Vous avez cliqué : que faire maintenant ?

Module 3: Reconnaître le phishing · Temps de lecture : 12 minutes

Objectif pédagogique : après cette leçon, vous saurez quoi faire dans les premières heures après un clic, un mot de passe saisi, des coordonnées bancaires saisies ou une pièce jointe ouverte, dans le bon ordre, et comment signaler et transférer un e-mail de phishing.
Concepts clés : limiter les dégâts, changer de mot de passe depuis un appareil sain, révoquer les sessions, appeler la banque, signaler, transférer le phishing (par exemple à Cybermalveillance.gouv.fr et à la marque usurpée)

Cela arrive à tout le monde

Tout le monde clique un jour sur le mauvais lien. Même les personnes qui ont suivi cette formation, même les informaticiens. Un bon e-mail de phishing arrive au mauvais moment, avec la bonne histoire. La honte ne sert à rien, agir vite si. Plus vous intervenez tôt, moins l'attaquant peut faire de ce qu'il a obtenu.

C'est pourquoi la première étape, dans toute entreprise, est : signalez le immédiatement, à la personne qui gère l'informatique ou à votre prestataire informatique. Convenez que quelqu'un qui signale un clic reçoive un remerciement et non une réprimande (nous y reviendrons dans la leçon 9.2). Quiconque a peur d'être sanctionné ne dira rien, et l'attaquant disposera alors de plusieurs jours.

D'abord déterminer : que s'est-il passé exactement ?

Ce que vous devez faire dépend de ce que vous avez fait. Déterminez-le d'abord, brièvement et honnêtement.

Un simple clic n'est généralement pas grave : les navigateurs modernes sont bien protégés. Mais un clic peut aussi déclencher un téléchargement. En cas de doute, traitez la situation comme la plus grave.

Étape par étape dans les premières heures

1. Signaler au sein de votre entreprise. Immédiatement, même en cas de doute. Dites ce que vous avez vu, quand, et ce que vous avez saisi ou ouvert. Conservez le message : ne le supprimez pas, vous en aurez besoin pour le signaler.

2. Limiter les dégâts. Avez-vous ouvert une pièce jointe ou donné un accès à quelqu'un ? Déconnectez l'appareil du réseau : désactivez le wifi, débranchez le câble réseau. Ne l'éteignez pas tout de suite, car ce qui se trouve en mémoire peut aider lors de l'enquête (leçon 8.3). Ne continuez pas à travailler sur cet appareil.

3. Appeler la banque en cas d'argent en jeu. Si vous avez saisi des coordonnées bancaires ou approuvé un paiement, appelez immédiatement votre banque, au numéro figurant sur votre carte ou sur le site officiel. Plus vous agissez vite, plus grandes sont les chances qu'un paiement puisse être bloqué ou récupéré. Un paiement vers un IBAN frauduleux après une fraude à la facture doit lui aussi être signalé immédiatement à votre banque.

4. Changer de mot de passe depuis un appareil sain. Modifiez le mot de passe du compte que vous avez saisi. Faites le sur un autre appareil que celui sur lequel vous avez ouvert la pièce jointe, car un programme pourrait y surveiller vos actions. Tapez l'adresse vous même ou utilisez votre favori, pas le lien figurant dans le message. Si vous utilisiez le même mot de passe ailleurs, changez le également à cet endroit (leçon 2.1).

5. Révoquer les sessions et vérifier le compte. Un nouveau mot de passe n'exclut pas toujours automatiquement un attaquant déjà présent. Déconnectez donc toutes les autres sessions (leçon 2.5) et vérifiez ce qu'il a pu modifier :

• authentification à deux facteurs (2FA) : une application ou un numéro de téléphone inconnu a-t-il été ajouté ?
• données de récupération : l'adresse e-mail ou le numéro de téléphone de récupération a-t-il été modifié ?
• règles de transfert et filtres dans votre messagerie : un attaquant aime créer une règle qui transfère tous les messages, ou uniquement ceux contenant « facture », vers son adresse, ou qui les supprime immédiatement. Il peut ainsi continuer à lire vos messages, même après que vous ayez changé votre mot de passe ;
• éléments envoyés : des e-mails ont-ils été envoyés que vous n'avez pas rédigés ? Vous devez alors prévenir vos contacts.

6. Signaler et transférer. Voir ci-dessous.

7. Vérifier s'il s'agit d'une violation de données. L'attaquant a-t-il pu accéder à une messagerie, un fichier clients ou un autre environnement contenant des données personnelles ? Il peut alors s'agir d'une violation de données. Selon le RGPD, une violation de données doit être notifiée sans retard injustifié et si possible dans les 72 heures suivant sa découverte, via le téléservice en ligne de la CNIL, sauf si elle n'est probablement pas susceptible d'engendrer un risque pour les personnes concernées. Dans tous les cas, consignez le dans votre registre des violations de données. Vous apprendrez à évaluer cela dans la leçon 8.2.

Signaler et transférer le phishing

Signaler est utile, même si rien ne s'est passé. Un faux site peut ainsi être désactivé plus rapidement, et d'autres personnes sont averties.

