Les indices révélant que l’on tente de vous escroquer

Les arnaques par courrier existaient bien avant que le courrier électronique fasse son apparition. Il existe une vieille blague à propos d’une annonce dans le journal qui dit : « Soyez malin ! Apprenez à éviter les escroqueries ! Il vous suffit d’envoyer 5 euros à l’adresse suivante : ... »

Les arnaques par e-mail ne sont guère plus que la version numérique de la même idée. Qu’elles promettent de s’enrichir rapidement, d’améliorer l’aspect physique ou la santé, ou qu’elles adoptent une démarche directe (« CLIQUEZ ICI ! »), l’idée sous-jacente est toujours la même : les spammeurs jouent sur la curiosité, l’appât du gain ou les craintes du destinataire, en espérant que l’incitation à cliquer sera plus forte que sa vigilance naturelle.

Une sophistication plus grande, mais un objectif identique

Les premières avalanches de courriers indésirables étaient plutôt faciles à déceler. Nous avons notamment été confrontés à la fameuse escroquerie du prince nigérian – dont les origines remontent en réalité à une époque bien antérieure à l’avènement d’internet. Ce type de spam n’a cependant pas complètement disparu – les arnaques du style « Enrichissez-vous rapidement » continueront d’exister tant que l’on trouvera des gens suffisamment crédules.

La motivation élémentaire des arnaqueurs est toujours la même : ils veulent votre argent. C’est réellement aussi simple que ça. Les rançongiciels modernes peuvent sembler plus complexes, mais en fait, il s’agit simplement d’une variante plus directe de l’annonce mensongère dans le journal : si vous ne voulez pas perdre votre formulaire de déclaration de revenus, les photos de votre grand-mère adorée, et votre collection de représentation d’êtres humains peu vêtus, envoyez-nous 5 bitcoins à l’adresse suivante.

Les escrocs modernes, plutôt que de vous proposer quelque chose, exigent d’être payés pour ce qui est grosso modo un racket de protection. Mais avant de pouvoir réclamer ce qu’ils veulent, ils doivent toujours tromper les utilisateurs, dans le but de pénétrer dans leur intimité numérique.

Comment on vous pousse à cliquer

Actuellement, les arnaques par e-mail semblent souvent provenir d’une source connue – un ami, une connaissance, une entreprise avec laquelle vous avez travaillé. Ces messages frauduleux sont faciles à reconnaître si votre contact est très instruit et qu’il se trouve que le texte comporte de nombreuses fautes d’orthographe. Mais ils peuvent aussi être sacrément difficiles à détecter si l’expéditeur supposé est votre tante bienveillante qui vous envoie toujours des liens sans un seul mot d’explication.

Les faux e-mails professionnels tentent de vous berner en jouant sur vos peurs et préoccupations. C’est notre dernier avertissement, nous couperons votre accès internet si vous ne payez pas cette facture ! Votre messagerie est pleine, cliquez sur ce lien pour y avoir à nouveau accès. Rappel d’impayé : vous nous devez 473,92 €, cliquez sur le PDF joint pour en savoir plus.

Aucun de ces stratagèmes n’est vraiment nouveau ; ce qui l’est, c’est que ces messages sont devenus particulièrement bien ciblés. Les e-mails menaçants utilisent votre nom exact, et mentionnent même quelquefois votre adresse postale, votre numéro de téléphone et d’autres informations.

Comment les escrocs se procurent-ils ces informations ? Probablement par le biais de fuites de données. Plusieurs des sites web commerciaux sur lesquels je fais des achats ont été piratés ces dernières années. Si j’en crois le service « Have I Been Pwned », l’une de mes adresses e-mail s’est trouvée compromise pas moins de six fois depuis 2013. À propos, il faut rester vigilant avec ce type de services : certains sont en réalité des pièges visant à récupérer votre adresse e-mail pour une utilisation frauduleuse.

Lorsque vous recevez du spam de quelqu’un que vous connaissez, il est probable que l'ordinateur de cette personne a été la proie d’un logiciel malveillant qui a téléchargé son carnet d’adresses vers les serveurs du malfrat. Faites attention avant de porter une accusation : la victime du programme malveillant n’est pas forcément l’expéditeur réel de l’e-mail. Votre adresse et la sienne pouvaient très bien se trouver dans le carnet d’adresses d’une troisième personne.

Pièces jointes trompeuses

Actuellement, la plupart des programme nuisibles s’infiltrent dans un système par l’intermédiaire d’une pièce jointe infectée (pièce jointe à un e-mail). L’e-mail frauduleux est généralement rédigé de façon à vous faire ouvrir immédiatement la pièce jointe. Avec un message tel que « Merci pour votre commande. Veuillez trouver ci-joint votre facture de 473,92 €, montant que nous avons déjà débité de votre carte bancaire. », il est difficile de résister à l’envie de double-cliquer. Vous voulez vérifier si votre carte de crédit a été piratée... et ce faisant, vous vous retrouvez victime de piratage.

Certaines pièces jointes sont des documents Microsoft Office qui contiennent des macros dont la fonction est de télécharger un logiciel malveillant sur votre ordinateur. Ce n’est pas un problème si Microsoft Office n’est pas installé sur votre machine, mais la pauvre tante Edna, elle, avait obtenu Word gratuitement à l’achat de son PC, alors pourquoi ne l’utiliserait-elle pas ?

