Malheureusement, dans la pratique, de nombreux internautes utilisent le même mot de passe sur tous les sites afin de ne pas l’oublier.
En cas de fuite de données sur l’un d’entre eux suite à un piratage, cette mauvaise pratique compromet l’ensemble des données personnelles de l’internaute négligeant. Ceci l’expose à une usurpation d’identité pouvant avoir des conséquences désastreuses notamment au niveau de ses comptes bancaires ou de sa e-réputation.
Vol des mots de passe
- cybermalveillance.gouv.fr
Illustration du vol de mot de passe
Le mot de passe est la première ligne de défense contre les pirates informatiques. Il est donc important de choisir un mot de passe fort et unique pour chaque compte en ligne.
Un mot de passe fort doit contenir au moins 12 caractères et inclure une combinaison de lettres majuscules et minuscules, de chiffres et de symboles.
Votre mot de passe doit être anonyme : il est très risqué d’utiliser un mot de passe avec votre date de naissance, le nom de votre animal de compagnie, votre ville de naissance, etc., car il serait facilement devinable.
Méfiez-vous également des informations que vous publiez sur les réseaux sociaux : celles-ci peuvent être utilisées par les "hackeurs" pour faciliter la recherche de votre mot de passe grâce à l’ingénierie sociale. Cette technique est par exemple couramment utilisée pour trouver les réponses des questions de sécurité lors des processus de renouvellement du mot de passe.
Un pirate informatique peut mobiliser de nombreuses techniques afin de forcer les comptes d’une cible :
attaque par force brute ;
attaque à partir d’un dictionnaire contenant la liste des mots de passe les plus courants ;
attaque ciblée à partir de données personnelles recueillies sur internet.
Lorsqu’on augmente la complexité d’un mot de passe, on augmente de manière très importante le temps nécessaire pour que le pirate teste beaucoup de combinaisons. Plus votre mot de passe est long et plus il mêle lettres minuscules, majuscules, chiffres et caractères spéciaux, plus complexe il sera et plus il découragera un hackeur de le casser
Ceci est illustré par le tableau ci dessous qui met en rapport la complexité du mot de passe et le temps nécessaire pour qu’un hackeur le trouve.
Robustesse d’un mot de passe
- SCSP Community
Temps requis pour déchiffrer un mot de passe
Il est extrêmement important d’utiliser un mot de passe différent pour chacun de vos comptes. Pour des raisons de sécurité il est fortement déconseillé de les enregistrer dans un fichier texte, dans les notes de votre smartphone ou sur votre cloud : un vol ou une fuite de données pourraient compromettre la sécurité de vos comptes. Alors, comment les retenir ? Deux options s’offrent à vous.
Créer un mot de passe à partir d’une phrase
La Commission nationale de l’informatique et des libertés (CNIL) met à disposition un générateur de mot de passe qui permet de le créer à partir d’une phrase facilement mémorisable. Vous n’avez qu’à retenir la phrase et utiliser les initiales de la phrase pour créer votre mot de passe. Exemple : la phrase « Je crée un mot de passe super sécurisé ! Plus de 12 caractères et 4 types différents ! » permet de créer le mot de passe « Jcumdpss !Pd12ce4td ! ».
Utiliser un gestionnaire de mots de passe
Un gestionnaire de mots de passe est un outil qui permet de stocker en toute sécurité tous vos mots de passe localement ou sur un cloud sécurisé et crypté. Il génère également des mots de passe forts et uniques pour chaque compte en ligne. Il vous suffit de vous rappeler le mot de passe principal pour accéder à tous les autres. Une fois connecté à votre gestionnaire de mot de passe, celui-ci propose un dispositif de remplissage automatique des champs d’identification à vos différents site.
KeePass : gestionnaire de mots de passe sécurisé et gratuit. Ce logiciel libre et en français, certifié par l’ANSSI, permet de stocker en toute sécurité vos mots de passe pour les utiliser dans vos applications. KeePass dispose d’une fonction permettant de générer des mots de passe complexes aléatoires.
Découvrez une sélection de gestionnaire de mots de passe :
Avec un gestionnaire de mots de passe, un mot de passe fort et unique à retenir pour les gouverner tous !
Même si votre mot de passe est fort, il peut être compromis si vous l’utilisez pendant une longue période. En changeant régulièrement vos mots de passe, vous réduisez le risque de compromettre vos comptes. Un gestionnaire de mot de passe facilite le renouvèlement des mots de passe grâce à son générateur aléatoire et sa gestion centralisée.
