Hameçonnage, usurpation et fausses applications

Tout signal de confiance peut être copié

Demandez-vous ce qui vous convainc réellement qu'une page est authentique : le logo, la mise en page, un cadenas dans la barre d'adresse, un badge de vérification, un résultat de recherche en tête, un lien partagé dans une communauté d'apparence officielle. Chacun de ces éléments peut être reproduit ou acheté par un attaquant, généralement pour peu cher.

Les résultats de recherche sponsorisés sont un vecteur courant, car payer la première place sur le nom d'un portefeuille est légal et efficace. Des fiches de boutiques d'applications peuvent être contrefaites. Des extensions de navigateur peuvent imiter l'interface d'un portefeuille. Les QR codes sont illisibles pour un humain par conception et peuvent pointer n'importe où.

Le seul signal coûteux à falsifier est la destination elle-même. La vérification doit donc reposer sur le nom d'hôte exact et sur la façon dont vous êtes arrivé, pas sur l'apparence de la page. Lisez le domaine complet à partir du dernier point avant la première barre oblique : un sous-domaine comme example.com.attacker.site appartient à attacker.site. Sur un téléphone, où la barre d'adresse est tronquée, touchez-la et lisez l'ensemble.

Le piège de la vérification

L'habitude la plus importante de cette leçon tient en une phrase : ne vérifiez jamais par le canal qui vous a contacté. Demander à l'expéditeur si le lien est authentique, appeler un numéro fourni dans le message ou cliquer sur « contacter l'assistance » sur la page suspecte renvoient la vérification vers l'attaquant.

Ouvrez plutôt une voie séparée que vous maîtrisez. Un signet enregistré auparavant, l'application du prestataire installée délibérément, ou un domaine que vous saisissez après l'avoir contrôlé dans la documentation officielle. Comparez ensuite la demande exacte à ce que dit ce canal.

Les organisations légitimes n'ont pas besoin de votre phrase de récupération, d'un code à usage unique, du contrôle à distance de votre écran ni d'un paiement pour sécuriser un compte. L'urgence est une technique, pas une preuve : une échéance réelle survit aux dix minutes que prend une vérification, et un attaquant a besoin que vous croyiez le contraire.

Protégez les voies de récupération

Souvent, les attaquants ne visent pas le compte directement. Ils visent l'adresse e-mail qui peut le réinitialiser, le numéro de téléphone qui reçoit les codes, ou la sauvegarde en ligne qui contient une capture d'écran sensible.

L'adresse e-mail liée aux services financiers mérite donc la protection la plus forte dont vous disposez : un mot de passe unique et une authentification multifacteur résistante à l'hameçonnage plutôt que par SMS lorsque l'option existe. Les codes par SMS peuvent être interceptés par un attaquant qui convainc un opérateur de réattribuer votre numéro, technique bien établie et non exotique. Lorsqu'un service propose une liste d'adresses de retrait autorisées, activez-la, afin qu'une connexion compromise ne puisse pas envoyer de fonds vers une nouvelle adresse sans un délai que vous remarqueriez.

Réduisez le rayon d'impact

Partez du principe qu'un jour quelque chose passera. Une bonne conception de sécurité limite ce qu'une seule erreur peut atteindre plutôt que de supposer qu'aucune erreur ne surviendra.

Concrètement : un portefeuille de faible valeur pour les applications inconnues, séparé des avoirs de long terme ; des mots de passe uniques pour qu'une fuite ne se propage pas ; et l'habitude de déconnecter les sites et de revoir les autorisations périodiquement plutôt que d'accumuler indéfiniment des permissions ouvertes.

• Arrêtez-vous dès que vous vous sentez pressé — l'urgence est l'attaque.
• Ouvrez un canal neuf que vous maîtrisez avant toute vérification.
• Lisez le nom d'hôte complet, en particulier sur mobile.
• N'installez un logiciel de portefeuille que depuis une source vérifiée par vous.
• Signalez l'usurpation sans poursuivre l'échange.