Nous allons, dans cet article étudier le fonctionnent d'une attaque très utilisée sur Internet! D'ailleurs je pense que nous avons tous été touché par ce genre d'attaque au cours de notre vie d'internaute !
Je veux évidemment parler du phishing
Le Phishing, qu'est ce que c'est ?
Le mot phishing ( ou hameçonnage en bon français) vient du mot anglais fishing qui signifie la pêche. Sauf que dans ce cas là, le poisson c'est vous !
Et oui, cette attaque permet de récolter une grande partie de vos données, par exemple des mots de passe ou des informations bancaires !! Elle utilise la plus grande faille en informatique, la faille humaine ! On appelle cela une technique d'ingénierie sociale, et c'est probablement les techniques les plus simples et les plus efficaces en hacking.
Deux façons de de se faire avoir:
Le pirate va réaliser un leurre, qui peut prendre différentes formes, en général une page de connexion (avec les logiciels HTTrack ou SEToolkit pour ceux qui veulent en savoir plus).
Il va ensuite envoyer un lien vers ce piège à sa victime par mail, ou même par sms en se faisant passer par votre banque ou des sociétés !
Comme à la pêche, il ne lui reste plus qu'à attendre que sa victime mordre à l'hameçon et rentre ses identifiants de connexion dans le leurre. Le pirate pourra facilement les récupérer et les utiliser selon son gré.
Certains pirates font de la pêche au gros, ils spamment de nombreuses boîtes mail de messages souvent mal orthographiés et en appâtant au maximum la victime avec des tirages au sort, des confirmation de données ou même des menaces ! Malheureusement, il arrive que quelques personnes un peu naïves et peu sensibilisées aux risques d'Internet se fassent encore avoir par ce type d'attaque.
D'autres pirates choisissent de cibler leurs attaques. Les mails sont sélectionnés selon la victime et sont souvent beaucoup mieux syntaxés. Ils sont donc beaucoup plus efficaces. Cependant, cela nécessite que le pirate ait déjà des informations sur vous.
C'est une attaque très facile à mener et demande plus de connaissance en psychologie ou en marketing qu'en informatique pour se révéler efficace.
Il existe cependant un type de phishing beaucoup plus discret, plus difficile à mettre en place mais encore plus efficace et dangereux.
Je pense faire un article spécial sur cette méthode plus tard et de laisser cet article à un niveau plus basique accessible à tous 😉 Je vais quand même vous expliquer le principe ne vous inquiétez pas 😛
Tout d'abord, il faut que l'assaillant soit connecté au même réseau WiFi que vous. Sur votre routeur à la maison vous serez probablement en sécurité mais faites attention sur les réseaux non sécurisés ouverts à tous !!
Le pirate va tout d'abord se placer entre vous et votre point d'accès à Internet, c'est l'attaque de l'homme du milieu (Man in the Middle ou MITM).
Il peut ensuite intercepter tout ce que vous faites sur Internet, et vous rediriger vers le leurre qui l'a créé de façon totalement invisible. On appelle cela le DNSspoofing.
Par exemple, imaginons une victime qui souhaite se connecter à facebook.com, à la place la cible va être envoyé vers le leurre du pirate qui sera un clone de la page de connexion facebook.
Si la victime rentre ses identifiants elle sera redirigée vers le vrai site facebook, mais donnera par la même occasion son mot de passe au pirate.
Voilà comment un pirate peut vous voler votre compte facebook sur un WiFi non sécurisé.
Mais alors comment se protéger contre le phishing ?
Les pirates cherchent souvent à se rapprocher le plus possible du vrai nom de domaine, il faut donc regarder attentivement chaque lettre. En effet, les pirates peuvent changer un I ( i majuscule) avec un l (L minuscule), inverser l'ordre des lettres comme impots.guov.fr, soyez attentifs donc 😉
- Vérifier l'orthographe dans l'e-mail
En effet, les e-mails de phishing sont souvent rédigés par des non francophones, donc si vous voyez une seule faute d'orthographe vous pouvez être quasi-sur que c'est une tentative de phishing.
- Vérifier les certificats électroniques
Penser à regarder que vous êtes bien sur un site https avec le petit cadenas à côté. La plupart des sites de phishing n'en n'ont pas.
Il vous suffit de copier l'URL du lien sur ce site http://www.phishtank.com/ et cliquer sur Is it a phish ? Phishtank vous indiquera si vous pouvez faire confiance à ce site.
- Filtre les spam grâce à votre boite mail
De plus en plus de boîtes mail proposent une catégorie spam. Gmail et ThunderBird sont assez efficaces sur ce point là.
- Surfez en chiffrant tout ce que vous faites
Utiliser l'extension de firefox HTTPS-Everywhere ou alors utiliser un VPN, cela vous permettra de toujours crypter ce que vous faites sur Internet, ainsi une attaque MITM ou de phishing ne pourra pas intercepter vos mots de passe en clair.
Vous devez aussi gardez en tête que la plupart des entreprises sérieuses ne demanderont JAMAIS des informations par mail.
Que faire si j'ai été victime de phishing ?
C'est malheureusement trop tard pour la plupart des cas. Mais si vous vous en êtes rendu compte tout de suite après, la seule chose à faire est de changer immédiatement vos identifiants pour que le pirate n'ait pas le temps d'utiliser votre compte.
Vous pouvez aussi signaler le site frauduleux pour qu'il soit reconnu en tant que site de phishing.
En conclusion, vous l'avez compris la meilleure défense contre le phishing c'est vous ! Vous devez être attentif, cela peut arriver à tout le monde de se faire avoir dans un moment de fatigue ou de déconcentration.