Vous avez un doute sur la sécurité d’un de vos comptes ou vous entendez qu’une organisation ou société qui héberge l’un de vos comptes s’est faite pirater. N’attendez pas de savoir si c’est vrai ou pas, soyez pro-actif ! Changez immédiatement le mot de passe concerné afin d’empêcher qu’il ne tombe entre de mauvaises mains.
Il est important de ne jamais partager vos mots de passe avec qui que ce soit.
Aucune organisation sérieuse avec laquelle vous possédez un compte ne vous demandera de lui fournir votre mot de passe
Si tel est le cas, vous êtes victime d’une tentative d’escroquerie. Si vous devez donner accès à un compte à une autre personne, utilisez plutôt une fonctionnalité de partage de compte.
Les ordinateurs en libre accès mis à disposition dans des hôtels, cybercafés et autres lieux publics peuvent être piégés et vos mots de passe peuvent être récupérés par un criminel. Si vous êtes obligé d’utiliser un ordinateur partagé ou qui n’est pas le vôtre, utilisez le mode de « navigation privée » du navigateur qui permet d’éviter de laisser trop de traces informatiques. Veillez également à bien fermer vos sessions après utilisation et n’enregistrez jamais vos mots de passe dans le navigateur. Enfin, dès que vous avez à nouveau accès à un ordinateur de confiance, changez au plus vite tous les mots de passe que vous avez utilisés sur l’ordinateur partagé.
Les médias relatent souvent des attaques d’entreprises ou d’organisations par des pirates informatiques sans expliquer les techniques employées par ces derniers.
Dans cet article, dans une perspective d’acculturation cyber, nous présentons les techniques d’attaques les plus répandues.
L’attaque DDoS ou l’injection SQL n’auront bientôt plus de secret pour vous !
L’attaque DDoS : quand la toile devient tempête
L’attaque "DDoS" [1] a pour objectif de saturer de requêtes un site afin qu’il ne soit plus en mesure d’y répondre.
En février 2018, l’une des plus grandes attaques DDoS jamais enregistrées a visé GitHub, un célèbre service de gestion de code en ligne utilisé par des millions de développeurs. Cette attaque a atteint 1,3 Tb/s et a envoyé des paquets de données au rythme de 126,9 millions par seconde rendant la plateforme GitHub inaccessible pour ses utilisateurs pendant une vingtaine de minutes avant que les contre-mesures se montrent efficaces !
Avec l’augmentation exponentielle des échanges commerciaux sur le web, le nombre de chantage au déni de service connaît une forte croissance. Elle consiste pour un pirate à lancer une attaque DDoS contre une entreprise ou un site commercial et de demander une rançon pour la faire cesser. Une interruption de service, même de quelques minutes, peut engendrer de lourdes pertes financières pour les entreprises ou les sites ciblés.
Schéma d’une attaque DDOS
- CNPP
Visuel du schéma d’une attaque DDOS. Visuel extrait de l’article de Damien LEROY (Consultant en sécurité des systèmes d’information chez CNPP)
Pour se défendre, les organisations doivent mettre en place des solutions de protection telles que :
les pare-feux
les systèmes de détection d’anomalies
les services de mitigation DDoS.
Cependant, les utilisateurs peuvent également jouer un rôle en évitant de participer involontairement à ces attaques. Les ordinateurs et les dispositifs connectés non sécurisés, tels que les caméras de surveillance, peuvent être compromis pour former des botnets [2] alimentant les attaques DDoS.
Garder ses logiciels à jour et sécuriser les objets connectés contribue à limiter ces risques.
L’injection SQL : quand une base de données est compromise
L’injection "SQL" [3] consiste à exploiter des failles de sécurité existantes sur une application échangeant des informations avec une base de données. Un cas typique est celui d’un site web comportant un formulaire en ligne mal protégé permettant l’exécution de requêtes SQL malicieuses permettant d’ajouter, modifier ou supprimer des données stockées dans la base de données relationnelle.
De cette manière, un attaquant peut contourner les contrôles de sécurité et visualiser ou modifier des éléments existants dans la base de données, tels que des mots de passe ou des coordonnées bancaires. Par conséquent, l’injection SQL permet d’accéder à toutes les données personnelles (telles que les identifiants et coordonnées des utilisateurs ou des employés) ou non personnelles (articles qui existent, leurs prix, etc.) contenues dans la base de données SQL.
Les développeurs peuvent contrer ce type de menace en utilisant des paramètres préparés et en appliquant une validation stricte des entrées utilisateur. Quant aux utilisateurs, ils doivent être conscients des risques et éviter de partager des informations sensibles sur des sites potentiellement vulnérables.
