Phishing : technique utilisée par des cybercriminels pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d'identité.

cr  01.04.2012      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Le « Phishing » (ou « Hameçonnage »¹ ou, plus rarement, « Filoutage »²), est une technique utilisée par des cybercriminels pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d'identité. La technique relève de l' « Ingénierie sociale » et consiste à faire croire à la victime, grâce à la contrefaçon d'un site officiel, qu'elle s'adresse à un tiers de confiance — banque, administration, etc. ... — afin de lui soutirer des renseignements personnels : mot de passe, numéro de carte de crédit, date de naissance, etc. ...

Phishing : ce néologisme est un homophone de fiching (un mot anglais signifiant l'action, de loisir ou sportive, d'aller à la pêche). Comme d'habitude avec les termes touchant à la piraterie, on a simplement utilisé une forme très simplifiée de l'alphabet LEET (ou ELEET - langage LeetSpeak) : le « F » a adopté la graphie « PH ».

Le terme formel, en langue française de France, est le ridicule " Filoutage " que personne n'utilise, heureusement. Vous voyez une victime qui vient de se faire vider ses comptes bancaires traiter le cybercriminel de « Petit filou ! » ou de « Filou ! » tout court, en agitant un doigt acusateur ! Sans compter qu'être un « filou » ne désigne pas un pratiquant d'une activité illicite particulière mais un pratiquant de n'importe quel type d'escroqueries.

D'ailleurs, l'Office québécois de la langue française, le plus ardent défenseur de la langue française au monde, n'aime pas « filoutage » :

Ceux qui font l'effort de s'exprimer en français utilise le terme d'« hameçonnage », dont l'usage est relativement fréquant par rapport à « filoutage » (qui est inexistant).

Phishing est donc l'action, simple ou tortueuse, relevant de l'intimidation ou de l'ingénierie sociale, d'aller à la pêche aux informations secrètes des internautes. Le plus souvent il suffit de les intimider un peu et de les leur demander, ce qu'ils s'empressent de donner.

Le « Phishing » (« Hameçonnage » ou « Filoutage ») consiste à convaincre les internautes de révéler quelque chose d'eux, normalement tenu secret. La technique peut être utilisée dans n'importe quel domaine (elle relève de l' « Ingénierie sociale ») mais c'est essentiellement dans le domaine financier qu'elle est utilisée afin de conduire les internautes à donner les coordonnées et codes de leurs comptes et cartes bancaires.

Le terme « Phishing » est une déformation orthographique du mot anglais « fishing », une forme verbale (Participe présent / le gérondif) du verbe « To fish » (Pêcher, aller à la pêche). Des pirates vont à la pêche et vont ferrer le poisson (l'internaute naïf). Le « Phishing », c'est la « pêche aux victimes ».

Le « Phishing » est une attaque qui consiste à convaincre les internautes, souvent par l'envoi d'un email agressif ou affolant, d'aller rapidement sur une page Internet, contrefaisant parfaitement l'apparence d'une page d'un site réel (sites factices des banques, sites factices des grands ecommerces, sites factices des grands prestataires comme EDF ou les administrations française et organismes français, sites factices de vos comptes Internet comme Google ou Yahoo! ou Facebook, sites factives des FAI (Fournisseurs d'Accès Internet) comme Free ou Orange ou Bouygues ou SFR ou Numericable, etc. ...), et d'y inscrire toutes leurs informations, sous un prétexte quelconque.

Le cybercriminel va à la pêche aux informations qui devraient rester cachées, et c'est vous-même qui allez les lui donner. C'est vous qui êtes le poisson que le cybercriminel ferre (« Phishing » dérive du verbe signifiant « aller à la pèche » en anglais - « fishing », une forme verbale (Participe présent / le gérondif) du verbe « To fish » (Pêcher, aller à la pêche). Des pirates vont à la pêche et vont ferrer le poisson (l'internaute naïf).).

Le cas d'usage le plus répandu du « Phishing » (« Hameçonnage ») est l'envoi massif d'un message, par email (« Spam ») ou par SMS (« SMiShing ») accrocheur afin de récupérer des milliers d'identifiants - Mots de passes - N° de cartes bancaires - N° de comptes bancaires etc. ... en quelques minutes.

