Jusqu'aux fêtes de fin d’année, les hackers regorgent d’idées pour « hameçonner » les données personnelles des consommateurs. Laurent Pétroque, expert fraude en ligne F5 Networks, explique les dangers.
La tradition américaine « Black Friday » s’est imposée en France, pour devenir un événement très attendu par les consommateurs français. A quelques semaines de Noël, la promesse des bonnes affaires génère un engouement certain.
Cette période de consommation intensive, qui s’étend du Black Friday aux fêtes de fin d’année, est aussi une période où les consommateurs passent outre les règles élémentaires de sécurité numérique, installant par inadvertance des logiciels malveillants sur leurs smartphones ou leurs ordinateurs ou exposant leurs identifiants en ligne au profit de hackers à l’affût.
Cette année, plus que les années précédentes, le phishing sous toutes ses formes devrait durement frapper les e-commerçants et leurs consommateurs non préparés. D’apparence bienveillante (mais usurpant l’identité d’une personne ou d’une marque de « confiance »), l'email de phishing se transforme en piège dès lors que l’utilisateur clique sur un lien ou ouvre une pièce jointe malveillante. Les objectifs des hackers sont nombreux : installer un malware sur le poste de l’utilisateur, dérober des données personnelles (identifiants, informations de paiement, etc.), cyberespionner, etc.
Sur la période d’octobre à décembre, les cas de fraude ciblant les particuliers augmentent de 50% (par rapport à la moyenne annuelle). Autre indicateur de l’ampleur du problème du phishing : au cours des 4 dernières années, 75,6% des sites web mis hors service ont été victimes de phishing.
Par ailleurs, les données du Groupe de Travail Anti-Phishing (GTPA) indiquent que le nombre d'incidents d’attaque de phishing à l'échelle mondiale a augmenté de 5 753 % au cours des 12 dernières années.
Le problème est aggravé par l'expansion de la surface d'attaque disponible. Une analyse mondiale approfondie réalisée par Salesforce estime que le chiffre d'affaires du e-commerce pour la période des fêtes 2018 va augmenter de 13 % par rapport à l'année dernière - les recommandations de produits basées sur l'intelligence artificielle représentant 35 % des revenus. Et pour la toute première fois cette année, plus d'achats seront effectués avec un téléphone portable (68%) qu’avec tout autre terminal.
Afin d’échapper aux tentatives de phishing, voici quelques-unes des bonnes pratiques à suivre :
- Réfléchir avant de partager : partager des informations en ligne, notamment sur les réseaux sociaux n’est pas sans risque. Annoncer une promotion ou un nouveau poste, valoriser son engagement envers une association, etc. ce sont là quelques exemples d’informations personnelles apparemment inoffensives que des hackers peuvent utiliser. Sur Internet, les particuliers doivent être prudents, vigilants et responsables. D'autre part, les entreprises doivent mettre en œuvre des programmes de sensibilisation réguliers, pour s'assurer que tous les employés adoptent une culture de partage social approprié.
- Réfléchir avant de cliquer : tous les emails reçus doivent être traités avec suspicion. Les phisheurs cachent souvent leurs URLs malveillantes dans le texte du corps de l’email ou dans des formulaires en ligne qui semblent crédibles. Il est possible de détecter le piège en passant sa souris sur les liens hypertextes pour afficher les URLs de destination.
- Ça ressemble à une arnaque ? C'est probablement le cas. Les attaques de phishing deviennent très perfectionnées. Les hackers y intègrent une quantité impressionnante de détails personnels et de contexte, pour augmenter le facteur « réalisme ». Pour le particulier, consommateur, il est primordial d’avoir le réflexe de toujours tout remettre en question et d’essayer d’établir qui est vraiment l’expéditeur avant de faire quoi que ce soit.
- Interroger systématiquement les en-têtes des mails : Les cybercriminels envoient fréquemment des demandes de renseignements par mail pour recueillir des adresses IP, déterminer le logiciel du serveur mail et vérifier le flux de trafic des emails. Il est important de vérifier toutes les en-têtes de mail avant d'ouvrir le contenu de sources inconnues.
- Sécuriser son réseau. Dans le monde de l’entreprise, il est impératif que les équipes de sécurité s'assurent régulièrement que les systèmes réseau sont configurés de façon optimale pour résister aux menaces. Il est également essentiel de noter que certaines applications ne sont pas construites dans un état d'esprit de sécurité intégrée dès la conception (« Security by Design »), contenant parfois des détails sur l'équipe de développement et les processus organisationnels. La sécurisation de ces derniers est une priorité. En outre, tous les registres de noms de domaine et d'adresses IP devraient être établis avec des noms de rôle et des identificateurs génériques au lieu de noms individuels.
- Tester ses limites. Les entreprises devraient réaliser régulièrement des tests d'intrusion pour découvrir qui s’attaque à elle, où, quand, comment et pourquoi ? Les tests de reconnaissance et d'ingénierie sociale fournissent de précieuses informations défensives.
Le programme d’assistance et de prévention des risques numériques www.cybermalveillance.gouv.fr initié par l’Etat français vient également de délivrer ses conseils pour profiter du Black Friday en toute sécurité https://www.cybermalveillance.gouv.fr/nos-articles/black-friday-risques-accrus-de-cyber-arnaques-7-conseils-pour-y-faire-face/.
Des actions de sensibilisation qui sont les bienvenues, et qu’il faut relayer le plus largement possible, pour que les consommateurs français gagnent en vigilance lors de leurs achats en ligne.