Technique de Phishing qui trompe même les usagers vigilants

Comment vous protégez vous des attaques de phishing(hameçonnage)? Comment vérifiez-vous si un site web vous demandant vos informations de connexion est fake ou légitime et que vous n’êtes pas en face d’une tentative de phishing?

En vérifiant si l’URL est correcte?

En vérifiant si l’adresse dans la barre URL n’a pas de faute?

En vérifiant si le site utilise HTTPS?

Ou alors en utilisant un logiciel ou des extensions de navigateurs qui détecte les domaines d’hameçonnage?

Si comme la plupart des usagers d’Internet, vous utilisez les techniques mentionnées ci-dessus pour détecter si le “Facebook.com” ou “Google.com” qui apparaît devant vous est un fake ou pas, vous pourriez être victime d’une nouvelle technique de phishing découverte récemment et vous faire subtilisez vos mots de passe par des hackers.

Antoine Vincent Jebara, co-fondateur et PDG du logiciel de gestion de mot de passe, Myki, a déclaré que son équipe avait découvert une nouvelle campagne d’hameçonnage “qui pourrait même trompé les usagers les plus vigilants.”

Vincent s’est aperçu que des cybercriminels distribuaient des liens vers des blogs et des services qui incitait les visiteurs à “se connecter sur leur compte Facebook” pour lire un article exclusif ou acheter un produit en solde.

Se connecter avec Facebook ou d’autres réseaux sociaux est une méthode utilisée par un très grand nombre de sites, cela rend les choses plus faciles pour les visiteurs qui veulent s’inscrire sur un service tiers rapidement.

D’habitude, quand vous cliquez sur le bouton “se connecter avec Facebook” sur n’importe quel site, vous êtes soit redirigé vers facebook.com ou une fenêtre pop-up facebook.com apparaît, vous demandant d’entrer vos informations Facebook pour vous authentifier en utilisant OAuth et permettre au service d’accéder aux informations nécessaires de votre profil.

Cependant, Vincent a découvert que les blogs et les services en ligne malveillants présente des fausses fenêtres pop-up très réaliste et capture les informations de cette façon.

Comme vous pouvez le voir dans la vidéo, les fausses fenêtres pop-up, créées avec HTML et JavaScript, ressemblent énormément aux vraies fenêtres—on voit aussi une barre d’état, une barre de navigation, des ombres et une adresse URL du site Web de Facebook avec un cadenas vert indiquant un HTTPS valide.

De plus, les usagers peuvent aussi interagir avec la fausse fenêtre, la faire changer de place ou la fermer comme les vraies fenêtres.

phishing

La seule façon de vous protéger contre ce type d’hameçonnage, selon Vincent, “est d’essayer de traîner le pop-up à l’extérieur de la fenêtre dans laquelle il est affiché. Si cela est un échec (une partie du pop up disparaît au delà des bords de la fenêtre), c’est un signe que le popup est un fake.”

Il est toujours recommandé d’activer l’authentification à deux facteurs pour empêcher aux hackers d’accéder à vos comptes en ligne si ils réussissent à mettre la main sur vos informations de connexions.

Les attaques de phishing sont-elles rares?

Les attaques de phishing (ou d’hameçonnage en français) constituent toujours l’une des menaces les plus courantes pour les utilisateurs ainsi que pour les entreprises. Les pirates informatiques continuent à essayer de trouver de nouvelles façons créatives de vous pousser à fournir des informations financières et sensibles qu’ils pourraient utiliser par la suite pour voler votre argent ou pirater vos comptes en ligne.

L’hameçonnage (en anglais phishing) est une technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d’identité.

La technique consiste à faire croire à la victime qu’elle s’adresse à un tiers de confiance — banque, administration, etc. — afin de lui soutirer des renseignements personnels : mot de passe, numéro de carte de crédit, numéro ou photocopie de la carte nationale d’identité, date de naissance, etc. En effet, le plus souvent, une copie exacte d’un site internet est réalisée dans l’optique de faire croire à la victime qu’elle se trouve sur le site internet officiel où elle pensait se connecter.

La victime va ainsi saisir ses codes personnels qui seront récupérés par celui qui a créé le faux site, il aura ainsi accès aux données personnelles de la victime et pourra dérober tout ce que la victime possède sur ce site. L’attaque peut aussi être réalisée par courrier électronique ou autres moyens électroniques.

Si cet article vous a plu, jetez un œil à notre précédent article.

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x