phishing : Différence entre versions

De Vulgum Techus
Aller à : Navigation, rechercher
(Page créée avec « Catégorie:Sécurité »)
 
 
(50 révisions intermédiaires par un utilisateur sont masquées)
Ligne 1 : Ligne 1 :
 +
<!-- Links checked 30/07/19 -->
 +
[[Catégorie:Administratif]]
 +
[[Catégorie:Assurance]]
 +
[[Catégorie:Banque]]
 
[[Catégorie:Sécurité]]
 
[[Catégorie:Sécurité]]
 +
'''[[Lien court]]''' vers cette page : https://vt.cx/cq1
 +
'''[[QR code]]''' vers cette page : https://vt.cx/cq1.qr
 +
<html>
 +
<script async src="//pagead2.googlesyndication.com/pagead/js/adsbygoogle.js"></script>
 +
<!-- VT2 -->
 +
<ins class="adsbygoogle"
 +
    style="display:inline-block;width:468px;height:60px"
 +
    data-ad-client="ca-pub-3341840374417340"
 +
    data-ad-slot="6349432125"></ins>
 +
<script>
 +
(adsbygoogle = window.adsbygoogle || []).push({});
 +
</script>
 +
</html>
 +
 +
= [[Lexique]] =
 +
* '''hameçonnage''' : version française de ''phishing''
 +
* '''phishing''' : ''hameçonnage'' en anglais
 +
* '''scam''' : escroquerie en anglais
 +
* '''spoofing''' : affichage d'une autre adresse email que celle réellement utilisée pour tromper le destinataire sur l'origine d'un mail
 +
 +
= Présentation =
 +
Le phishing ou hameçonnage consiste à tromper un usager de plusieurs manières différentes. Deux méthodes, souvent utilisées en conjonction :
 +
# email : '''[[spoof]]''' un email officiel d'une structure connue ('''[[entreprise]]''', administration, ONG) pour tenter d'amener à cliquer sur un '''[[lien]]''' menant à un site dangereux
 +
# site : infecté par un '''[[malware]]''' ou simulant un formulaire d'entrée dans le but de voler des identifiants
 +
Les structures utilisées par les fraudeurs sont nombreuses et variées mais certaines reviennent plus fréquemment comme :
 +
* Banques françaises et étrangères dont [[PayPal]], Visa, Amex, Mastercard, La Banque postale, BNP Paribas, Crédit Agricole,...
 +
* Organismes publics dont EDF, Trésor Public, CAF, CPAM,...
 +
* Sociétés privées dont '''[[Amazon]], [[eBay]], [[Free]], [[SFR]], [[Orange]], [[La Poste]]''', DHL, UPS, Chronopost,'' ...
 +
* Proche ou relation de travail dont le compte mail a été piraté.
 +
 +
D'une manière générale les emails sont structurés comme suit :
 +
* Objet : Alerte inquiétante.
 +
* Corps du mail :
 +
Absence d'éléments de personnalisation prouvant que le destinataire est client (nom, '''[[prénom]], [[tél.]]''', adresse ou n° client).<br/>
 +
Signalement d'une anomalie souvent rédigé dans un style ampoulé et assez peu naturel avec une syntaxe et une orthographe approximatives et un lien direct pour régler le problème.
 +
<br/>
 +
Le lien est la partie problématique du phishing car il ne renvoie pas sur ce qu'il indique mais sur un site tiers qui affiche un écran copiant le site de celui qu'il prétend représenter.
 +
 +
Les méthodes pour envoyer sur une site qui n'est pas celui que l'on croit sont connues :
 +
* Lien HTML différent de celui affiché (visible en [[Obtenir les en-têtes des emails reçus|éditant le source du mail]])
 +
* Lien HTML avec des caractères ressemblants à ceux du domaine copié exemple : volksvvagen.com (où le w est remplacé par deux v)
 +
* Lien HTML dérivé de celui du domaine copié exemple : bnp-contentieux-urgent.com
 +
 +
= Procédure =
 +
D'une manière générale, les organismes et entreprises mentionnées plus haut sont nombreux à ne plus inviter leurs clients à cliquer sur un lien pour régler un problème et se contentent d'informer le destinataire qu'il doit se connecter à son service client pour gérer le point mentionné dans l'email. Sur de nombreuses '''[[messageries]]''' comme '''[[Gmail]], [[Hotmail]], [[Yahoo!]]''', les phishings, une fois détectés sont filtrés et n'arrivent jamais à leurs destinataires.
 +
 +
Que faire en cas de phishing notoire ?
 +
