Module 3 · 3.4
Français
Phishing par sms, chat, téléphone et QR code
Module 3: Reconnaître le phishing · Temps de lecture : 12 minutes
Objectif pédagogique : après cette leçon, vous saurez reconnaître le phishing en dehors de l'e-mail : par sms et applications de chat, au téléphone (y compris avec une voix clonée), par QR code et par une avalanche de notifications de connexion, et vous saurez comment vérifier selon chaque canal.
Notions clés : smishing, fraude à l'ami en détresse, vishing, usurpation de numéro (spoofing), faux support technique, clonage de voix, quishing, bombardement MFA
Pourquoi les autres canaux fonctionnent si bien
Tout ce qui a été vu dans la leçon 3.1 s'applique aussi ici : urgence, autorité, peur, curiosité et récompense. Mais en dehors de l'e-mail, ces techniques fonctionnent souvent encore mieux :
- Sur le téléphone, vous lisez vite. L'écran est petit, les adresses sont tronquées, et vous êtes souvent en train de faire autre chose.
- Il y a moins de protections techniques. Un serveur de messagerie vérifie le SPF, le DKIM et le DMARC et dispose d'un filtre antispam. Pour le sms, le chat et le téléphone, c'est beaucoup plus rare.
- Cela semble plus personnel. Un message dans une application de chat ou une voix au téléphone inspire plus confiance qu'un e-mail.
- C'est en direct. Un interlocuteur peut insister, mettre la pression et vous faire avancer étape par étape.
Le réflexe reste le même : arrêtez vous, vérifiez par votre propre chemin, posez la question. Ce qui change selon le canal, c'est la façon de vérifier.
Sms et chat : smishing et ami en détresse
Le smishing est le phishing par sms. Les escrocs se font passer pour une organisation dont vous pourriez attendre un sms : un transporteur, la banque, un service public, votre fournisseur d'énergie. Selon l'ANSSI (Agence nationale de la sécurité des systèmes d'information), la même chose se produit via des applications de chat comme WhatsApp et Telegram.
Un exemple typique :
Service de livraison : votre colis n'a pas pu être livré en raison d'une adresse incomplète. Planifiez une nouvelle livraison :
https://koeriersdienst.track-nl.example/z8K
Lisez le lien comme dans la leçon 3.2 : le domaine enregistrable est track-nl.example et non koeriersdienst.example du transporteur. Sur un téléphone, c'est encore plus difficile, car vous ne voyez que le début. Maintenez un lien appuyé pour voir l'adresse complète, ou ne l'ouvrez pas et allez vous-même sur l'application ou le site du transporteur.
Le numéro ou le nom de l'expéditeur ne prouve rien. Les expéditeurs de sms et les numéros de téléphone peuvent être falsifiés (spoofing). Un faux message peut ainsi apparaître dans le même fil de sms que de vrais messages de cet expéditeur. Un nom connu au dessus d'un message n'est donc pas non plus une preuve.
La fraude à l'ami en détresse passe par les applications de chat :
Bonjour, voici mon nouveau numéro, mon téléphone est cassé. Pouvez vous payer quelque chose pour moi ? Je vous rembourse demain. Il faut que ce soit fait aujourd'hui.
Dans une entreprise, la même technique se présente sous la forme d'un message du « directeur » ou d'un « collègue » avec un nouveau numéro, qui souhaite rapidement un paiement ou des cartes cadeaux. Vérifiez : appelez ou envoyez un message à la personne sur son ancien numéro connu, ou posez une question à laquelle seule la vraie personne peut répondre.
Le téléphone : vishing, faux support technique et voix clonées
Le vishing (voice phishing) est le phishing au téléphone. Trois formes sont fréquentes.
Le faux employé de banque. Quelqu'un appelle au nom de la banque ou du « service antifraude » : il y a des paiements suspects, votre argent doit être mis « en sécurité », ou vous devez communiquer un code ou approuver un paiement dans votre application bancaire. Sur votre écran s'affiche parfois même le vrai numéro de la banque. Cela aussi peut être usurpé. Une vraie banque ne demande jamais vos codes de connexion ni de transférer de l'argent vers un « compte sécurisé ».