XSS - Cross-Site Scripting : quand les sites web deviennent des vecteurs d’attaque
Le "Cross-Site Scripting" (XSS) [4] est l’une des menaces les plus courantes sur Internet aujourd’hui.
Il s’agit d’une faille de sécurité qui permet aux attaquants d’injecter du code malveillant dans les sites Web, ce qui expose les utilisateurs à de grands risques.
Les cybercriminels exploitent souvent cette vulnérabilité pour voler des informations sensibles telles que les identifiants, les données financières et personnelles.
Le fonctionnement de XSS est relativement simple. Un attaquant insère un code malveillant, généralement sous la forme d’un script, dans les champs de saisie d’un site Web, tels que des commentaires, un formulaire de recherche ou un forum. Lorsque d’autres utilisateurs visitent ces pages, un code malveillant s’exécute dans leur navigateur, permettant aux attaquants de voler des informations ou de compromettre leur expérience en ligne.
Schéma d’une attaque XSS
- Wikipédia
Visuel de l’attaque XXS
Afin de se protéger contre le XSS, il est crucial pour les développeurs de sites web de mettre en œuvre des pratiques de codage sécurisé, telles que l’échappement des données d’entrée, la validation côté serveur et l’utilisation de bibliothèques de sécurité. Les utilisateurs peuvent également contribuer à leur propre sécurité en évitant de cliquer sur des liens suspects et en maintenant leurs navigateurs et plugins à jour.
Le sidejacking : quand vos sessions en ligne sont compromises
Le "sidejacking" [5], également connu sous le nom de détournement de session, est une menace sérieuse pour la sécurité en ligne. Cette technique malveillante permet aux attaquants de prendre le contrôle des sessions des utilisateurs légitimes sur les sites Web, leur donnant accès à des informations confidentielles et à des comptes privés.
Les conséquences peuvent être dévastatrices, allant de la fuite de données personnelles au vol d’informations d’identification.
Le fonctionnement du sidejacking repose sur l’interception des cookies de session. Lorsqu’un utilisateur se connecte à un site Web, un cookie de session est généré pour maintenir son authentification. Les attaquants utilisent des méthodes telles que la détection de réseaux dangereux ou l’exploitation des vulnérabilités des sites Web pour voler ces cookies, ce qui leur permet d’usurper l’identité d’utilisateurs légitimes.
Schéma du Sidejacking
Visuel du Sidejacking
Pour se protéger contre ce type d’attaque, les utilisateurs doivent privilégier les sites qui utilisent le protocole HTTPS qui crypte les communications entre les utilisateurs et les sites Web. De plus, éviter les réseaux Wi-Fi publics non sécurisés et se déconnecter correctement des sessions après utilisation contribue à réduire le risque.
Les développeurs de sites Web doivent mettre en œuvre des mécanismes de sécurité tels que l’utilisation de jetons anti-CSRF (Cross-Site Request Forgery [6]) ainsi que la rotation régulière des cookies de session.
Le buffer overflow : quand les failles de mémoire deviennent une menace
Le débordement de mémoire tampon est une faille de sécurité qui se produit lorsque les données dépassent la capacité du tampon nécessaire à leur stockage temporaire. Les attaquants exploitent cette vulnérabilité en insérant intentionnellement trop de données dans le cache, ce qui peut entraîner l’exécution de code malveillant ou un comportement de programme inattendu.
Ces attaques peuvent avoir de graves conséquences, allant de l’exécution de programmes malveillants à la prise de contrôle du système cible.
Pour se protéger, les développeurs doivent implémenter des méthodes de chiffrement sécurisées, telles que la validation des entrées utilisateur et la gestion correcte de la mise en cache. Des mises à jour régulières du logiciel peuvent également réduire le risque. Côté utilisateur, il est essentiel de maintenir à jour les systèmes d’exploitation et les applications pour bénéficier des correctifs de sécurité.Éviter de télécharger des fichiers ou de cliquer sur des liens suspects peut également aider à prévenir les attaques par débordement de mémoire tampon.
Le cryptojacking : quand votre ordinateur mine à l’insu de votre plein gré
Le cryptojacking, une menace émergente, impliquant l’utilisation secrète de la puissance de calcul des ordinateurs d’autres personnes pour extraire des crypto-monnaies. Les attaquants exploitent souvent des sites Web compromis ou des logiciels malveillants pour injecter des scripts de minage dans les navigateurs des utilisateurs sans leur consentement.
