Reconnaître le phishing : comment lire un lien et un expéditeur
Le phishing est un message qui se fait passer pour un expéditeur fiable, afin que vous fassiez quelque chose que vous ne feriez pas autrement : vous connecter sur une page falsifiée, ouvrir une pièce jointe, transmettre un code ou effectuer un paiement. Les fautes d'orthographe ne sont plus un bon indicateur : grâce à l'IA, les escrocs rédigent un néerlandais sans faute. Vérifiez donc trois éléments : où le lien mène réellement, qui est le véritable expéditeur, et ce que le message vous demande.
L'e-mail semble provenir de WebOké ? Consultez alors Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel. Dans les exemples ci-dessous, nous utilisons des noms fictifs se terminant par .example.
Lire un lien
Passez la souris sur le lien sans cliquer ; l'adresse réelle apparaît en bas de la fenêtre. Sur un téléphone, maintenez le lien enfoncé. Seule cette adresse compte, pas le texte du bouton.
- Recherchez la partie comprise entre
https://et le premier/. Il s'agit de l'hôte : le serveur vers lequel vous allez. Tout ce qui suit le premier/est choisi librement par le propriétaire de cet hôte. - Y a-t-il un
@dans cette partie ? Alors l'hôte ne commence qu'après le@. - Lisez l'hôte de droite à gauche. Le domaine enregistrable est l'extension plus un mot qui la précède, par exemple
mijnbank.example. C'est le nom que quelqu'un a enregistré, et donc le propriétaire. Tout ce qui se trouve à gauche de ce nom correspond à des sous-domaines, que le propriétaire choisit lui-même. Attention aux extensions composées de deux parties, commeco.uk: pourwww.shop.voorbeeld.co.uk, le domaine enregistrable estvoorbeeld.co.uk.
| Lien | Propriétaire réel | Que se passe-t-il ? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | Correct : un sous-domaine de la banque elle-même |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Astuce du sous-domaine : le vrai nom est placé en premier |
https://inlog.example/mijnbank.example/login | inlog.example | Astuce du chemin : le nom figure après le premier / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | Astuce du @ : tout ce qui précède le @ ne compte pas |
https://rnijnbank.example/ | rnijnbank.example | Sosie visuel : rn ressemble à m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Un mot ajouté : un domaine totalement différent |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode : une lettre issue d'un autre alphabet |
Un sosie visuel ressemble au domaine réel : des lettres inversées, un mot ou un trait d'union ajouté, ou une lettre issue d'un autre alphabet (un а cyrillique ressemble à un a ordinaire). Un tel nom contenant des caractères particuliers est techniquement appelé punycode, et commence par xn--. Pour un nom qui semble par ailleurs tout à fait néerlandais, cela est suspect.
Liens raccourcis, liens de redirection et codes QR
- Un lien raccourci ne montre pas sa destination. Si une banque ou un fournisseur vous demande de vous connecter via un tel lien, ne le faites pas.
- Un lien peut démarrer sur un site réel puis vous rediriger. Après avoir cliqué, vérifiez à nouveau la barre d'adresse avant de saisir quoi que ce soit.
- Un code QR est un lien que vous ne pouvez pas lire. Laissez d'abord l'appareil photo afficher l'adresse et lisez-la. Méfiez-vous des autocollants apposés sur un code réel, par exemple sur un horodateur.
- Le cadenas indique seulement que la connexion est chiffrée. Les faux sites disposent eux aussi d'un cadenas.
Lire l'expéditeur
- Le nom ne prouve rien. N'importe qui peut saisir comme nom « Service client Mijnbank », le nom de votre directeur ou même une adresse e-mail. Cliquez ou appuyez sur le nom pour voir l'adresse réelle, et lisez son domaine comme pour un lien.
- Attention à l'adresse de réponse. Avec un en-tête Reply-To, votre réponse part vers une adresse différente de celle de l'expéditeur. Avant d'appuyer sur Envoyer, vérifiez à qui votre réponse est réellement destinée, surtout s'il s'agit d'argent ou de données.
- Un expéditeur peut être falsifié, et un expéditeur réel peut être piraté. Dans les en-têtes d'un e-mail, vous pouvez voir si le domaine a réellement envoyé le message. Mais même une vérification réussie prouve uniquement que l'e-mail provient de ce domaine, pas que ce domaine est digne de confiance. Pour savoir comment lire cela, consultez Consulter et lire les en-têtes d'un e-mail.
SMS, WhatsApp et téléphone
Un nom d'expéditeur ou un numéro de téléphone affiché à l'écran peut être falsifié, même si le message apparaît parmi de vrais messages de votre banque. Si vous recevez un message d'« un collègue avec un nouveau numéro » qui souhaite rapidement un paiement, appelez l'ancien numéro connu. Quelqu'un vous appelle au nom de la banque ou d'un service d'assistance et vous demande un code, un paiement ou un accès à distance à votre ordinateur ? Raccrochez et rappelez vous-même un numéro que vous aviez déjà. Si vous recevez un code de connexion ou une notification que vous n'avez pas demandé, ne validez rien et changez ce mot de passe.
S'il s'agit d'une facture ou d'un numéro de compte modifié, consultez Reconnaître une fausse facture, un numéro de compte modifié ou une fraude au président.
Un doute ? Arrêtez-vous, vérifiez, demandez
- Arrêtez-vous. La précipitation, la peur ou une récompense sont précisément le moment de ne pas cliquer.
- Vérifiez par votre propre chemin. Ne poursuivez pas via le message. Saisissez vous-même l'adresse ou utilisez votre favori, et appelez un numéro que vous aviez déjà.
- Demandez à un collègue, ou à l'expéditeur via un autre canal.
Signalez un e-mail de phishing au Fraudehelpdesk : transférez-le de préférence en pièce jointe à valse-email@fraudehelpdesk.nl et mettez l'entreprise imitée en copie. Un SMS ou un message WhatsApp se signale via le formulaire de signalement. Voir Signaler un faux e-mail.
Le NCSC propose davantage d'exemples dans Comment reconnaître un e-mail de phishing ?, Le phishing par SMS et Comment reconnaître un faux appel téléphonique ?.