Comment identifier un site Web ou un mail de phishing ?

  • Mis en ligne par Yahoo Sécurité

Qu'est-ce que le phishing ?

Les fraudeurs envoient de faux mails ou créent de faux sites Web qui reproduisent les pages de connexion de Yahoo (ou d'autres sociétés en qui vous avez confiance, telles que PayPal ou eBay) afin de vous inciter à révéler votre nom d'utilisateur et votre mot de passe. Cette pratique est connue sous le nom de « phishing », d'après un jeu de mots sur « fishing » (pêche), car le fraudeur tente de « pêcher » les informations privées de votre compte. En général, les fraudeurs tentent de vous soutirer votre nom d'utilisateur et votre mot de passe afin de pouvoir accéder à votre compte en ligne. Lorsqu'ils y ont accès, ils peuvent utiliser vos informations personnelles pour usurper votre identité, faire des achats avec vos cartes de crédit, vider vos comptes bancaires, lire vos mails et vous empêcher d'accéder à votre compte en ligne en changeant votre mot de passe.

Si vous recevez un mail (ou un message instantané) d'une personne que vous ne connaissez pas directement et qui vous invite à vous connecter à un site Web, faites preuve de prudence ! Vous avez peut-être reçu un mail comportant des liens vers un site Web de phishing. Un site Web de phishing (parfois appelé site « frauduleux ») essaie d'usurper le mot de passe de votre compte ou d'autres informations confidentielles en vous faisant croire que vous êtes sur un site Web légitime. Vous pouvez même aboutir sur un site de phishing en faisant une erreur lorsque vous tapez l'adresse d'un site Web.

Ce site Web est-il légitime ? Ne vous laissez pas tromper par les sites qui semblent authentiques. Pour les pirates, il est très simple de créer des sites Web qui ressemblent aux sites authentiques, et d'y ajouter le logo et d'autres·graphiques d'un site Web légitime.

Important :  si vous n'êtes pas du tout sûr d'un site Web, ne vous connectez pas. Pour plus de sécurité, il suffit de fermer et de rouvrir votre navigateur, puis de taper l'adresse URL du site voulu dans la barre d'adresse de votre navigateur. Le fait de taper l'adresse URL correcte garantit que vous n'êtes pas redirigé vers un site piraté.

Signes indiquant que vous avez peut-être reçu un mail de phishing :

Si vous recevez un mail d'un site Web ou d'une entreprise vous demandant de fournir des informations confidentielles, un mot de passe ou votre numéro de Sécurité sociale par exemple, vous êtes peut-être victime d'un mail de phishing. Les conseils ci-dessous peuvent vous aider à éviter d'être piégé par des hameçonneurs.

Adresse de l'expéditeur non officielle.Faites très attention à l'adresse mail de l'expéditeur et guettez la moindre divergence par rapport à l'adresse mail officielle d'une entreprise. Les fraudeurs créent souvent des comptes de messagerie gratuits comportant un nom d'entreprise (« ysmallbusiness@yahoo.com » par exemple). Ces adresses mail sont créées pour vous tromper. Les mails officiels de Yahoo sont toujours envoyés depuis une adresse « @yahoo-inc.com ».

Réponse urgente ! Les fraudeurs incluent souvent des messages du type « Réponse urgente » pour essayer de vous faire réagir immédiatement. Faites preuve de prudence si vous recevez des mails contenant des messages tels que « votre compte va être fermé », « votre compte a été piraté » ou « réponse urgente ». Le fraudeur profite de votre inquiétude pour vous inciter à fournir des informations confidentielles.

Formule de politesse générique en début de mail.Les fraudeurs envoient souvent des milliers de mails de phishing simultanément. S'ils ont votre adresse mail, ils connaissent rarement votre nom. Soyez méfiant si vous recevez un mail dont la formule de politesse est générique, par exemple « Cher client » ou « Cher membre ».

Lien vers un faux site Web.Pour vous inciter à révéler votre nom d'utilisateur et votre mot de passe, les pirates incluent souvent un lien vers un faux site Web qui ressemble (ou est parfois absolument identique) à la page de connexion d'un site Web légitime. Ce n'est pas parce qu'un site comprend un logo d'entreprise ou ressemble à une page réelle que cela garantit son authenticité ! Les logos et l'aspect des sites Web légitimes sont faciles à copier. Dans le mail, soyez attentif aux éléments suivants :

  • Liens contenant le nom officiel d'une entreprise, mais dont l'adresse est erronée. Par exemple : « https://www.yahoo.com » est une adresse fausse qui n'aboutit pas à un vrai site Web Yahoo. La vraie adresse Web de Yahoo comporte une barre oblique (« / ») après « yahoo.com », par exemple, « https://www.yahoo.com/ » ou « https://login.yahoo.com/ ».