Les conséquences du cryptojacking peuvent être une réduction des performances de l’ordinateur, une surchauffe et une consommation d’énergie accrue.
Pour se protéger, les utilisateurs peuvent :
installer un bloqueur de script
mettre à jour leur navigateur
prêter attention aux performances inhabituelles de l’ordinateur peut aider à détecter les activités illégales de minage de crypto-monnaies.
Du côté des entreprises, la sécurisation des sites Web et des applications est primordiale pour empêcher l’injection de scripts malveillants. Les solutions de pare-feu et de sécurité réseau peuvent également aider à identifier et à bloquer le trafic d’exploitation indésirable.
Le sniffing : quand la surveillance d’un réseau devient une menace pour la confidentialité
Le "sniffing", ou écoute clandestine du réseau, est une technique utilisée pour intercepter et collecter des données qui sont échangées entre des appareils sur un réseau non sécurisé.
Les attaquants exploitent cette vulnérabilité en collectant des informations sensibles telles que les identifiants de connexion, les données financières et les informations personnelles.
Les conséquences du sniffing sont alarmantes, car elles peuvent envahir la vie privée des utilisateurs et entraîner des failles de sécurité.
Pour se protéger, les utilisateurs doivent donner la priorité aux connexions sécurisées utilisant le protocole HTTPS, éviter les réseaux Wi-Fi publics non protégés et envisager d’utiliser un VPN pour chiffrer leur trafic réseau.
Du côté des entreprises, l’utilisation du cryptage pour les communications et la mise en œuvre de protocoles de sécurité, tels que WPA3 pour les réseaux Wi-Fi, sont essentielles pour empêcher le "sniffing". Les administrateurs réseau peuvent également surveiller activement le trafic à la recherche de signes d’activité suspecte.
L’ARP poisoning : quand la confiance au sein d’un réseau devient un piège
L’ARP poisoning (empoisonnement ARP), également connu sous le nom d’ARP spoofing (usurpation d’identité ARP), est une technique utilisée par les attaquants pour manipuler les tables ARP à l’intérieur d’un réseau, ce qui peut conduire à une interception et à des attaques de type "man-in-the-middle". En usurpant la correspondance entre les adresses IP et les adresses MAC, les pirates peuvent rediriger le trafic réseau vers leurs propres systèmes.
Schéma du ARP Poisening
Visuel du Schéma du ARP Poisening
Les conséquences de l’empoisonnement ARP sont graves, car les attaquants peuvent espionner le trafic, obtenir des données sensibles et même injecter du contenu malveillant dans les communications.
Pour se protéger, les utilisateurs et les administrateurs réseau doivent surveiller de près les activités réseau anormales et mettre en œuvre des mesures de sécurité telles que la détection ARP anormale.
Du côté de l’entreprise, la segmentation du réseau, à l’aide de mécanismes de protection tels que la commutation de réseau sécurisée et des protocoles d’authentification forts, tels que IEEE 802.1X, est essentielle pour prévenir l’empoisonnement ARP.
Les ransomwares : quand les cybercriminels prennent les données en otage
Les ransomwares sont devenus une menace informatique majeure, mettant en péril la sécurité des données personnelles et professionnelles.
Ces malwares cryptent les fichiers de la victime et demande ensuite le paiement d’une rançon en échange de la clé de décryptage.
Les conséquences des attaques de ransomwares sont dévastatrices, entraînant la perte de données critiques, des perturbations opérationnelles et des coûts financiers élevés.
Pour se protéger, les utilisateurs et les entreprises doivent adopter une approche de sécurité à plusieurs niveaux qui comprend des mesures telles que :
des sauvegardes régulières
des solutions de sécurité de qualité
une sensibilisation continue aux menaces.
La prévention est la meilleure défense contre les ransomwares :
éviter de cliquer sur des liens ou des pièces jointes suspects
maintenir les logiciels et les systèmes à jour
éduquer les employés sur les bonnes pratiques de sécurité
... sont tous nécessaires pour réduire les risques !
Comprendre et contrer les techniques de l’ingénierie sociale
Qu’est-ce que l’ingénierie sociale ?
L’ingénierie sociale est une méthode basée sur la manipulation des gens par les assaillants afin d’obtenir des informations confidentielles. Au lieu de cibler directement les systèmes informatiques, ils ciblent les individus. Les pirates utilisent diverses techniques psychologiques pour tromper leurs victimes, les incitant à divulguer des informations confidentielles, telles que des mots de passe, des numéros de sécurité sociale ou des informations bancaires.
