Vous aimez le poisson !!! n’en devenez pas pour la cybercriminalité - Phishing

#N°2

Auteurs

Jean Lucien KODJANI - Consultant Consulting & Risk Advisory

Krishna LOKOSSOU - Senior Consultant Risk Advisory

Le 28 mars 2018, la cour de cassation de la république Française casse et annule une décision de la cour d’appel qui condamnait un Etablissement bancaire à payer à un client des sommes indûment prélevées du fait de paiements frauduleux effectués sur carte bancaire et de virements frauduleux enregistrés sur le compte de ce dernier. Le client (M. Y…) a été victime d’un hameçonnage pour une somme totale avoisinant 7 500 € soit près de 5 000 000 FCFA.

Le motif de cassation est que M. Y... a été tout simplement négligeant en communiquant l'ensemble de ses données à la faveur de messages de "phishing" provenant d'expéditeurs inconnus.

C’est quoi le phishing ou l’hameçonnage ?

L’hameçonnage est une technique utilisée par des pirates informatiques (Hacker malintentionné) sur le web dans le but d’avoir accès à vos données personnelles ou confidentielles comme un mot de passe, le numéro de carte de crédit, le numéro ou la photocopie de la carte nationale d'identité, la date de naissance, des informations de votre entreprise, etc.

La finalité de cette pratique pour le pirate informatique est d’usurper votre identité afin d’effectuer des opérations en votre nom auprès des tiers de confiance comme votre banque, l’administration, votre entreprise, votre société d’assurance, site de E-commerce et autres.

C’est quoi le mode de fonctionnement de l’hameçonnage ?

Pour comprendre comment cela marche, il est important pour vous de savoir ce qui se passe lorsque vous demandez à l’ordinateur d’aller sur un site Web.

1.   Dès que vous renseignez l’adresse URL dans la barre de recherche de votre navigateur, vous envoyez implicitement une requête HTTP à un serveur lui demandant l’accès au site Web souhaité.

2.   Le site Web fera le traitement nécessaire en vue de vous renvoyer une réponse HTTP (Code source) qui vous permettra d’avoir sous vos yeux le site Web demandé.

Le pirate informatique intervient généralement au milieu de ces deux étapes en créant sur la base du code source officiel du site Web, un faux site identique au site officiel. Ceci lui permet via une négligence de votre part d’avoir accès à vos données notamment via deux moyens :

a)  des mails venant des tiers de confiance vous demandant de cliquer sur un lien en vue de modifier vos données ou d’exécuter une tâche sous peine de sanction

b)  des liens malveillants insérés sur des sites que vous visitez et qui vont vous rediriger vers ces faux sites.

Cas pratique : Comment M. Y… a perdu près de 5.000.000 FCFA ?

• Il a communiqué par inadvertance des informations personnelles et celles liées à sa carte bancaire à un expéditeur inconnu
• L’expéditeur inconnu (le pirate) avec ces informations s’est substitué à M. Y…, a ensuite effectué des paiements en ligne et a ordonné un virement au nom de M. Y…

Comment se protéger contre l’hameçonnage ?

Le risque d’hameçonnage est partout et peut atteindre n’importe quelle cible non avisée.

Afin de maitriser ce risque ou de le réduire, il faut s’approprier ces 4 bonnes pratiques que nous avons recensées pour vous :

1.   Eviter d’ouvrir les mails, les fichiers attachés à ces mails ainsi que de cliquer sur des liens contenus dans ces mails qui proviennent d’expéditeurs inconnus

2.   Appeler le tiers de confiance pour vous assurer que le mail provient effectivement de lui au cas où vous recevez un mail réclamant vos données personnelles

3.   Vérifier toujours les noms de domaine quand vous connaissez le site que vous visitez. Ex : Www.Cybersécurité.Com et Www.Cybersécurité.RU

4.   S’assurer que l’URL est certifiée et pour cela il vous suffit de vérifier qu’il existe un cadenas bien fermé dans la barre de l’URL

Nous verrons dans un prochain numéro un autre risque lié à la cybercriminalité ! d’ici là soyez vigilants