Liens légitimes mêlés à de faux liens.Les fraudeurs ajoutent parfois des liens authentiques dans de fausses pages ; il peut s'agir par exemple des pages authentiques de la politique de confidentialité et des conditions d'utilisation du site qu'ils copient. Pour que le faux site semble plus réaliste, ces liens authentiques sont mêlés à des liens vers un faux site Web de phishing.

  • Soyez également attentif aux éléments suivants qui peuvent indiquer qu'un mail n'est probablement pas fiable :
  • Fautes d'orthographe ou de grammaire, graphiques de mauvaise qualité.
  • Demandes d'informations personnelles telles que mot de passe, numéro de Sécurité sociale ou numéro de compte bancaire ou de carte de crédit. Les entreprises légitimes ne vous demanderont jamais de confirmer ou de fournir des informations confidentielles dans un mail non sollicité.
  • Pièces jointes (pouvant contenir des virus ou des enregistreurs de frappe).

Signes pouvant indiquer que vous êtes sur un site de phishing :

Les hameçonneurs conçoivent de faux sites Web toujours plus élaborés. Suivez ces étapes si vous pensez que vous avez été victime de phishing. Il n'existe pas de moyen infaillible permettant de savoir si vous vous trouvez sur un site de phishing. Toutefois, certaines astuces peuvent vous aider à faire la distinction entre un site Web authentique et un site de phishing :

Vérifiez l'adresse Web. Ne concluez pas que vous êtes sur un site légitime uniquement parce que l'adresse semble correcte. Observez la barre d'adresse de votre navigateur et recherchez-y les signes suivants qui peuvent indiquer que vous êtes sur un site de phishing : 

  • Nom d'entreprise incorrect. L'adresse Web d'un site de phishing semble souvent de prime abord correcte, mais contient généralement une faute d'orthographe de base, ou encore un caractère ou un symbole avant ou après le nom de l'entreprise. Vérifiez si la lettre « l » dans une adresse Web n'a pas été remplacée par le chiffre « 1 » (par exemple, www.paypa1.com au lieu de www.paypal.com).
  • « http:// » au début de l'adresse sur les pages de connexion Yahoo. Une adresse de page de connexion Yahoo légitime commence par « https:// », avec la lettre « s ». Il est donc conseillé de vérifier l'adresse des pages de connexion aux sites Yahoo.
  • Absence de barre oblique. Pour avoir la garantie de vous trouver sur un site Yahoo légitime, vérifiez la présence d'une barre oblique (/) après « yahoo.com » dans la barre d'adresse. Par exemple, « https://www.yahoo.com » est une adresse de faux site Web.

Méfiez-vous des pop-ups. Soyez prudent si vous aboutissez sur un site Web qui affiche immédiatement un pop-up vous demandant d'entrer votre nom d'utilisateur et votre mot de passe. Les arnaques de phishing peuvent vous diriger vers un site Web légitime, puis utiliser un pop-up afin d'obtenir des informations sur votre compte.

Donnez un faux mot de passe. Si vous n'êtes pas certain de l'authenticité d'un site, n'utilisez pas votre vrai mot de passe pour vous connecter. Si vous indiquez un faux mot de passe et que vous parvenez à vous connecter, vous êtes vraisemblablement sur un site de phishing. Ne saisissez aucune autre information et fermez votre navigateur. Toutefois, n'oubliez pas que certains sites de phishing affichent automatiquement un message d'erreur, quel que soit le mot de passe que vous indiquez. En d'autres termes, ne concluez pas que le site est légitime uniquement parce que votre faux mot de passe est rejeté.

Utilisez un navigateur avec protection anti-phishing. Les navigateurs Internet Explorer et Mozilla Firefox disposent de modules d'extensions (ou « plug-ins ») gratuits qui peuvent vous aider à détecter les sites de phishing.

Méfiez-vous des autres méthodes d'identification d'un site légitime. Certaines méthodes utilisées pour indiquer qu'un site est sûr ne sont pas toujours fiables. Une petite clé ou un cadenas fermé situé dans la partie gauche de la barre d'adresse de votre navigateur n'est pas un indicateur fiable de site Web légitime. Ne partez pas du principe que le site est légitime uniquement parce que vous voyez une clé ou un cadenas fermé, et que le certificat de sécurité semble authentique.