Les pirates informatiques cherchent à obtenir des informations confidentielles, comme les coordonnées bancaires
Photographie d’un clavier d’ordinateur, sur lequel sont déposées deux cartes bancaires. Un cadenas fermé est posé sur elles.
Quelles sont les techniques les plus courantes d’ingénierie sociale ?
Les hackers envoient des e-mails ou des messages SMS prétendant provenir de sources légitimes pour inciter les victimes à cliquer sur des liens malveillants ou à divulguer des informations personnelles.
Les attaquants se font passer, au téléphone par exemple, pour quelqu’un d’autre, comme un employé de votre banque, pour obtenir des informations sensibles.
Les assaillants manipulent les émotions de leurs victimes, les incitant à agir rapidement sans réfléchir, afin de partager des informations confidentielles ou effectuer des paiements.
Les pirates se présentent en personne pour accéder à des locaux restreints ou pour voler des informations physiques.
L’ingénierie sociale sur les réseaux sociaux
L’ingénierie sociale sur les réseaux sociaux est une technique très populaire chez les cybercriminels. Ils l’utilisent pour manipuler les utilisateurs et obtenir des informations personnelles ou sensibles. Voici comment, d’une manière simplifiée elle fonctionne.
Les cybercriminels utilisent les réseaux sociaux pour manipuler les utilisateurs et obtenir des informations personnelles
Photographie des mains d’une personne tenant un smartphone, sur lequel s’affichent les icônes de différents réseaux sociaux.
Les pirates informatiques créent souvent de faux profils sur les réseaux sociaux en utilisant de fausses identités ou en usurpant l’identité de quelqu’un d’autre. Ces profils peuvent sembler authentiques, avec des photos, des informations de profil et des publications pour renforcer leur crédibilité. Les IA permettent par exemple de générer facilement et automatiquement du texte ou des photos de profil plus vraies que nature.
Une fois ces faux profils créés, les attaquants cherchent à établir la confiance avec d’autres utilisateurs. Ils peuvent le faire en suivant, en aimant (like) et en commentant régulièrement les publications de leurs cibles. Ils peuvent également prétendre avoir des intérêts ou des amis en commun pour renforcer leur crédibilité.
Une fois qu’ils ont gagné la confiance de leurs cibles, les pirates passent à l’étape suivante, qui consiste à envoyer des messages privés ou des liens malveillants. Ces messages peuvent sembler provenir d’amis ou de contacts de confiance de leur victime. Ils incitent les cibles à cliquer sur des liens qui conduisent souvent à des sites web de phishing, conçus pour voler des informations sensibles telles que des mots de passe ou des informations financières.
En continuant à interagir avec leurs cibles, les pirates peuvent poser des questions subtiles pour recueillir des informations personnelles. Ils peuvent demander des détails sur la vie personnelle, les habitudes en ligne, les informations de compte ou d’autres données sensibles. Ces informations sont d’ailleurs souvent disponibles en mode public sur certains profils non correctement sécurisés par les victimes.
Une fois que les attaquants ont recueilli suffisamment d’informations, ils peuvent les utiliser pour exercer un chantage sur leurs cibles. Ils menacent de divulguer des informations embarrassantes ou sensibles, à moins que la cible ne coopère (rançon) ou ne fournisse plus d’informations.
Comment se protéger de l’ingénierie sociale ?
Soyez prudent avec les demandes d’amis et de suivi : n’acceptez que les demandes d’amis ou de suivi de personnes que vous connaissez personnellement ou en qui vous avez confiance.
Vérifiez l’authenticité des profils : si un nouveau contact semble suspect, vérifiez son profil, ses amis et ses activités en ligne ; méfiez-vous des profils avec peu d’activité ou d’amis.
Soyez conscient des informations que vous partagez : évitez de divulguer des informations personnelles sensibles sur les réseaux sociaux, même à des amis présumés.
Veillez à séparer vie professionnelle et vie privée.
Utilisez la vérification en deux étapes : activez-la pour renforcer la sécurité de vos comptes de médias sociaux.
Signalez tout comportement suspect : si vous êtes contacté par quelqu’un de suspect ou si vous remarquez une activité inhabituelle sur votre compte, signalez-le immédiatement aux administrateurs du réseau social et remplacez votre mot de passe par un qui est robuste.
En restant vigilant et en prenant des mesures simples et de bon sens pour protéger vos informations personnelles en ligne, vous pouvez réduire considérablement le risque de devenir une victime de l’ingénierie sociale sur les réseaux sociaux.