Vers Cybermalveillance.gouv.fr. Vous pouvez signaler un e-mail de phishing contenant des liens ou pièces jointes suspects via Signal Spam (https://www.signal-spam.fr/). Pour obtenir de l'aide en tant que victime, Cybermalveillance.gouv.fr est à votre disposition :

• transférez de préférence l'e-mail en pièce jointe. Lors d'un transfert classique, les données techniques (les en-têtes vus en leçon 3.3) sont perdues. Si cela n'est pas possible, par exemple sur un téléphone, transférez le simplement tel quel ;
• si l'e-mail semble provenir d'une banque ou d'une autre entreprise connue, mettez l'adresse de cette entreprise en copie (cc). Signal Spam et Cybermalveillance.gouv.fr fournissent des informations utiles à ce sujet sur leur site ;
• les sms, messages WhatsApp et autres messages ne se transfèrent pas à cette adresse, mais se signalent via les ressources de Cybermalveillance.gouv.fr. Ces ressources s'utilisent aussi pour un e-mail suspect sans lien ni pièce jointe, et pour une fraude par téléphone (faux support technique).

Dans de nombreux programmes de messagerie, l'option de transfert en pièce jointe s'appelle « Transférer en tant que pièce jointe » ou quelque chose de similaire.

Vers la marque usurpée. Si le nom d'une banque, d'un transporteur ou d'un fournisseur est usurpé, informez en cette organisation via un canal que vous recherchez vous même sur son vrai site, pas via le message reçu. De nombreuses organisations disposent de leur propre adresse de signalement pour le phishing. S'il s'agit de votre propre hébergeur ou fournisseur de messagerie, envoyez le lui également ; chez WebOké, cela se fait via un ticket, avec l'e-mail en pièce jointe (base de connaissances 581).

Porter plainte auprès de la police ou de la gendarmerie. Si vous avez perdu de l'argent, ou s'il y a eu usage abusif ou tentative d'usage abusif, portez plainte. Cybermalveillance.gouv.fr conseille et recueille les signalements, mais ne peut pas mener d'enquête elle même. Seule la police ou la gendarmerie le peut.

Ensuite, vous pouvez supprimer le message et bloquer l'expéditeur.

Contrôle après une semaine

Une attaque n'est pas toujours terminée après une journée. Programmez un rappel pour une semaine plus tard :

• Y a t il de nouvelles notifications de connexion ou des sessions inconnues ?
• Y a t il des paiements inconnus sur les relevés bancaires ?
• Y a t il de nouvelles règles de transfert ou de nouveaux filtres dans la messagerie ?
• Des clients ou fournisseurs se plaignent ils d'e-mails étranges envoyés en votre nom ? Votre messagerie est peut être encore utilisée pour envoyer du spam (base de connaissances 25).
• Qu'avons nous pu apprendre ? Le message était il facile à reconnaître, et qu'est ce qui aurait pu attirer l'attention plus tôt la prochaine fois ?

En pratique : voici à quoi cela ressemble

Lundi 9h12. Fatima, de la Boulangerie Example, saisit son mot de passe de messagerie sur une page de connexion imitant « le logiciel de comptabilité ». À 9h15, elle remarque que l'adresse était boekhoudpakket.inlog-check.example. Elle le signale à Kees, qui gère l'informatique. À 9h20, Kees change depuis son propre ordinateur portable le mot de passe de sa messagerie et déconnecte toutes les sessions. Dans la messagerie web, il trouve une nouvelle règle : tous les e-mails contenant « facture » sont envoyés vers une adresse inconnue puis supprimés. Il supprime la règle, active l'authentification à deux facteurs (2FA) et vérifie les éléments envoyés : rien n'a été envoyé. Fatima transfère l'e-mail de phishing en pièce jointe via Signal Spam. Kees le consigne dans le journal des incidents et vérifie si l'attaquant a pu voir des données personnelles. Une semaine plus tard, il revérifie les règles et les sessions.

L'emplacement de ces règles et sessions varie selon l'environnement. Chez WebOké, les transferts d'une adresse se trouvent dans Mon WebOké et dans DirectAdmin (Forwarders), et une règle peut aussi se trouver dans la messagerie web ou dans le logiciel de messagerie lui même. Chez d'autres fournisseurs, cela fonctionne de manière similaire : recherchez les termes transfert, forwarders, règles ou filtres.

Résumé

• Tout le monde clique parfois. Signalez le immédiatement, sans honte, et convenez que signaler soit récompensé.
• Déterminez d'abord ce qui s'est passé : simple clic, mot de passe, code, coordonnées bancaires, pièce jointe ou accès à distance.
• Ordre des étapes : signaler, limiter les dégâts (déconnecter du réseau), appeler la banque en cas d'argent en jeu, changer de mot de passe depuis un appareil sain, révoquer les sessions et vérifier le compte (notamment les règles de transfert), signaler et transférer, évaluer la violation de données.
• Transférez les e-mails frauduleux en pièce jointe via Signal Spam, avec la marque usurpée en copie ; les sms et messages de chat via les ressources de Cybermalveillance.gouv.fr. En cas de préjudice : portez plainte.
• Revérifiez après une semaine.

Quiz

Opdracht

Exercice A3.5 : La fiche des étapes après un clic. Vous recevez une situation et une pile de cartes contenant des étapes. Choisissez les étapes nécessaires et placez les dans le bon ordre. Le programme vérifie et explique pourquoi une étape doit venir avant ou après une autre.

Verder lezen

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, cela fonctionne de manière similaire.

• Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel
• Boîte mail compromise ou spam envoyé depuis votre adresse : comment faire le ménage
• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Signal Spam, signaler un e-mail de phishing : https://www.signal-spam.fr/
• Cybermalveillance.gouv.fr, assistance aux victimes et signalement : https://www.cybermalveillance.gouv.fr/
• ANSSI, Phishing (hameçonnage) : https://cyber.gouv.fr/