Comment reconnaître un mail de phishing ou d'hameçonnage

Vous venez de recevoir un message qui prétend venir de votre banque, des impôts ou d'un service que vous utilisez, et quelque chose vous gêne. Ce doute est un bon réflexe. Voici les indices qui permettent de reconnaître un mail d'hameçonnage (phishing en anglais), ce qu'il faut faire, ce qu'il vaut mieux éviter, et où le signaler.

Cet article s'appuie uniquement sur deux pages de la CNIL, citées en fin de texte.

Ce que cherche un message d'hameçonnage

L'hameçonnage consiste, pour un fraudeur, à se faire passer pour un organisme qui vous est familier : une banque, l'administration fiscale, une caisse de sécurité sociale. Il reprend le nom et le logo de l'organisme pour paraître crédible.

Le message vous demande en général de « mettre à jour » ou de « confirmer suite à un incident technique » vos données, notamment bancaires. Le but est de récupérer ces informations, ou de vous faire ouvrir un fichier contenant un virus.

Il existe une variante proche, la fraude 419 (en anglais « scam »). Un inconnu vous propose de servir d'intermédiaire, contre rémunération, dans une transaction financière internationale. Il peut aussi vous annoncer un gain à une loterie ou un héritage à percevoir. On vous demande vos coordonnées, puis une avance ou des frais, sans que vous obteniez rien en retour.

La CNIL le souligne : ces techniques évoluent constamment. Aucune liste d'indices n'est donc parfaite. Elle sert à vous aider à décider, pas à vous donner une certitude.

Les indices qui doivent vous alerter

Le message ne vous est pas vraiment destiné

Les messages malveillants sont généralement envoyés à un grand nombre de personnes. Ils sont peu ou pas personnalisés.

Si le message évoque un dossier, une facture ou un sujet qui ne vous parle pas, il s'agit très probablement d'un courriel malveillant.

L'expéditeur vous est inconnu

Soyez particulièrement vigilant avec une adresse que vous ne connaissez pas ou qui ne fait pas partie de vos contacts.

La langue est approximative

Certains messages comportent des fautes d'orthographe, des erreurs de frappe ou des expressions inappropriées. Un organisme crédible, comme une banque ou une administration, n'écrit pas ainsi.

La CNIL nuance : c'est de moins en moins vrai. Un message bien écrit n'est donc pas forcément fiable.

Les liens ne mènent pas où ils prétendent

Avant de cliquer, laissez votre souris sur le lien sans cliquer. L'adresse complète apparaît alors. Vérifiez qu'elle est cohérente et qu'elle pointe vers un site légitime.

Méfiez-vous des noms de domaine qui imitent un vrai site. La CNIL cite par exemple :

• impots.gouvv.fr ;
• impots.gouvfr.biz ;
• infocaf.org, à la place de www.caf.fr.

Sur un écran de smartphone, cette vérification est parfois difficile, voire impossible. Dans ce cas, mieux vaut ne pas cliquer.

La demande est étrange

Posez-vous la question de la légitimité de ce qu'on vous demande. Aucun organisme n'a le droit de vous réclamer votre code de carte bancaire, vos codes d'accès ou vos mots de passe.

Ne transmettez rien de confidentiel, même si la demande vient d'une personne qui dit faire partie de votre entourage.

L'adresse de l'expéditeur n'est pas une preuve

L'adresse d'un ami, de votre entreprise ou d'un collaborateur peut facilement être usurpée. Elle ne suffit donc pas à rassurer.

Seule une investigation poussée permet de confirmer ou non l'origine d'un courrier électronique.

Les bons réflexes en cas de doute

Si vous doutez d'un message, la CNIL indique qu'il y a de fortes chances qu'il ne soit pas légitime. Voici ce qu'elle recommande.

1. Ne répondez pas.
2. N'ouvrez pas les pièces jointes, ni les images ou les liens contenus dans le message.
3. Signalez le message (voir plus bas).
4. Supprimez-le, puis videz la corbeille.

Si le message arrive sur votre compte de messagerie professionnel, la marche à suivre est différente. Transférez-le au service informatique et au responsable de la sécurité des systèmes d'information de votre entreprise, pour vérification. Attendez leur réponse avant de le supprimer.

Si le message semble venir d'un ami, par exemple pour récupérer l'accès à son compte, contactez-le sur un autre canal, un appel par exemple, pour vous assurer qu'il s'agit bien de lui.