Les fraudeurs utilisent souvent des courriels comportant un message semblant provenir de sources légitimes, telles que des institutions financières, des entreprises, des services étatiques (impôt, police, rectorat...).
L’utilisation généralisée de l’IA (Intelligence Artificielle) permet aux "hackeurs" de créer du contenu de messages de mieux en mieux construit tant d’un point de vue grammatical que de l’orthographe, même si leur langue natale n’est pas celle de leurs cibles.
L’hameçonnage
- cybermalveillance.gouv.fr
Vol de données : Vous recevez un message ou un appel inattendu, voire alarmant, d’une organisation connue et d’apparence officielle qui vous demande des informations personnelles ou bancaires ? Vous êtes peut-être victime d’une attaque par hameçonnage (phishing en anglais) ! But : Voler des informations personnelles ou professionnelles (identité, adresses, comptes, mots de passe, données bancaires…) pour en faire un usage frauduleux. Technique : Leurre envoyé via un faux message, SMS ou appel téléphonique d’administrations, de banques, d’opérateurs, de réseaux sociaux, de sites d’e-commerce…
Comment réagir : • Ne communiquez jamais d’information sensible suite à un message ou un appel téléphonique • Au moindre doute, contactez directement l’organisme concerné pour confirmer • Faites opposition immédiatement (en cas d’arnaque bancaire) • Changez vos mots de passe divulgués/compromis • Déposez plainte • Signalez-le sur les sites spécialisés
Voici quelques bons réflexes à avoir afin de se prémunir contre le phishing :
Cadeaux à gagner, colis à votre intention arrivé à la Poste, facture impayée, paiement de contravention, vignette Critair, mise à jour de votre carte Vitale, suspension de vos droits à la CAF, rectification de votre avis d’imposition, réinitialisation du mot de passe d’un de vos comptes en ligne, problème lié à votre carte bancaire : les fausses raisons urgentes invoquées par les "hackeurs" sont multiples et se renouvellent constamment.
La première étape pour se prémunir contre le phishing est d’être vigilant vis à vis de l’expéditeur du courriel :
Vérifiez toujours l’adresse e-mail de l’expéditeur avant de cliquer sur quoi que ce soit. Les cybercriminels utilisent souvent des adresses e-mail qui ressemblent à celles de grandes entreprises ou de services gouvernementaux légitimes.
Ils peuvent également utiliser une adresse de courriel d’un compte piraté appartenant à vos contacts. Dans ce cas, soyez attentif à l’éventuelle nature inhabituelle d’un message envoyé par l’un de vos contacts : cela devrait vous alerter d’une usurpation d’identité.
Lorsque vous recevez un e-mail ou un message de texte contenant un lien, ne cliquez pas dessus immédiatement. Les liens de phishing sont souvent déguisés en URL légitimes, mais vous pouvez vérifier la véritable adresse en survolant le lien avec votre souris. Si l’URL semble suspecte ou inconnue, ne cliquez pas dessus.
Le but des "hackeurs" est de vous envoyer sur une page web piégée imitant celle des entités légitimes afin de vous amener à communiquer des informations devant rester secrètes (RIB, numéro de carte d’identité ou de sécurité sociale, identifiants de connexion à des sites bancaires ou commerciaux ...) en vue de commettre leurs forfaits.
N’ouvrez pas les pièces jointes d’e-mails provenant de sources inconnues car elles peuvent contenir des virus ou des "malwares" pouvant infecter votre machine (ordinateur, tablette, smartphone). Il est fortement recommandé d’avoir sur chacune d’entre elles un antivirus à jour afin de limiter drastiquement les risques d’infection.
Remarque : depuis un smartphone, il n’est pas possible d’utiliser la fonctionnalité de survol permettant de révéler la nature d’un lien suspect. Il faut donc redoubler de vigilance en différent si possible la consultation afin de la réaliser depuis un ordinateur.
Soyez prudent lorsque vous partagez des informations sensibles en ligne : les entreprises ou services légitimes ne demanderont jamais vos identifiants de connexion à un site web ou vos informations bancaires par e-mail. Si vous êtes invité à fournir ces informations, il est préférable de contacter l’entreprise ou le service directement auprès d’un contact humain connu de vous, pour confirmer que la demande est bien légitime.
Les outils de sécurité tels que les logiciels antivirus et les pare-feu peuvent vous aider à vous protéger contre les attaques de phishing. Assurez-vous que vos logiciels de sécurité sont à jour et qu’ils sont configurés pour détecter les menaces de phishing.