Le faux support technique. Quelqu'un appelle au nom d'un éditeur de logiciel, de votre fournisseur internet ou de votre prestataire informatique : votre ordinateur est infecté, il y a un problème avec votre compte. Il vous demande d'installer un programme pour pouvoir intervenir à distance. Il prend ainsi le contrôle de votre ordinateur. L'ANSSI le dit simplement : ne donnez jamais à quelqu'un un accès à distance à vos appareils sans vérification.
La voix clonée. Avec l'IA, une voix peut être imitée à partir d'enregistrements audio, par exemple issus d'une vidéo ou d'une messagerie vocale. Un clone de voix de votre directeur ou d'un membre de votre famille peut alors appeler avec une demande urgente. Vous ne pouvez donc plus faire confiance aveuglément à vos oreilles.
Ce qui fonctionne dans les trois cas :
- Raccrochez dès qu'une pression s'exerce ou que l'on vous demande des codes, de l'argent ou un accès. Ce n'est pas impoli.
- Rappelez vous même un numéro que vous recherchez vous même ou que vous aviez déjà : le dos de votre carte bancaire, le site officiel, votre propre liste de contacts. Pas le numéro communiqué par l'appelant.
- Convenez d'une question de contrôle ou d'un mot de passe avec les personnes susceptibles de vous demander de l'argent, comme la direction et la comptabilité. Prévoyez aussi que les paiements ne se font jamais uniquement sur la base d'un appel téléphonique (leçon 1.2).
QR codes : le quishing
Un QR code est simplement un lien que vous ne pouvez pas lire. Le quishing est le phishing par QR code. Deux formes existent :
- Dans la rue ou dans un lieu. Un autocollant portant un faux QR code, collé par dessus le vrai, sur un horodateur, une borne de recharge, un menu ou une affiche. Vous pensez payer l'application de stationnement, mais vous saisissez vos coordonnées bancaires sur un faux site.
- Dans un e-mail ou un pdf. « Scannez ce code pour confirmer votre boîte mail. » Un QR code sous forme d'image ne peut pas être vérifié avec la souris. Et vous le scannez avec votre téléphone, où vous lisez moins bien les adresses.
L'ANSSI conseille notamment :
- Ne scannez pas un QR code sans texte ou image d'accompagnement, et soyez prudent avec les codes présents dans des lieux publics.
- Vérifiez si le code est réellement imprimé sur l'affiche ou le panneau, ou s'il s'agit d'un autocollant collé par dessus.
- Utilisez un scanner qui affiche d'abord vers quelle adresse ou quel domaine vous allez. Dans les versions récentes d'Android et d'iOS, l'appareil photo le fait par défaut.
- Si vous ne reconnaissez pas l'adresse, n'allez pas plus loin. Ne saisissez aucun mot de passe ni donnée de paiement si vous n'êtes pas certain que le site est authentique.
Dans l'aperçu de l'adresse affiché par l'appareil photo, regardez le domaine enregistrable, exactement comme dans la leçon 3.2. Pour un horodateur, vous pouvez aussi utiliser l'application de stationnement officielle ou l'adresse indiquée directement sur le panneau.
Bombardement MFA : quand votre téléphone n'arrête pas de sonner
De nombreux services envoient, lors de la connexion, une notification sur votre téléphone : « Essayez vous de vous connecter ? Approuver ou refuser. » Si un attaquant possède déjà votre mot de passe, il tente de se connecter à répétition. Votre téléphone reçoit alors notification sur notification, parfois en pleine nuit. C'est ce qu'on appelle un bombardement MFA (aussi appelé fatigue MFA). Il espère que, par agacement ou par erreur, vous appuierez sur Approuver. Il arrive aussi qu'il appelle ou envoie un message en se faisant passer pour le « support technique » : « Nous sommes en train de restaurer votre compte, appuyez sur approuver. »
Ce qu'il faut faire :
- N'approuvez jamais une notification que vous n'avez pas vous même initiée. Même si quelqu'un vous le demande.
- Considérez cela comme une alerte. Une notification de connexion inattendue signifie que quelqu'un possède votre mot de passe. Changez immédiatement le mot de passe de ce compte, via le site ou l'application lui même.
- Consultez les sessions actives et déconnectez les sessions inconnues (leçon 2.5).
