Repérer l'hameçonnage

Dans l'adresse example.com.account-check.example, le site qui possède réellement la page est account-check.example ; le example.com placé devant n'est qu'une étiquette choisie par son propriétaire.

Un SMS de colis que le livreur n'a jamais envoyé

Voici un SMS inventé, d'un genre bien connu : « Votre colis n'a pas pu être livré car l'adresse est incomplète. Mettez-la à jour sous 24 heures », suivi d'un lien court. Si tu attends une livraison, ton pouce est déjà sur le lien. C'est de l'hameçonnage (phishing) : un message conçu pour te faire ouvrir une pièce jointe dangereuse, cliquer sur un lien vers un faux site ou donner des informations personnelles ou bancaires. Il arrive par e-mail, par SMS (on parle souvent de smishing), par messagerie instantanée et par téléphone.

Les signes dans ce seul petit SMS

La CISA énumère les signes courants, et le SMS du colis en réunit la plupart. Un langage urgent ou émotionnel, avec la menace d'ennuis si tu n'agis pas tout de suite. Une demande d'informations personnelles ou bancaires. Un lien raccourci peu fiable. Une adresse d'expéditeur ou un lien légèrement faux, avec une lettre inversée ou un mot en plus. Un ancien signe ne fonctionne plus, cependant. L'hameçonnage se repérait facilement à ses fautes d'orthographe et de grammaire, mais la CISA note qu'à l'ère de l'IA certains messages ont désormais une grammaire et une orthographe parfaites. Regarde donc ce que le message veut te faire faire, pas la qualité de sa rédaction. Un compte bancaire « bloqué pour ta sécurité », un prix pour un concours auquel tu n'as jamais participé, un proche avec un nouveau numéro qui a besoin d'argent aujourd'hui : chacun te pousse à agir avant de réfléchir.

Lire un lien en partant de la droite

Avant de toucher un lien, regarde le nom d'hôte : la partie après https:// et avant la première barre oblique simple. Lis-le en partant de la droite. Les deux dernières parties (ou trois, pour des adresses comme .co.kr) désignent l'organisation qui le contrôle, et tout ce qui se trouve à leur gauche est une étiquette choisie par cette organisation. Ainsi, login.example.com appartient à example.com, mais example.com.account-check.example appartient à account-check.example. Sur un téléphone, appuie longuement sur un lien pour voir l'adresse complète sans l'ouvrir. Les clés d'accès aident aussi ici, car elles ne fonctionnent tout simplement pas sur un site qui n'est pas le vrai. (Toutes les adresses de cette page utilisent des noms réservés aux exemples, comme example.com et la terminaison .example : aucune n'est donc un vrai site.)

Vérifier par un autre canal, puis signaler

La CISA donne trois conseils : reconnaître, résister et supprimer, et les signes ci-dessus correspondent au premier. Résister signifie ne pas cliquer sur les liens ni ouvrir les pièces jointes d'un message dont tu doutes, et ne pas répondre, pas même à un lien « se désabonner ». Si le message prétend venir d'une entreprise dont tu es client, ouvre son application ou tape toi-même son adresse et vérifie là. S'il prétend venir de quelqu'un que tu connais, appelle cette personne au numéro que tu as déjà. Supprime ensuite le message, après l'avoir signalé avec l'option « signaler comme spam » ou « signaler l'hameçonnage » de ta messagerie. En Corée, la KISA gère une ligne gratuite, le 118, pour le piratage, le spam et les problèmes d'informations personnelles ; son menu transmet aussi à la police les signalements d'hameçonnage vocal et de smishing. Le site Boho Nara de la KISA (boho.or.kr) propose un service de vérification des SMS suspects.

Les appels téléphoniques suivent le même schéma. Une personne dit appeler de ta banque, d'un transporteur, de la police ou du parquet, t'annonce que ton compte est mêlé à un délit et te demande de transférer de l'argent, d'installer une application ou de lire un code. Les vraies institutions ne demandent pas cela par téléphone. Raccroche, cherche toi-même le numéro officiel et rappelle. N'installe jamais une application ou un logiciel de prise de contrôle à distance parce qu'un interlocuteur te l'a demandé.