transporteur, un employeur ou une équipe d'assistance. Ne communiquez jamais un code de sécurité en réponse à un message ou à un appel inattendu.

Paiements. Fausses factures, renouvellements d'abonnement, coordonnées bancaires modifiées et demandes de paiement urgentes visent un virement direct, un code de carte cadeau ou un paiement en cryptomonnaie plutôt que des identifiants. L'arnaque Geek Squad est un exemple courant de ce schéma, où un faux avis de renouvellement sert à déclencher un appel téléphonique plutôt qu'à voler directement un mot de passe.

Accès à l'appareil. Un lien ou une pièce jointe peut installer un logiciel malveillant, et un correspondant peut vous convaincre d'installer un logiciel d'accès à distance légitime sous couvert d'assistance technique. L'une et l'autre méthode peuvent exposer ce qui se passe sur votre écran et ce qui est stocké sur l'appareil.

Informations personnelles. Des éléments comme votre employeur, votre date de naissance, votre adresse, vos données de carte ou vos pièces d'identité peuvent être recueillis pour une fraude à l'identité ou une approche ciblée ultérieure. Si des informations sensibles ont déjà été exposées, les démarches pour signaler une usurpation d'identité dépendent de ce qui a été communiqué et de l'existence d'un accès à des comptes.

Identifier ce que le message cherche à obtenir aide à décider si le supprimer suffit ou s'il faut immédiatement sécuriser un compte, contacter sa banque ou faire examiner l'appareil concerné.

Se protéger de l'hameçonnage en pratique

Vérifiez les demandes par un canal distinct

Si un message vous demande de vous connecter, d'envoyer de l'argent, de communiquer des informations ou de confirmer une opération, n'utilisez pas les liens, numéros de téléphone ou coordonnées qu'il fournit. Ouvrez l'application officielle, utilisez un favori enregistré, tapez vous-même l'adresse du site, ou appelez un numéro publié sur le site vérifié de l'organisation. Méfiez-vous si l'expéditeur s'oppose à une vérification indépendante, vous pousse à rester en ligne ou vous décourage de contacter l'organisation directement.

Renforcez votre manière de vous connecter

Traitez les codes à usage unique comme des mots de passe et ne les communiquez pas après un message ou un appel inattendu. Utilisez des mots de passe uniques et activez une authentification plus forte partout où c'est possible. Les applications d'authentification, les clés d'accès et les clés de sécurité physiques apportent une protection supplémentaire, et un gestionnaire de mots de passe peut révéler une adresse imitée en refusant de remplir des identifiants enregistrés sur une adresse inconnue.

Séparez vos comptes importants de vos coordonnées publiques

Utilisez des adresses e-mail différentes pour les comptes financiers, pour les achats et réseaux sociaux, et pour tout ce qui est visible publiquement. Cela limite la facilité avec laquelle une personne connaissant une adresse peut identifier vos comptes les plus sensibles. Passez en revue les endroits où votre adresse e-mail, votre numéro, votre employeur et d'autres éléments identifiants apparaissent en ligne. Savoir comment protéger vos informations personnelles réduit la matière disponible pour des tentatives personnalisées.

Les signaux d'alerte qui méritent attention

Même un message soigné peut contenir des signes que l'expéditeur cherche à créer une pression ou à empêcher une vérification indépendante :

• Une urgence liée à une conséquence : fermeture de compte, paiement refusé, colis retourné ou alerte de sécurité
• Une demande de garder l'affaire confidentielle, surtout dans des messages professionnels prétendant venir d'un supérieur
• De nouvelles coordonnées bancaires ou instructions de paiement glissées dans un échange de factures par ailleurs familier
• Une adresse d'expédition ou de réponse qui diffère légèrement de l'organisation ou de la personne affichée
• Une demande de mot de passe, de code à usage unique, de paiement, d'accès à distance ou de document sensible
• Une résistance lorsque vous tentez de vérifier la demande par le site officiel, l'application ou un numéro publié

Observez la réaction que le message veut provoquer. La peur, l'urgence, la curiosité et la promesse d'une solution immédiate peuvent toutes pousser à agir avant de vérifier. Apprendre comment éviter les arnaques en ligne suppose de reconnaître que la pression émotionnelle peut être un signal d'alerte même lorsque l'habillage, la langue et les détails personnels paraissent convaincants.