D’autre fichiers apparaissent comme des PDF ou d’autres documents inoffensifs, alors que ce sont en réalité des fichiers exécutables. Windows est généralement paramétré pour ne pas afficher les extensions de fichier. Alors si vous enregistrez une pièce jointe sur votre ordinateur et qu’elle se nomme « Facture.pdf », il y a de bonnes raisons de se méfier. Il est plus que probable que son véritable nom est « Facture.pdf.exe » – mais comme Windows masque la seconde extension, tout ce que vous voyez, c’est la partie « pdf », et l’icône a par ailleurs certainement été travaillée pour ressembler à l’icône classique d’un document PDF.

Ce qu’il faut faire en cas de pièce jointe suspecte

Si une pièce jointe vous paraît douteuse – et à ce stade, toute pièce jointe devrait éveiller votre méfiance – il existe plusieurs manières de vous protéger.

Tout d’abord, gardez votre sang-froid. Tous les e-mails frauduleux sont élaborés pour vous faire réagir de façon impulsive. Si vous recevez un e-mail très perturbant, mais qu’il semble un peu trop parfait pour être vrai, c’est probablement une supercherie.

La prévention commence par la mise en place de filtres anti-spam. De nombreux fournisseurs de messageries e-mail offrent des filtres anti-spam gratuits côté serveur, mais c’est souvent aux utilisateurs de les activer. Dans le doute, consultez la base de connaissances de votre fournisseur pour savoir s’il met à votre disposition une protection contre le spam côté serveur, et le cas échéant comment activer celle-ci.

L’étape suivante consiste à définir un filtre anti-spam côté client. Thunderbird propose un bon filtre de courrier indésirable (c’est gratuit), les clients e-mail tels que Outlook peuvent être complétés avec une extension telle que AntispamSniper (c’est payant). De nombreuses suite antivirus du commerce comprennent également un filtre pour les e-mails.

N’oubliez pas que ces mesures amélioreront votre protection, mais qu’elles sont loin d'être parfaites. Lorsque les filtres anti-spam côté serveur et côté client écartent les courriers spam peu évolués, les e-mails frauduleux qui passent au travers de ces filtres seront d’une nature plus sophistiquée – après tout, ils sont suffisamment sophistiqués pour avoir pu contourner vos filtres.

Pour cette raison, souvenez-vous de ce qui suit :

1. N’ouvrez pas de pièce jointe à moins d’être sûr à 100 % de son authenticité. Cela peut prendre du temps, comme expliqué plus bas.
2. Vérifiez soigneusement l’adresse e-mail de l’expéditeur. Souvent, le nom paraît correct, mais l’adresse e-mail est différente.
3. Si l’expéditeur est un ami, une connaissance ou un partenaire commercial, appelez la personne pour confirmer qu’elle vous a bien envoyé la pièce jointe. Oui, un appel téléphonique. Bien sûr, vous pourriez renvoyer un e-mail, mais qu’arrivera-t-il si la « confirmation » que vous recevez provient du pirate qui vous a envoyé le fichier ?
4. Si vous ne pouvez pas contacter l’expéditeur, enregistrez le fichier sur votre disque dur (enregistrer, pas ouvrir !) et analysez-le avec votre antivirus. Même si le fichier est déterminé comme sain, ne l’ouvrez pas. Répétez l’analyse après une heure ou deux – ses signatures antivirus auront peut-être été mises à jour entre temps.
5. Si possible, téléchargez le fichier vers un service gratuit d’analyse antivirus en ligne tel que VirusTotal ou Jotti’s Malware Scan. S’il s’agit de documents professionnels, gardez à l’esprit qu’en téléchargeant votre fichier, les fournisseurs d’antivirus pourront connaître son contenu. Si cela peut compromettre des informations confidentielles, vous devriez plutôt choisir la 3e option.

Ce qu’il faut retenir

Les attaques seront d’autant plus élaborées que vous représentez une cible intéressante. Sur ce point, on peut facilement penser « Oh, alors je n’ai pas trop à m’en faire, je n’ai pas de données intéressantes à voler ou à crypter ».

Toutefois, pour devenir « intéressant » en tant que victime de piratage, il n’est pas indispensable que vous gériez des informations importantes vous-même – par contre, vous connaissez peut-être quelqu’un pour qui c’est le cas. Cela fait de vous, pour parler franchement, un appât. Les pirates sont susceptibles de prendre le contrôle de votre ordinateur pour atteindre quelqu’un d’autre.

Par conséquent, peu importe la qualité de votre stratégie de sauvegarde, restez vigilant(e) et ne prenez pas les e-mails frauduleux à la légère. Les pirates comptent sur vous pour commettre une erreur : un double-clic involontaire peut suffire à vous mener droit vers les ténèbres informatiques.

Quelles sont vos expériences avec les arnaques par e-mail ? Connaissez-vous quelqu’un qui s’est fait piéger par une escroquerie de ce type ? Quels sont les moyens que vous mettez en œuvre pour éviter les infections ? Faites-le nous savoir dans les commentaires.