- Choisissez une forme plus robuste d'authentification à deux facteurs (2FA) si elle est disponible. Avec la correspondance de numéros (number matching), vous devez recopier dans l'application un numéro affiché sur l'écran de connexion ; une notification sans cet écran sous les yeux ne peut alors pas être approuvée à la légère. Les passkeys et les clés de sécurité (leçon 2.4) sont encore plus robustes, car elles ne fonctionnent pas sur un faux site.
En pratique : à quoi cela ressemble
Dans Mon WebOké, vous voyez dans les sessions actives où et quand vous vous êtes connecté, et vous pouvez déconnecter d'autres sessions (guide WebOké 3.6). D'autres services, comme votre logiciel de messagerie, votre logiciel de comptabilité ou Nextcloud, disposent d'un aperçu similaire dans les paramètres de sécurité de votre compte. Consultez le en premier après une notification de connexion inattendue.
Résumé
- En dehors de l'e-mail, les mêmes techniques fonctionnent, mais il y a moins de protections techniques et vous lisez plus vite.
- Un numéro ou un nom d'expéditeur affiché à l'écran ne prouve rien : ils peuvent être falsifiés.
- Au téléphone : raccrochez, rappelez vous même un numéro connu, ne donnez jamais de codes, d'argent ou d'accès à distance. Même une voix connue peut avoir été clonée.
- QR codes : vérifiez la présence d'autocollants, laissez l'appareil photo afficher l'adresse et lisez le domaine enregistrable.
- Une notification de connexion inattendue est une alerte : refusez, changez le mot de passe, vérifiez les sessions.
Quiz
Exercice
Exercice A3.4 : Lire un QR code sans l'ouvrir. Le programme affiche un QR code. Scannez le avec l'appareil photo de votre téléphone, mais n'ouvrez pas le lien. Lisez l'adresse affichée par l'appareil photo et indiquez le domaine enregistrable, ainsi que si vous ouvririez le lien. Le programme vérifie votre réponse.
Exercice D3.4 : Consignes pour le téléphone, le chat et les alertes de connexion. Établissez avec votre équipe des consignes concernant le rappel, une question de contrôle ou un mot de passe convenu, et la conduite à tenir en cas de notification de connexion inattendue. Vérifiez ensuite sur votre propre téléphone si l'appareil photo affiche l'adresse d'un QR code avant d'ouvrir quoi que ce soit.
Exercice D3.4: Consignes pour le téléphone, le chat et les alertes de connexion
Voici comment procéder : (1) Convenez avec les personnes qui effectuent ou approuvent des paiements qu'une demande d'argent, de modification d'IBAN ou de codes ne sera jamais exécutée uniquement par téléphone, sms ou chat. Le rappel se fait toujours sur un numéro provenant de votre propre administration ou de votre liste de contacts. (2) Convenez d'une question de contrôle ou d'un mot de code pour les demandes urgentes de la direction ou de la famille. Ne notez ce mot de code nulle part sous forme numérique où un attaquant pourrait le lire. (3) Convenez de ce que chacun doit faire en cas d'alerte de connexion inattendue ou d'une série d'alertes : refuser, signaler, changer le mot de passe, vérifier les sessions (leçon 2.5). (4) Vérifiez si l'appareil photo de votre téléphone affiche d'abord l'adresse lors du scan d'un code QR, et ne l'ouvre qu'après avoir appuyé dessus. Utilisez pour cela un code QR provenant d'une source connue et propre (par exemple un code que vous créez vous-même pour https://www.example.com). (5) Vérifiez si votre application de chat et vos comptes les plus importants disposent d'une sécurité supplémentaire que vous n'utilisez pas encore (par exemple l'authentification à deux facteurs (2FA) avec un code PIN, la vérification par correspondance de numéro lors des alertes de connexion, ou une passkey) et activez-la.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké concernent l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.
- Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
- Guide Nextcloud 3.6: Afficher, révoquer ou effacer à distance les appareils et sessions
- Cybermalveillance.gouv.fr, assistance aux victimes et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
- ANSSI, cyber.gouv.fr : https://cyber.gouv.fr/
- Signaler un e-mail de phishing, Signal Spam : https://www.signal-spam.fr/
- Contenus illicites en ligne, Pharos : https://www.internet-signalement.gouv.fr/