Comment signaler un message malveillant

Signaler ne règle pas forcément votre cas, mais cela aide à identifier et à agir contre les expéditeurs. Selon le type de message, les démarches diffèrent.

Signal Spam

L'inscription sur signal-spam.fr est gratuite. Vous pouvez aussi installer une extension pour votre logiciel de messagerie (Thunderbird, Outlook ou Mail pour Mac) ou pour votre navigateur si vous lisez vos mails sur un site (Chrome, Safari, Firefox). Vous signalez alors en un clic.

Selon la CNIL, ces signalements permettent d'agir contre les expéditeurs de spam au niveau national, avec les professionnels de l'internet et les autorités compétentes. Grâce aux alertes reçues, la CNIL déclenche des enquêtes et des contrôles sur place. Elle peut être amenée à sanctionner les auteurs de spam.

PHAROS

PHAROS est la plateforme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements. Elle est accessible sur internet-signalement.gouv.fr. Elle permet notamment de signaler les sites dont le contenu est illicite.

Votre signalement est traité par un service de police judiciaire spécialisé, l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication. Après vérification, il est orienté vers un service d'enquête. Une enquête pénale peut être ouverte sous l'autorité du procureur de la République.

Si le contenu est conçu à l'étranger, il est transmis à Interpol, qui l'oriente vers les autorités judiciaires du pays concerné.

Les SMS : le 33700

Signal Spam et PHAROS ne concernent que les courriels et les sites web. Pour un SMS ou un MMS non sollicité, transférez-le au 33700. Ce dispositif d'alerte par SMS a été créé par les opérateurs télécoms, les éditeurs de services et les hébergeurs.

Après le transfert, vous recevez un message qui vous demande d'envoyer au 33700 le numéro d'où provenait le SMS. Ces informations sont transmises aux opérateurs, y compris le vôtre, qui peuvent agir auprès des organismes à l'origine de ces envois.

L'envoi est gratuit pour les clients de Bouygues Telecom, Orange et SFR. Chez les autres opérateurs, il peut être facturé au prix d'un SMS normal. Plus d'informations sont disponibles sur 33700.fr.

Si vous avez été victime d'une escroquerie

Les deux pages de la CNIL indiquent plusieurs points de contact :

• Info Escroqueries, au 0 805 805 817 (numéro vert, appel gratuit depuis la France), du lundi au vendredi de 9 h à 18 h 30. Il permet de s'informer et de signaler un site, un courriel d'escroquerie, un vol de coordonnées bancaires ou une tentative d'hameçonnage.
• PHAROS, sur internet-signalement.gouv.fr, pour signaler l'escroquerie.
• Cybermalveillance.gouv.fr, la plateforme nationale d'assistance aux victimes d'actes de cybermalveillance. Particuliers, entreprises et administrations y trouvent des conseils et des services de proximité en cas de dommages causés par une attaque informatique.

Ces sources ne détaillent pas d'autres démarches. Si vous avez transmis des données bancaires ou des mots de passe, ces interlocuteurs sont les bons points de départ.

Se protéger pour la suite

La CNIL propose quelques mesures simples pour limiter les risques :

• utiliser un filtre anti-pourriel, ou activer l'avertissement contre les sites dangereux proposé par la plupart des navigateurs ;
• installer un antivirus et le mettre à jour ;
• désactiver le volet de prévisualisation des messages ;
• lire vos messages en mode texte brut.

Voir ce qui est visible sur vous

Savoir quelles informations vous concernant circulent aide à garder l'esprit clair quand un message vous interpelle. Remove Me propose une analyse gratuite, sans compte. Vous saisissez vos informations, puis le service cherche dans les résultats web publiquement visibles, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données.

Le bilan s'affiche ensuite. Vous le débloquez avec un code à 6 chiffres envoyé par e-mail.

Une précision honnête : cette analyse ne permet pas de dire si un message précis est frauduleux. Un bilan vide ne prouve pas non plus que rien n'est visible sur vous. Et Remove Me n'envoie pas encore de demande d'effacement en votre nom.

Pour un message précis, appuyez-vous sur les indices ci-dessus et sur les plateformes de signalement officielles.

Lancer mon analyse gratuite quand vous le souhaitez.

La rédaction : l'équipe Remove Me.