Le site frauduleux (cette imitation parfaite d'une page d'un site réel d'une banque, d'un fournisseur d'accès internet, d'un e-commerçant etc. ...), vers lequel le gogo crédule est dirigé, va être détecté par des organismes de surveillance comme Lexsi, mais, entre temps, le cybercriminel, quelque part dans le monde, aura récupéré les données de quelques milliers de victimes et les aura déjà dépouillées.

Pour une raison quelconque, le texte va vous convaincre de donner votre « login » et votre « mot de passe », et d'autres données (carte bancaire, numéro de compte, code secret...), que l'attaquant récupère en clair, tout simplement, pour s'attaquer ensuite à vos ressources (piller votre compte bancaire, hacker vos sites Internet, fabriquer une carte de crédit falsifiée, tout savoir sur vous, etc. ...).

Des spams de phishing sont envoyés par milliards chaque jour, dans le monde entier. Qui n'a pas reçu, parfois plusieurs fois par jour, des courriels titrés dans ce genre :

• "EDF - Coupure de votre fourniture d'électricité demain - Veuillez régler immédiatement - Service contentieux."
  
• "EDF - Dernière démarche amiable avant coupure"
  
• "Suite à un crash de nos systèmes, vérification et réactivation de votre compte"
  
• "Urgent - Suspension de votre compte"
  
• "Demande de mouvement financier suspect sur votre compte - Veuillez vérifier"
  
• "Crédit Lyonnais - Mise à jour de notre système de sécurité"
  
• "Confirmation de facturation - Vérifiez les informations"
  
• "Société Générale : Une importante information"
  
• "Notification de restriction de l'accès au compte"
  
• "Problème concernant votre compte"
  
• "Notification de connexion à votre compte !"
  
• "[Free] Coordonnées non à jour - Ref. #4657682356789"
  
• "Confirmation de création de votre espace abonné"
  
• "Votre contrat a été modifié"
  
• "Confirmez votre adresse de courriel"
  
• "Problème sur votre carte bancaire !"
  
• "Votre compte d'accès a été limité"
  
• "Problème de non réception d'argent sur votre compte"
  
• "Problème facture N337624364 du 02/03/2013"
  
• "Si vous ne mettez pas à jour vos références, votre compte sera clos sous 24 heures."
  
• "Mouvements suspects sur votre compte, vérifiez vos coordonnées."
  
• "Le séjour avec hébergement payé que vous avez gagné - Nous n'avons pas reçu votre formulaire de réservation"
  
• "Concernant votre compte"
  
• "Prélèvement impayé - il vous reste 24 heures avant déclenchement de la procédure judiciaire."
  
• "Vous avez gagné le tirage de mercredi."
  
• Etc. ... (Tous les titres qui ressemblent, de près ou de loin, à ceux-là sont des cybercriminalités de type « Phishing » ou « SMiShing » ).
  

Si vous utilisez un client de messagerie local (Outlook, Thunderbird, Incredimail, IBM Notes, etc.), votre volet de visualisation des messages doit toujours rester fermé. Ceci vous permet de vous balader dans la liste des messages reçus sans provoquer leur ouverture. N'ouvrez jamais ces messages ! Ne répondez surtout pas :

• Même pas pour insulter l'expéditeur (qui ne verra jamais votre message puisque ce sont des robots qui gèrent tout cela),
  

• Même pas pour vous désinscrire d'une prétendue liste de diffusion
  

Car le simple fait d'ouvrir le message, peut déclencher :

1. Une validation automatique de votre adresse email par un Web Bug dans le corps du message. Votre adresse, validée, sera revendue plus chère à d'autres spammeurs.
   

2. Une tentative d'exploitation d'une faille de sécurité et pénétration de l'ordinateur pour y implanter une à plusieurs cybercriminalités (virus)
   

Détruisez immédiatement les messages ayant ce type de titre !

Si vous utilisez un WebMail, il y a moins de risques puisque le message s'ouvre sur le serveur de votre fournisseur de messagerie et pas dans votre ordinateur. Mais le Web Bug a de fortes chances d'avoir fonctionné (sauf si le WebMail est paramétré pour ne voir les messages qu'en texte pur).

