Comment se protéger contre le phishing ?

Les attaques par phishing font de plus en plus de victimes ! Selon le site cybermalveillance.gouv.fr, le phishing est en forte recrudescence ces dernières années en France. Les hackers sont de plus en plus agressifs dans leurs attaques et rivalisent d’imagination pour tromper leurs victimes. Esendex vous informe sur ces pratiques frauduleuses et vous livre les bonnes pratiques à adopter au quotidien pour vous protéger efficacement.

Phishing : définition et mode opératoire

Le phishing, également appelé hameçonnage, est une technique qui consiste à faire croire à la victime qu’elle s’adresse à un tiers de confiance, dans le but de lui dérober des informations confidentielles (mot de passe, numéro de carte de crédit…). L’objectif ? Lui subtiliser des fonds.

Pour tromper leur victime, les hackers misent le plus fréquemment sur la reproduction des pages d’un site web. Voici comment ces personnes malintentionnées procèdent en général.Vous recevez un mail ou un SMS de votre banque, de votre opérateur mobile ou même d’une entreprise avec laquelle vous avez l’habitude de collaborer, vous précisant par exemple que :

• votre dernier paiement a été refusé et qu’il faut au plus vite régler votre facture ; 
• suite à un incident technique, vous devez confirmer ou mettre à jour vos informations personnelles, comme vos données bancaires ;
• vous allez recevoir un remboursement et, pour cela, vous devez mettre à jour vos données bancaires….

En cliquant sur le lien présent dans le message frauduleux, vous êtes automatiquement redirigé vers une page web contrefaite, portant le logo de votre banque, de votre opérateur, ou celui de l’entreprise utilisée pour vous piéger.

4 bonnes pratiques à adopter pour se protéger du phishing

Afin d’éviter ce type de problème, nous vous proposons quelques recommandations.

Faites attention au nom de domaine

Le nom de domaine contrefait est généralement quasi-identique à celui du fournisseur. Néanmoins, de petites subtilités peuvent vous mettre sur la piste d’une tentative de phishing.

Chez Esendex, nous avons observé ce type de fraude lors de notre dernière attaque. Les hackers ont utilisé esendex.me, esendex.top ou esendex.pro par exemple. Ils avaient également copié notre page de login à l’identique. Les seules différences étaient le nom de domaine et le cadenas, qui indiquait que notre site était un site sécurisé.

Soyez attentif : observez bien l’URL du lien. Toute faute d’orthographe ou irrégularité doit attirer votre attention !

De manière générale, ne vous connectez jamais ailleurs que sur les sites web officiels de l’administration, de l’institution ou de l’organisation dont vous dépendez.

L’association française de nommage de site internet vous propose plusieurs solutions en cas de litige et vous permet de signaler le faux nom de domaine. En tant qu’entreprise, si vous êtes victime de phishing, le premier réflexe est d’alerter vos clients et de s’assurer qu’ils utilisent la bonne adresse pour se connecter à vos services. Pour rappel, nos services sont accessibles sur ops.esendex.fr.

À lire aussi : Protégez-vous contre les arnaques par SMS liées au coronavirus

Méfiez-vous des annonces Google

Comme beaucoup d’entreprises, nous utilisons les annonces Google. Ces annonces nous permettent d’apparaître en première position sur les pages de résultats de Google, lorsque vous recherchez « Esendex » par exemple. Cependant, lors de notre attaque, les hackers ont aussi créé de nouvelles annonces en achetant notre nom de marque pour apparaître en premier sur les résultats de recherche Google.

Si vous aussi utilisez Google Adwords, vous pouvez mettre en place des alertes afin d’augmenter automatiquement vos enchères lorsque certains de vos mots-clés ne sont plus en première position, par exemple. En cas d’attaque, il est d’abord préférable de contacter directement Google afin de les avertir et de trouver une solution pour fermer ces comptes frauduleux. Vous pouvez également conseiller à vos clients d’accéder à votre site internet via un marque page enregistré sur leur ordinateur afin de ne pas avoir à chercher le nom de votre entreprise sur les moteurs de recherche.

Changer votre mot de passe régulièrement

En vous rendant sur haveibeenpwned.com, vous pouvez vérifier si votre adresse e-mail a été piratée. Ces sites compilent les listes d’adresses e-mail publiées par des pirates. Si votre adresse se trouve dans la liste, il est conseillé de changer  immédiatement votre mot de passe !

Évitez les mots de passe trop simples et surtout utilisez des mots de passe différents pour chaque service ou site web sur lesquels vous vous inscrivez. Enfin, veillez à saisir vos identifiants (noms d’utilisateur et mots de passe) uniquement lorsque vous utilisez une connexion sécurisée. Un cadenas doit être présent dans l’URL et l’adresse du site web doit commencer par HTTPS, et non HTTP.

En cas de doute…

N’hésitez pas à vérifier l’identité de votre interlocuteur. Si vous pensez être victime d’une attaque DDoS ou phishing,  prenez des mesures immédiatement et alertez les sites spécialisés pour ne pas que cela se reproduise.

À lire aussi : SMS frauduleux : comment les éviter ?

Pour aller plus loin :

RGPD : quelles conséquences sur les envois de SMS professionnels ?