La première heure après le clic

Agissez vite en fonction de ce que vous avez saisi, communiqué ou installé, plutôt que de chercher à comprendre comment le message vous a trompé.

Si vous avez saisi un mot de passe ou communiqué un code

Changez le mot de passe depuis le service authentique, modifiez-le partout où il était réutilisé, et déconnectez les sessions actives. Passez en revue les appareils connectés et l'activité récente. Si vous avez communiqué un code à usage unique, contactez le service par un canal d'assistance officiel.

Si vous avez saisi des données de paiement

Appelez votre banque au numéro figurant sur votre carte ou dans son application officielle. Expliquez quelles informations ont été saisies, demandez si la carte doit être bloquée ou remplacée, et signalez immédiatement toute opération.

Si vous avez installé un logiciel

Déconnectez l'appareil d'internet et changez les mots de passe importants depuis un autre appareil de confiance. Supprimez le logiciel suspect ou d'accès à distance, puis faites vérifier l'appareil avant de l'utiliser pour des comptes sensibles.

Passez en revue la sécurité de votre messagerie

Vérifiez l'absence de règles de transfert, d'adresses de récupération ou d'applications connectées que vous n'avez pas ajoutées. Vous pouvez aussi rechercher votre adresse sur Have I Been Pwned. Un résultat indique des données exposées, pas nécessairement un compte actuellement compromis.

Réduire ce que les attaquants peuvent apprendre de vous

L'hameçonnage devient plus convaincant quand l'expéditeur connaît votre employeur, vos achats récents, vos coordonnées ou les services que vous utilisez. Ces éléments proviennent souvent de profils publics, d'anciens comptes, de fuites de données et de fiches chez des courtiers en données, et non d'un accès direct à votre appareil. Regardez ce qui apparaît lorsque votre nom, votre adresse e-mail et votre numéro sont recherchés. Nettoyer votre empreinte numérique aide à repérer les informations à retirer ou à restreindre.

Fermez les comptes que vous n'utilisez plus, limitez vos coordonnées publiques et masquez les listes de relations lorsque c'est possible. Soyez prudent face aux courriels d'extorsion affirmant que votre appareil a été piraté ou votre activité enregistrée, surtout lorsqu'un ancien mot de passe est présenté comme preuve. Ce mot de passe peut provenir d'une fuite antérieure et n'établit pas qu'il y a eu accès à l'appareil. Changez-le partout où il reste en usage et vérifiez la sécurité des comptes concernés.

Passer à l'action

Se protéger de l'hameçonnage dépend moins de la capacité à repérer une imitation parfaite que de l'habitude de vérifier les demandes de façon indépendante. Ouvrez les services par les applications officielles ou des adresses enregistrées, ne communiquez jamais de code à usage unique après un contact inattendu, et utilisez des mots de passe uniques avec une authentification plus forte. Si vous avez déjà réagi à un message suspect, sécurisez le compte concerné, passez en revue les sessions actives, et contactez votre banque ou votre fournisseur par un canal officiel.

Réduire les informations publiques liées à votre nom, votre adresse e-mail et votre numéro rend aussi les tentatives futures moins convaincantes. Passez en revue les anciens profils, les coordonnées exposées et les fiches des courtiers en données, au lieu de vous concentrer seulement sur le message qui vous est parvenu. Un accompagnement professionnel pour la suppression des informations personnelles peut traiter les fiches qui restent visibles sur plusieurs sites.