* Regarder le source de l'email pour isoler les liens impliqués
 +
* Informer rapidement le webmaster de la structure imitée dans l'email
 +
* Informer rapidement le service [[Liste_des_mails_abuse_des_FAI_et_hébergeurs|abuse]] de la '''[[messagerie]]''' utilisée
 +
* Isoler l'email dans un dossier bien identifié pour éviter de le confondre
 +
* En informer les sites ci-dessous qui luttent directement contre le phishing :
 +
'''Google.com''' en cliquant sur le lien suspect dans l'email et en choisissant '''Signaler courrier frauduleux''' (sous '''[[Firefox]]''')
 +
ou en utilisant le lien : https://safebrowsing.google.com/safebrowsing/report_error/?tpl=mozilla&hl=fr<br/>
 +
'''OCLCTIC (Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication)'''
 +
à https://www.internet-signalement.gouv.fr/PortailWeb/planets/Accueil!input.action<br/>
 +
'''Phishing Initiative''' : Un service à l'initiative de Paypal, Microsoft et Lexsi afin de bloquer les sites de Phisheurs dans les '''[[navigateurs]]''' des participants inscrits.
 +
https://phishing-initiative.fr/contrib/<br/>
 +
'''Signal Spam ('''organisme paritaire) nécessitant une inscription préalable à tout signalement
 +
à https://www.signal-spam.fr<br/>
 +
'''American Express''' : spoof@americanexpress.com
 +
'''Bank of America''' : abuse@bankofamerica.com
 +
'''La Banque Postale''' : alertespam@labanquepostale.fr
 +
'''Barclays''' : internetsecurity@barclays.co.uk
 +
'''BRED''' : webmaster@bred.fr
 +
'''CIC''' : phishing@cic.fr
 +
'''Crédit Mutuel''' : phishing@creditmutuel.fr
 +
'''EDF''' : message-frauduleux@edf.fr
 +
'''Mastercard''' : stopit@mastercard.com
 +
'''SFR''' : emailsuspect@sfr.com
 +
'''UBS''' : internetsecurity@ubs.com
 +
'''Visa''' : phishing@visa.com<br/>
 +
'''Nota bene :''' inutile de mettre le (Brigade d'enquêtes sur les fraudes aux technologies de l'information) dans la boucle car celle-ci ne traite pas les escroqueries sur Internet.
 +
 +
= Liens utiles =
 +
== Signalement Police et opérateurs téléphoniques ==
 +
* [https://www.internet-signalement.gouv.fr/PortailWeb/planets/Accueil!input.action internet-signalement.gouv.fr] Portail officiel de signalement des contenus illicites sur Internet
 +
* [https://phishing-initiative.fr/contrib/ phishing-initiative.fr] Dites non au phishing
 +
* [https://assistance.orange.fr/ordinateurs-peripheriques/installer-et-utiliser/la-securite/risques-et-prevention/phishing/phishing-signaler-un-cas_40347-41151 assistance.orange.fr] Signalement '''[[Orange]]'''
 +
* [https://assistance.sfr.fr/sfrmail-appli/phishing-spam/proteger-phishing.html assistance.sfr.fr] Signalement '''[[SFR]]'''
 +
 +
== Alertes Phishing : [[Administrations]], [[assurances]], [[banques]], [[opérateurs téléphoniques]] ==
 +
* [https://www.allianz.fr/qui-est-allianz/information/securite/ Allianz]
 +
* [https://www.americanexpress.com/fr/benefices/services-securises/services-anti-fraude/guide-anti-fraude/phishing/ American Express]
 +
* [https://www.axa.fr/qui-sommes-nous/attaque-virale-mails.html Axa Banque]
 +
* [https://www.banquepopulaire.fr/portailinternet/Editorial/BanqueEnLigne/Pages/alertes-de-securite.aspx Banque Populaire]
 +
* [https://www.labanquepostale.fr/particulier/securite.savoir.html La Banque Postale]
 +
* [https://mabanque.bnpparibas/fr/engagement-chartes-et-conventions/site-securise BNP Parisbas]
 +
* [https://www.boursorama.com/patrimoine/actualites/le-phishing-b3118f0b24434be9aab5decbc36a9795 Boursorama]
 +
* [https://www.assistance.bouyguestelecom.fr/internet-bbox/securite-sur-internet/protection-phising-hameconnage-emails Bouygues Telecom]
 +
* [https://www.bred.fr/faq/faq-securite BRED]
 +
* [http://www.caf.fr/sites/default/files/caf/011/Pdf/phishing_votrecafvousinforme.pdf CAF] ([[PDF]])
 +
* [https://www.cic.fr/fr/banques/entreprises/comptes-et-services/securiser-vos-operations/index.html CIC]
 +