La très grande majorité des arnaques de type phishing, la quasi-totalité, provient de cybercriminels étrangers (non francophones ni francophiles). Le texte incitant à se rendre sur la page de phishing (le spam ou les pages des sites de racolage) est une collection de fautes d'orthographe et de fautes de syntaxe. Ces textes proviennent, généralement, de systèmes de traductions automatiques donnant des phrases reconnaissables à l'imbécillité de leurs fautes de français. Évidemment, si vous êtes un locuteur SMS ayant quitté les bancs de l'école un peu vite et lecteur de manga, vous ne vous apercevrez même pas de ces fautes grossières (et vous n'êtes même pas là pour me lire !).

Un exemple :

Exemple de phishing avec toutes les erreurs habituelles que font les cybercriminels et les points de repère pour détecter qu'il s'agit d'un phishing

• L'adresse Email de l'émetteur n'a rien à voir avec le nom de domaine de PayPal (paypal.com)

• Jamais un site qui a pignon sur rue ne se permettrait un tel ramassis de fautes :

  • Une phrase commence par une majuscule

  • Un participe passé ne s'écrit pas à l'infinitif (faux au plus)

  • Carte bleu : l'adjectif s'accorde en genre et en nombre, donc, carte bleue

  • Carte bleue est une marque, donc, un nom propre : Carte Bleue

  • Carte Bleue est la marque d'une seule des cartes bancaires - il en existe des dizaines ! Interdire uniquement la Carte Bleue pour faire peur est risible et ne concerne qu'une partie de la population.

  • La mise en place d'un arrêt... Qu'est-ce que c'est que ce charabia sans aucun sens, en français !

  • Le mot Internet, utilisé deux fois avec faute :
    Lire WWW - Naissance du Web
    Le WEB (qui n'est qu'un usage particulier de l'Internet) est né le 06.08.1991 à 14:56:20 GMT, mais, un peu avant, le 1er janvier 1983, le réseau ArpaNet adopte TCP/IP qui sera la base d'Internet. Le nom d'Internet, avec une majuscule, devient officiel à cette date (devenant un nom propre).

Phishing : nombre de sites de phishing découverts, chaque mois, par Google. Données fournies par Google dans le cadre de son service gratuit « Safe Browsing » qui est utilisé, de manière native, dans Firefox, Opera, Google Chrome et Safari : (Internet Explorer utilise un autre service, Microsoft SmartScreen).

Comparaison entre Google Safe Browsing et Microsoft SmartScreen.
Atteinte à la vie privée par le service "Safe Browsing" de Google.

Nombre de sites de phishing découverts chaque mois.

Souces (origines) et cibles (populations attaquées) du phishing.

Exemple de courriel de phishing - celui-ci est adressé régulièrement aux membres de Yahoo!

Exemple de phishing - Phishing PayPal - 13.12.2015

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing

Exemple de phishing (crédit : Tourix sur nos forums)

Vous vous demandez comment les cybercriminels font pour imiter si parfaitement, si complètement, un site officiel ? C'est d'une simplicité enfantine.

Où, quand, comment, auprès de qui signaler ou porter plainte ?

Valables pour la France et quelques extensions européennes :

• Téléphones d'urgence gratuits
  

  

  
  

  • Quand porter plainte : immédiatement !

  • Si vous êtes témoin ou victime, en France, de faits nécessitant une intervention immédiate de toute urgence d'une ambulance, des services d'incendie ou de la police, composez gratuitement le 17 ou le 112 sur votre téléphone.

  • Si vous êtes témoin ou victime, dans tous les pays européens, y compris en France, de faits nécessitant une intervention immédiate de toute urgence d'une ambulance, des services d'incendie ou de la police, composez gratuitement le 112 sur votre téléphone.

  • Samu (urgence médicale) : 15

  • Pompiers : 18

  • Numéro d'urgence pour personnes sourdes ou malentendantes 114

  • Sauvetage dans les airs : 191

  • Sauvetage en mer : 196

• Trouver votre brigade de gendarmerie ou votre commissariat de police.

• Pour faire une déclaration à la « Brigade de Lutte contre la Cybercriminalité » (BL2C), anciennement la BEFTI (B.E.F.T.I.), adresses-vous à votre brigade de gendarmerie ou votre commissariat de police.

• Contacter Info-escroquerie au 0811 02 02 17 (n° vert gratuit).

• Porter plainte auprès du procureur de la République.

• Pour signaler une escroquerie ou tentative d'escroquerie parvenue par courriel (spam).

• Signaler un courriel ou un site suspect, un contenu ou un comportement illicite.

  

  Portail de signalement de contenus ou de comportements illicites.

Le débat qui a suivi ce film :