Qu’est-ce qu’une escroquerie par hameçonnage ?
Une escroquerie par hameçonnage est une escroquerie d’usurpation d’identité qui arrive par e-mail. L’e-mail semble provenir d’une source légitime telle qu’une entreprise ou une institution financière de confiance, et comprend une demande urgente d’informations personnelles invoquant généralement un besoin critique de mettre à jour un compte immédiatement. En cliquant sur un lien fourni dans l’e-mail, vous accédez à un site Web d’apparence officielle. Les informations personnelles fournies sur ce site, cependant, vont directement à l’escroc.
La fraude est un problème croissant sur Internet, car les gens sont amenés à fournir des informations personnelles, notamment des numéros de carte de crédit, des mots de passe, le nom de jeune fille de la mère, des numéros de compte bancaire, des codes d’accès aux guichets automatiques et des numéros de sécurité sociale. Les protections antivirus et les pare-feu n’attrapent pas la plupart des escroqueries par hameçonnage car ils ne contiennent pas de code suspect, tandis que les filtres anti-spam les laissent passer car ils semblent provenir de sources légitimes.
Les liens inclus dans les escroqueries par hameçonnage dirigent la personne sans méfiance vers un site Web frauduleux conçu pour imiter la réalité, souvent jusque dans les moindres détails, y compris les avis de droit d’auteur, les titres de sous-menu, etc. Il est pratiquement impossible pour la plupart des gens de dire qu’ils sont la cible d’un hameçonneur en regardant uniquement le site. Cependant, des indices dans l’adresse peuvent parfois révéler la tromperie.
Des caractères similaires peuvent être remplacés dans l’orthographe du lien par le caractère réel de sorte qu’un « 1 » (numéro un) soit utilisé à la place d’un « L » minuscule. Par exemple, les hameçonneurs ont utilisé paypa1.com plutôt que paypal.com. D’autres fois, une adresse IP – une adresse numérique – est utilisée pour masquer le fait que le lien ne mène pas la victime vers le site réel. Cependant, les escroqueries par hameçonnage sont devenues si sophistiquées que les hameçonneurs peuvent également sembler utiliser des liens légitimes, jusqu’au certificat de sécurité du site réel.
La meilleure façon de vous protéger contre les escroqueries par hameçonnage est d’éviter de fournir des informations personnelles lors d’une demande par e-mail. Si vous pensez que la demande peut être légitime, appelez le service client de l’entreprise pour vérifier cela avant de fournir des informations, mais n’utilisez pas les numéros de téléphone contenus dans l’e-mail (le cas échéant). Même si la demande est légitime, saisissez manuellement l’adresse requise dans votre navigateur plutôt que de cliquer sur un lien, car une escroquerie par hameçonnage pourrait éventuellement se dérouler en même temps que des activités légitimes.
Par exemple, début avril 2005, un e-mail de masse qui semblait provenir de Microsoft Corporation invitait les destinataires à télécharger une mise à jour de sécurité très attendue. Ceux qui ont cliqué sur le lien dans l’e-mail ont été dirigés vers un site qui ressemblait à un site de mise à jour Microsoft légitime. Cependant, au lieu de mettre à jour leur logiciel, ils téléchargeaient en fait un cheval de Troie (un programme d’accès à distance qui peut voler des informations personnelles). Microsoft n’utilise pas la notification par e-mail de cette manière, mais beaucoup ont été pris au dépourvu.
La fameuse « lettre du Nigeria » était un autre type d’escroquerie par hameçonnage. Ce type d’escroquerie est si répandu qu’il a son propre nom : 419 escroquerie. Le hameçonneur prétend être un fonctionnaire nigérian en détresse nécessitant un compte bancaire américain pour décharger de l’argent. La personne qui autorise l’utilisation temporaire de son compte recevra une belle récompense. Au lieu de cela, ceux qui ont fourni leurs informations bancaires sont victimes de vol.
PC World a rapporté que le cabinet de recherche Gartner a découvert que les escroqueries par hameçonnage coûtaient aux consommateurs 2 milliards de dollars par an. Alors que la Federal Trade Commission (FTC) et d’autres se sont concentrées sur l’éducation du public, l’Anti-Phishing Act de 2005 a été proposé par le sénateur américain Patrick Leahey (D-Vermont). Cela rendrait la création et l’utilisation d’adresses e-mail et de sites Web destinés à usurper des entreprises légitimes dans le but d’obtenir des informations personnelles passibles d’amendes et de peines de prison. Cependant, attraper les hameçonneurs est difficile. Les sites frauduleux fonctionnent pendant de très courtes périodes et les escroqueries proviennent souvent d’autres pays. En mars 2005, Microsoft a déposé 117 poursuites pour hameçonnage dans le district ouest de Washington avec des anonymes accusés .
L’Anti-Phishing Working Group ( APWG ) est une organisation internationale de bénévoles qui travaillent à traquer les escroqueries par hameçonnage. Leur site Web conserve une base de données en ligne des courriels frauduleux qui leur sont soumis. Vous pouvez consulter ce site pour de nouvelles escroqueries ou leur envoyer un e-mail de phishing que vous recevez. L’APWG est en grande partie un centre d’information, mais il fournit des liens vers des ressources destinées aux consommateurs. La FTC propose également des conseils aux consommateurs, une adresse e-mail pour signaler le phishing, ainsi qu’un formulaire pour signaler l’usurpation d’identité .
Les entreprises qui ont été usurpées par des escroqueries par phishing incluent : Microsoft Corp., MSN, eBay, Amazon.com, PayPal, AOL, Comcast, CitiBank, Wells Fargo Bank, Bank of America, Washington Mutual et bien d’autres.