* [https://www.credit-agricole.fr/guidesecurite/-Le-phishing-.html Crédit Agricole]
 +
* [https://www.creditmutuel.fr/cmag/fr/securite/internet-et-securite-bancaire.html Crédit Mutuel]
 +
* [https://www.economie.gouv.fr/dgccrf/Publications/Vie-pratique/Fiches-pratiques/Phishing-hameconnage-ou-filoutage DGCCRF]
 +
* [https://www.logistics.dhl/fr-fr/home/bas-de-page/sensibilisation-a-la-fraude.html DHL]
 +
* [https://www.edf.fr/entreprises/alerte-e-mails-frauduleux/phishing-par-emails-frauduleux-pour-recuperer-des-donnees EDF]
 +
* [https://particuliers.engie.fr/assistance-client/conseils/espace-client/arnaque-et-phishing.html engie]
 +
* [https://www.fortuneo.fr/securite/risque-fraude Fortuneo]
 +
* [https://www.free.fr/assistance/2273.html# Free]
 +
* [https://www.groupama.fr/conseils/espace-client/configuration-requise-et-securite Groupama]
 +
* [https://www.impots.gouv.fr/portail/actualite/courriels-et-appels-telephoniques-frauduleux-0 Impôts]
 +
* [https://www.ing.be/fr/business/my-business/secure-business/phishing ING Direct]
 +
* [https://www.matmut.fr/assurance/habitation/conseils/attention-escroqueries Matmut]
 +
* [https://www.mymastercard.ch/fr/centre-clientele/les-themes-de-a-a-z/phishing/ Mastercard]
 +
* [https://www.msa.fr/lfy/web/msa/recherche?q=PHISHING MSA]
 +
* [https://assistance.orange.fr/ordinateurs-peripheriques/installer-et-utiliser/la-securite/risques-et-prevention/phishing/phishing-presentation_40187-40995 Orange]
 +
* [https://www.paypal.com/fr/webapps/mpp/phishing Paypal]
 +
* [https://assistance.sfr.fr/sfrmail-appli/phishing-spam/email-phishing-sms-frauduleux.html SFR]
 +
* [https://professionnels.societegenerale.fr/votre_site/configuration_securite/internet_vous/fraudes_en_ligne.html Société Générale]
 +
* [https://www.ubs.com/global/en/cybersafe/phishing.html UBS]
 +
* [https://www.viseca.ch/fr/service-clientele/assistance/perte-de-la-carte-securite/phishing-hameconnage Visa]
 +
* [https://assistance.sfr.fr/sfrmail-appli/phishing-spam/accueil.html Liste des phishings plagiant SFR]
 +
 +
= Alertes Phishing =
 +
* [https://www.police-nationale.interieur.gouv.fr/Actualites/L-actu-police/Declaration-d-impots-faites-attention-au-phishing police-nationale.interieur.gouv.fr] Déclaration d'impôts, faîtes attention au phishing
 +
 +
= Liens utiles =
 +
* [https://phishing-initiative.fr/contrib/ phishing-initiative.fr] '''Phishing Initiative''' : une plateforme contre le phishing
 +
* [https://www.signal-arnaques.com signal-arnaques.com] '''Signal Arnaques : [[base de données]]''' de mails de phishing et d'arnaque
 +
* [https://www.mcafee.com/en-us/index.html phishingquiz.mcafee.com] '''Quizz phishing''' : un jeu pour tester ses capacités de repérage des phishings
 +
 +
= Articles externes - Français =
 +
* [https://www.legalis.net/actualite/phishing-absence-de-preuve-de-la-fraude-du-client/ Legalis - 24/05/18] Phishing : absence de preuve de la fraude du client
 +
* [https://www.nextinpact.com/news/106488-phishing-negligent-client-dune-banque-doit-assumer-prelevements-frauduleux.htm Next Inpact - 20/04/18] Phishing : négligent, un client d'une '''[[banque]]''' doit assumer les prélèvements frauduleux
 +
* [https://www.quechoisir.org/actualite-phishing-l-arnaque-passe-aussi-par-la-carte-sim-n52008/ Que Choisir - 16/02/18] Phishing L'arnaque passe aussi par la '''[[carte SIM]]''' !
 +
* [https://www.cnetfrance.fr/news/phishing-la-technique-de-piratage-est-toujours-aussi-efficace-d-apres-google-39859920.htm cnet - 13/11/17] Phishing : la technique de piratage est toujours aussi efficace d'après '''[[Google]]'''
 +
* [https://www.quechoisir.org/actualite-phishing-en-cas-de-negligence-averee-la-banque-ne-rembourse-pas-n48172/ Que Choisir - 12/11/17] Phishing En cas de négligence avérée, la banque ne rembourse pas
 +
