Hameçonnage : ce que ce mot veut dire quand on partage des fichiers

Un mot ancien pour une ruse très simple

Le mot « hameçonnage » vient de la pêche : on lance un appât et on attend qu'un poisson morde. Sur Internet, l'appât est un message qui ressemble à celui d'une banque, d'une administration ou d'un proche, et le poisson, c'est la personne qui clique sans se méfier. On rencontre aussi le terme anglais « phishing », qui désigne exactement la même chose.

Dans mon travail d'assistant en visioconférence, je constate que ce vocabulaire intimide plus qu'il n'éclaire. Beaucoup de participants pensent qu'il faut comprendre l'informatique pour s'en protéger. Il n'en est rien : l'hameçonnage ne casse aucune serrure, il compte seulement sur un geste rapide de votre part.

Retenez donc ceci : un message d'hameçonnage cherche à vous faire agir avant que vous ayez réfléchi. Toute la défense consiste à ralentir, et cela ne demande aucune connaissance technique.

Comment il se présente avec un lien de partage

Les services de stockage en ligne envoient de vrais messages du type « Une personne a partagé un document avec vous ». Les fraudeurs imitent précisément cette phrase, avec la même mise en page et parfois un nom de fichier qui paraît banal : une facture, des photos, un scan.

Le piège se trouve dans le bouton ou le lien. En cliquant, vous arrivez sur une fausse page de connexion qui vous demande votre mot de passe ou vos coordonnées. Le fichier annoncé n'existe pas : seul compte ce que vous allez saisir sur cette page.

Il arrive aussi que le message semble venir d'une personne de votre carnet d'adresses, dont le compte a été piraté. Le nom affiché vous rassure alors à tort. C'est pourquoi on regarde toujours l'adresse complète de l'expéditeur, et non le seul nom écrit en gras.

• Le nom affiché ne prouve rien : lisez l'adresse complète de l'expéditeur.
• Un fichier que vous n'attendiez pas mérite une vérification avant tout clic.
• Une page qui redemande votre mot de passe après un clic doit vous arrêter.

Les signes qui doivent vous faire ralentir

Plusieurs indices reviennent d'un message à l'autre. Le premier est l'urgence : « votre accès sera supprimé aujourd'hui », « ouvrez ce document immédiatement ». Un vrai partage n'a aucune raison de vous bousculer. Le deuxième est la formule vague, comme « Cher client » ou « Bonjour », sans votre nom ni aucun détail sur le contexte.

Le troisième indice concerne l'adresse. Une adresse qui ressemble à celle d'un service connu, mais avec une lettre changée ou un mot étrange en plus, est un avertissement net. Posez simplement le pointeur de la souris sur le lien, sans cliquer : l'adresse réelle s'affiche, et elle ne correspond souvent pas à ce que le texte annonce.

Enfin, des fautes de langue ou une mise en page un peu bancale peuvent trahir un message fabriqué en série. Ce signe seul ne suffit pas, car certains messages frauduleux sont très soignés. C'est l'ensemble des indices qui compte.

• Une urgence ou une menace de suppression est un signal d'alerte.
• Un message sans votre nom ni contexte précis reste suspect.
• Survolez le lien sans cliquer pour lire l'adresse réelle.

Le réflexe de la porte fermée

Quand un message vous inquiète, imaginez que quelqu'un sonne à votre porte en se disant de passage. Vous ne le laissez pas entrer : vous téléphonez d'abord à la personne ou à l'organisme qu'il prétend représenter, avec un numéro que vous connaissez déjà.

Appliquez cela à vos courriels. Si une connaissance semble vous envoyer un document, appelez-la ou écrivez-lui par un autre moyen pour demander si l'envoi est bien de sa part. Si le message prétend venir de votre service de stockage, ouvrez vous-même le site ou l'application habituelle, sans passer par le lien reçu, et regardez si un partage vous attend.

Ce réflexe prend deux minutes et il règle presque tous les cas douteux. Il a un avantage : vous n'avez pas besoin d'être certain que le message est faux, il suffit de ne pas lui donner la main.

• Contactez l'expéditeur par un autre canal que le message reçu.
• Rendez-vous sur le service par vos propres moyens, jamais via le lien.

Ce que vous pouvez faire si vous avez cliqué

Cliquer sur un lien suspect n'est pas une catastrophe en soi, et nombre de participants me le confient avec gêne. Si vous n'avez rien saisi sur la page qui s'est ouverte, fermez-la simplement et poursuivez. Rien n'a été transmis.

Si vous avez entré un mot de passe, changez-le sans attendre sur le vrai site du service, puis sur tout autre site où vous utilisez le même. Surveillez ensuite vos messages de connexion et signalez toute activité que vous ne reconnaissez pas. Si le mot de passe protégeait aussi votre banque, prévenez-la directement par téléphone.

Gardez à l'esprit que cela peut arriver à n'importe qui, y compris à des personnes très à l'aise avec l'informatique. Une copie de sécurité de vos documents sur un support séparé limite fortement les conséquences d'un accès indésirable.

Un vocabulaire utile à garder en tête

Quelques mots reviennent dans les conversations sur la sécurité. L'« expéditeur » est la personne ou l'organisme dont vient le message. Une « pièce jointe » est un fichier collé à un courriel. Un « lien de partage » est une adresse qui ouvre un document stocké en ligne, et c'est lui que les fraudeurs détournent.

Le « mot de passe » prouve que vous êtes bien vous. Personne de sérieux ne vous le demandera par message : ni votre banque, ni votre service de stockage, ni nous. Retenez cette règle simple, elle vaut pour tous les cas.

Connaître ces quelques termes vous aide à lire un message avec calme et à poser les bonnes questions à un proche ou à un assistant. Le but n'est pas de devenir expert, mais de ne plus être pris au dépourvu.