Les escroqueries en ligne sont de plus en plus sophistiquées. Parmi les techniques utilisées par les fraudeurs figurent l’usurpation d’identité et le hameçonnage ou “phishing”, qui consistent à se faire passer pour quelqu’un d’autre dans le but de voler des données personnelles ou bancaires. Ces pratiques, en constante augmentation, peuvent avoir des conséquences dramatiques tant pour les particuliers que pour les entreprises. Comment s’en prémunir ?
L’usurpation d’identité, késako ?
L’usurpation d’identité, appelée aussi “spoofing”, désigne le fait de se faire passer pour quelqu’un d’autre en utilisant ses informations personnelles (nom, email, numéro de téléphone…). Concrètement, l’usurpateur va utiliser l’identité de sa victime pour envoyer des emails ou passer des appels téléphoniques en son nom.
Les différents types d’usurpation
Il existe deux grands types d’usurpation d’identité :
- À des fins professionnelles : des sociétés utilisent des numéros de téléphone existants, obtenus souvent illégalement, pour augmenter le taux de décrochage lors d’opérations de démarchage téléphonique. Cette pratique est autorisée tant qu’il n’y a pas tentative de fraude.
- À des fins personnelles : dans le cadre d’arnaques aux particuliers. L’usurpateur se fait alors passer pour un proche, une administration ou une entreprise de confiance afin d’extorquer de l’argent ou des informations sensibles à la victime. C’est évidemment totalement illégal.
Conséquences de l’usurpation d’identité
Les conséquences de l’usurpation d’identité peuvent être graves :
- Vol d’argent sur les comptes bancaires
- Usurpation des identifiants de connexion aux services en ligne
- Demandes de rançon suite au piratage de l’ordinateur
- Atteinte à l’image et à la réputation
Pour les entreprises, l’usurpation d’identité d’un ou plusieurs salariés peut également mener à des fuites de données confidentielles ou à des virements frauduleux de fonds.
Le phishing, une arnaque en constante évolution
Le phishing, contraction de “password harvesting fishing”, consiste à piéger des internautes pour qu’ils communiquent leurs informations personnelles (mots de passe, coordonnées bancaire…). Concrètement, la victime reçoit un email, un SMS ou un appel téléphonique usurpant l’identité d’un tiers de confiance (banque, administration, etc.) l’invitant à communiquer ses données personnelles. Si le piège fonctionne, l’escroc récupère alors les informations pour les utiliser frauduleusement ou les revendre.
Une technique en plein essor
Apparue dans les années 1990, cette technique n’a cessé de se perfectionner avec l’avènement d’Internet et l’explosion des services en ligne. Aujourd’hui, le phishing représente la menace numéro 1 pour les internautes. D’après le CLUSIF (Club de la Sécurité de l’Information Français), les attaques par hameçonnage ont augmenté de 15% en 2022 par rapport à 202Une tendance qui ne devrait pas s’inverser…
Les différentes formes de phishing
Les cybercriminels rivalisent d’ingéniosité pour tromper leurs victimes. On distingue plusieurs variantes de phishing :
- Le phishing par email : la technique historique et encore très utilisée. L’internaute reçoit un faux email de sa banque, d’un site de e-commerce ou des impôts l’invitant à communiquer ses identifiants de connexion ou coordonnées bancaires.
- Le spear phishing : une version plus ciblée du phishing “classique”, visant un individu, une société ou une administration en particulier. L’escroc va utiliser les noms, fonctions et autres informations glanées sur sa cible pour rédiger des emails plus crédibles.
- Le whaling : variante du spear phishing ciblant spécifiquement les hauts dirigeants d’entreprise comme les PDG ou directeurs financiers.
- Le smishing : contraction de “SMS phishing”. La victime reçoit un SMS frauduleux au lieu d’un email, avec un lien ou un numéro surtaxé à rappeler.
- Le vishing : pour “voice phishing”. L’attaque a lieu par téléphone, l’escroc se faisant passer pour un conseiller bancaire ou un technicien informatique afin d’inciter sa victime à lui transmettre ses données confidentielles.
Conséquences du phishing
Les conséquences d’une attaque par phishing réussie peuvent être catastrophiques :
- Vol d’argent sur les comptes bancaires
- Usurpation d’identité
- Accès aux messageries électroniques et réseaux sociaux
- Installation de logiciels malveillants
- Demande de rançon suite au cryptage des données (rançongiciels)
Au delà de l’aspect financier, le préjudice moral et psychologique est souvent très important pour les victimes.
Comment se prémunir de l’usurpation d’identité et du phishing ?
Quelques gestes simples permettent de minimiser les risques de se faire pirater. Les particuliers comme les entreprises doivent redoubler de vigilance et adopter les bons réflexes.
Pour les particuliers
- Ne communiquez jamais vos identifiants bancaires par email, SMS ou téléphone, même si votre interlocuteur semble légitime
- Vérifiez attentivement l’URL (adresse du site web) avant de saisir des informations confidentielles, notamment pour les paiements en ligne
- Méfiez-vous des pièces jointes et des liens, même si l’expéditeur vous semble de confiance
- Utilisez un gestionnaire de mots de passe et des mots de passe uniques et complexes pour chaque service
- Activez si possible la double authentification sur les services le permettant (email, banque en ligne, réseaux sociaux…)
- Soyez vigilants face à toute demande urgente de communication de données personnelles
- Mettez à jour régulièrement vos logiciels, antivirus et firewall
Pour les entreprises
- Formez régulièrement vos collaborateurs aux risques du phishing et réalisez des simulations d’attaque pour tester leurs réflexes
- Cloisonnez vos réseaux et limitez les habilitations de vos salariés aux seules données nécessaires
- Mettez en place des règles strictes pour la gestion des mots de passe
- Installez un anti-spam efficace pour filtrer les emails entrants
- Chiffrez vos données sensibles pour limiter l’impact en cas d’intrusion
- Réalisez des audits de sécurité réguliers pour détecter les éventuelles failles
- Prévoyez un plan de continuité d’activité en cas de cyberattaque
Les bons outils pour se protéger
Quelques logiciels incontournables vous permettront de vous prémunir efficacement des tentatives de phishing et d’usurpation d’identité :
- Un VPN (Virtual Private Network) qui crypte tous vos flux de données
- Un gestionnaire de mots de passe comme Dashlane ou LastPass
- Un logiciel anti-spam et anti-phishing tel que Mailinblack
- Un antivirus performant comme Bitdefender
- Un firewall pour filtrer les flux entrants et sortants
Conclusion
L’usurpation d’identité et le phishing sont deux pratiques frauduleuses qui peuvent avoir des répercussions financières et psychologiques désastreuses. Au delà des pertes matérielles, c’est aussi la confiance des utilisateurs qui est mise à mal. Face à l’explosion de ces menaces, une prise de conscience individuelle et collective est nécessaire. Chacun doit adopter les bons réflexes et un minimum de vigilance pour ne pas tomber dans ces pièges en ligne. Et les entreprises se doivent de renforcer drastiquement la sécurité de leurs infrastructures pour parer à toute intrusion malveillante.