* [https://www.generation-nt.com/campagnes-phishing-evoluees-actualite-1941702.html GNT - 20/04/17] Gare aux campagnes de phishing de plus en plus évoluées
 +
* [http://sosconso.blog.lemonde.fr/2017/01/24/le-credit-mutuel-condamne-pour-refus-de-rembourser-le-phishing/ SOS Conso - 24/01/17] Le Crédit mutuel condamné pour refus de rembourser le phishing
 +
* [https://www.nextinpact.com/news/102958-pour-cour-cassation-c-est-a-banque-prouver-arnaque-par-phishing.htm Next Inpact - 19/01/17] Pour la Cour de cassation, c’est à la banque de prouver une arnaque par phishing
 +
* [https://www.generation-nt.com/piratage-icloud-gmail-vol-photo-celebrite-justice-prison-actualite-1934967.html GNT - 27/10/16] Piratage de comptes '''[[iCloud]]''' et Gmail : 18 mois de prison pour du phishing
 +
* [https://korben.info/vol-de-portable-tentative-de-phishing-combo-gagnant-revendre-iphones-voles.html Korben - 14/06/16] Vol de portable + tentative de phishing – Le combo gagnant pour revendre des '''[[iPhones]]''' volés ?
 +
* [https://www.itespresso.fr/phishing-continue-prosperer-france-119615.html ITespresso - 25/01/16] Le phishing continue de prospérer en '''[[France]]'''
 +
* [http://www.leparisien.fr/high-tech/des-pirates-informatiques-s-attaquent-aux-clients-de-deezer-21-10-2015-5205781.php Le Parisien - 21/05/15] Des pirates informatiques s'attaquent aux clients de '''[[Deezer]]'''
 +
* [https://www.clubic.com/mag/actualite-760985-prisonnier-britannique-operation-phishing-evader-prison.html Clubic - 30/03/15] Un prisonnier britannique monte une opération de phishing pour s'évader de prison
 +
* [http://sosconso.blog.lemonde.fr/2015/01/30/phishing-faut-il-attaquer-loperateur-telephonique-ou-la-banque/ SOS Conso - 30/01/15] Phishing : faut-il attaquer l''''[[opérateur téléphonique]]''' ou la banque ?
 +
* [http://sosconso.blog.lemonde.fr/2014/11/06/phishing-pas-si-fiables-les-systemes-de-securite-des-banques/ SOS Conso 06/11/14] Phishing : pas si fiables, les systèmes de sécurité des '''[[banques]]''' !
 +
* [https://www.capital.fr/entreprises-marches/la-paranoia-methode-favorite-des-experts-en-cybersecurite-844000 Capital - 17/05/13] La paranoïa, méthode favorite des experts en cybersécurité
 +
 +
= Articles externes - Anglais =
 +
* [https://techxplore.com/news/2019-07-tech-companies-users-phishing-scams.html Tech Xplore - 30/07/19] Tech companies not doing enough to protect users from phishing scams
 +
* [https://hackaday.com/2017/04/19/you-think-you-cant-be-phished/ Hackaday - 19/04/17] You Think you Can't be Phished?
 +
* [https://www.eteknix.com/linkedin-now-considered-front-door-phishing-attacks/ eTeknix - 22/03/16] '''[[LinkedIn]]''' now considered front door phishing attacks
 +
* [https://www.computerworld.com/article/3037933/report-2016-phishing-trends-reveal-new-tricks-targets.html ComputerWorld - 25/02/16] Report: 2016 phishing trends reveal new tricks, targets
 +
* [https://www.infoworld.com/article/3025327/phish-the-phishers-researcher-turns-the-tables-on-scammers.html InfoWorld - 22/01/16] Phish the phishers: A researcher turns the tables on scammers
 +
* [https://www.engadget.com/2014/11/08/google-says-the-best-phishing-scams-have-a-45-percent-success-r/ engadget - 08/11/14] Google says the best phishing scams have a 45-percent success rate
 +
* [https://www.tweaktown.com/news/37698/new-phishing-scam-targets-google-users-tries-to-steal-passwords/index.html TweakTown - 14/05/14] New phishing scam targets Google users, tries to steal '''[[passwords]]'''
 +
 +
= Articles [[Vulgum Techus]] =
 +
* [[arnaque au président]]
 +
* [[spoofing]]
 +
* [[Tout sur les mots de passe]]
 +
* [[Liste des mails abuse des FAI et hébergeurs]]
 +
* [[Liste de phishings en circulation]]
 +
* [[DKIM]]
 +
* [[DMARC]]
 +
* [[DNS]]
 +
* [[email]]
 +
* [[spam]]
 +
* [[OpenSSL]]
 +
 +
= Commentaires =
 +
{{#widget:DISQUS
 +
|id=vulgumtechus
 +
}}