L’antivirus de TREND MICRO n’est plus disponible gratuitement pour les enseignants et personnels de l’Éducation Nationale : le marché ministériel a pris fin en juillet 2024 et ne sera pas renouvelé. Les établissements doivent se tourner vers leur collectivité de rattachement.
Enfin, il est important de rester informé afin de connaître les dernières techniques de phishing. Les fraudeurs sont constamment à la recherche de nouvelles façons de tromper les utilisateurs : en effectuant une veille sur les dernières tendances en matière de phishing, vous serez en mesure de mieux vous protéger.
Chaque signalement compte
Si vous avez reçu un mail suspect :
Dans un cadre privé : vous pouvez le signaler sur la plateforme Signal Spam. Composé d’experts en cybersécurité et associé à la CNIL, cet organisme identifie les principaux émetteurs de spams et agit contre les cybercriminels au niveau national, en collaboration avec les autorités publiques et les opérateurs des services de messagerie.
Sur votre boite académique : vous pouvez le transférer avec l’option "en pièce jointe" à l’adresse spam-hameconnage@ac-versailles.fr (Spam et phishing pour les utilisateur académie de Versailles)
Si vous êtes victime d’un autre incident de sécurité dans le cadre professionnel, saisissez la chaîne d’alerte en déclarant un incident de sécurité depuis le portail CARIINA accessible via la rubrique "Support et assistance" de ARENA ou envoyez directement un courriel à alerte-ssi@ac-versailles.fr.
Avec le smishnig, les fraudeurs utilisent des textos pour envoyer des messages semblant provenir de sources légitimes, telles que des banques, des entreprises de télécommunications, des organismes gouvernementaux, etc. Ils y demandent aux victimes de cliquer sur un lien ou de fournir des informations personnelles, telles que des identifiants de connexion, des numéros de carte de crédit ou des informations financières. Ces liens peuvent soit renvoyer vers page web piégée imitant celle des entités légitimes pour voler vos données soit contenir un virus pouvant infecter votre smartphone avec un logiciel espions pour, ici aussi, voler vos données.
Qu’est-ce que le SPAM téléphonique ?
- cybermalveillance.gouv.fr
Qu’est-ce que le SPAM téléphonique : de l’extorsion d’argent. Vous recevez des messages ou des appels non sollicités à caractère publicitaire, commercial ou malveillant sur votre téléphone ? Vous êtes victime de spam téléphonique
Dans quel but ? Vendre des produit ou des services, diffuser une publicité virale, ou un propagande, voler des données personnelles et/ou professionnelles, escroquer financièrement etc.
Quelle est la technique employée ? Prospection commerciale ou tentative d’escroquerie par message SMS ou MMS, ou par appel téléphonique.
Comment réagir au SPAM téléphonique ?
- cybermalveillance.gouv.fr
– En cas d’appels non sollicités, demandez que vos coordonnées soient retirées des fichiers de coordonnées de l’appelant
– En cas de spam téléphonique, signalez-le sur la plateforme 33 700
– Bloquez les SMS indésirables en leur renvoyant le mot« STOP »
– En cas de sollicitation répétée ou abusive, si vous êtes inscrit sur la liste d’opposition Bloctel, adressez-lui une réclamation
– Si vous avez demandé à ne plus être sollicité mais que les appels téléphoniques continuent, déposez plainte auprès de la CNIL
– Si les sollicitations s’apparentent à du harcèlement, déposez plainte
Voici quelques bons réflexes à avoir afin de se prémunir contre le smishing :
Cadeaux à gagner, colis à votre intention arrivé à la Poste, facture impayée, paiement de contravention, vignette Critair, mise à jour de votre carte Vitale, suspension de vos droits à la CAF, rectification de votre avis d’imposition, réinitialisation du mot de passe d’un de vos comptes en ligne, problème lié à votre carte bancaire... Les fausses raisons invoquées par les "hackeurs", sont multiples et se renouvellent constamment mais leur caractère urgent est un indicateur devant attirer votre attention.
Aussi, tout comme pour le phishing, il est important d’être vigilant quant aux textos (SMS ou MMS) que vous recevez : ne cliquez pas sur les liens suspects ou ne répondez pas aux messages de sources inconnues.
Les fraudeurs utilisent souvent des numéros de téléphone qui semblent légitimes, mais qui sont en réalité des numéros falsifiés. Si vous recevez un message texte d’une entreprise ou d’un organisme gouvernemental, vérifiez que le numéro de téléphone correspond à celui que vous connaissez pour cette organisation. N’appelez ou ne répondez surtout pas au numéro de téléphone émetteur du texto douteux !
Comme pour le phishing, ne partagez jamais vos informations sensibles, telles que des identifiants de connexion, des numéros de carte de crédit ou des informations financières, par texto. Les entreprises et les organismes gouvernementaux légitimes ne demandent jamais ce genre d’informations par SMS ou MMS.
Des outils de sécurité, tels que les logiciels antivirus, peuvent également vous aider à vous protéger contre les attaques de smishing. Assurez-vous que votre logiciel antivirus est à jour et qu’il est configuré pour détecter les menaces de smishing.
Enfin, il est important de rester informé afin de connaître les dernières techniques de smishing. Les fraudeurs sont constamment à la recherche de nouvelles façons de tromper les utilisateurs, donc en effectuant une veille sur les dernières tendances en matière de smishing, vous serez en mesure de mieux vous protéger.
Chaque signalement compte
Si vous êtes victime d’un tel incident de sécurité :
Dans le cadre professionnel : saisissez la chaîne d’alerte en déclarant un incident de sécurité depuis le portail CARIINA accessible via la rubrique "Support et assistance" de ARENA ou envoyez directement un courriel à alerte-ssi@ac-versailles.fr.
Dans un cadre privé : vous pouvez le transférer par SMS au numéro gratuit 33700. Le 33700 va ensuite vous répondre en vous demandant de lui envoyer en réponse, par SMS, le numéro de téléphone émetteur du texto, la date et l’heure de réception du SMS douteux.
Conformément à l‘article 224-51 du code de la consommation, le 33700 est le service mutualisé mis en place par les opérateurs de téléphonie mobile permettant de signaler, par textos, les appels et messages textuels non sollicités.
Les établissements scolaires connaissent périodiquement des vagues importantes de messages de menaces (comme par exemple de fausses alertes à la bombe). Ceux-ci sont souvent diffusés via les Espaces Numériques de Travail (ENT) ou des applications de gestion de vie scolaire dont les comptes utilisateurs ont été usurpés.
Ces vagues sont particulièrement intenses à l’approche des rendez-vous importants inscrits à l’agenda des établissements scolaires (rentrées, examens, approche des vacances).
Les usurpations d’identités peuvent trouver leur origine dans la présence de « dérobeurs de mots de passe », ou virus stealers sur les ordinateurs des utilisateurs.
Les identifiants volés sont ensuite disponibles en libre-service sur le "dark net".
Une fiche d’information sur les virus stealers
Afin de mieux comprendre et prévenir ces actes malveillants, la police judiciaire, Cybermalveillance.gouv.fr et le ministère de l’Éducation Nationale et de la jeunesse mettent à votre disposition le support ci-joint que vous pouvez diffuser largement au sein de la communauté éducative : enseignants, des élèves et des familles.
Informations sur les virus stealers
STEALER
Informations & bonnes pratiques
Le partage des informations relatives aux méthodes d’infection et les bonnes pratiques à adopter permettront, entre autres, de réduire le nombre de messages menaçants véhiculés via les ENT.
Un parcours M@gistère de sensibilisation à la sécurité numérique
En complément, le parcours de e-sensibilisation réalisé sur M@gistère avec Cybermalveillance.gouv.fr offre la possibilité aux enseignants et aux personnels administratifs d’opérer une montée en compétence sur la thématique de la sécurité numérique.
Vous devez être identifés pour accéder aux ressources téléchargeables
[1] Distributed Dental of Service ou « déni de service »
[2] Un botnet est un réseau de bots informatiques, des programmes connectés à Internet qui communiquent avec d’autres programmes similaires pour l’exécution de certaines tâches.
[3] Structured Query Langage - SQL est un langage informatique normalisé servant à exploiter des bases de données relationnelles. La partie langage de manipulation des données de SQL permet de rechercher, d’ajouter, de modifier ou de supprimer des données dans les bases de données relationnelles.
[4] Le cross-site scripting est un type de faille de sécurité des sites web permettant d’injecter du contenu dans une page, provoquant ainsi des actions sur les navigateurs web visitant la page.
[5] En informatique, le détournement de session, parfois également appelé détournement de cookies, est l’exploitation d’une session informatique valide, parfois également appelée clé de session, pour obtenir un accès non autorisé à des informations ou à des services dans un système informatique.
[6] En sécurité des systèmes d’information, le cross-site request forgery, abrégé CSRF ou XSRF, est un type de vulnérabilité des services d’authentification web.