Version actuelle en date du 30 juillet 2019 à 14:27

Lien court vers cette page : https://vt.cx/cq1
QR code vers cette page : https://vt.cx/cq1.qr

Lexique

  • hameçonnage : version française de phishing
  • phishing : hameçonnage en anglais
  • scam : escroquerie en anglais
  • spoofing : affichage d'une autre adresse email que celle réellement utilisée pour tromper le destinataire sur l'origine d'un mail

Présentation

Le phishing ou hameçonnage consiste à tromper un usager de plusieurs manières différentes. Deux méthodes, souvent utilisées en conjonction :

  1. email : spoof un email officiel d'une structure connue (entreprise, administration, ONG) pour tenter d'amener à cliquer sur un lien menant à un site dangereux
  2. site : infecté par un malware ou simulant un formulaire d'entrée dans le but de voler des identifiants

Les structures utilisées par les fraudeurs sont nombreuses et variées mais certaines reviennent plus fréquemment comme :

  • Banques françaises et étrangères dont PayPal, Visa, Amex, Mastercard, La Banque postale, BNP Paribas, Crédit Agricole,...
  • Organismes publics dont EDF, Trésor Public, CAF, CPAM,...
  • Sociétés privées dont Amazon, eBay, Free, SFR, Orange, La Poste, DHL, UPS, Chronopost, ...
  • Proche ou relation de travail dont le compte mail a été piraté.

D'une manière générale les emails sont structurés comme suit :

  • Objet : Alerte inquiétante.
  • Corps du mail :

Absence d'éléments de personnalisation prouvant que le destinataire est client (nom, prénom, tél., adresse ou n° client).
Signalement d'une anomalie souvent rédigé dans un style ampoulé et assez peu naturel avec une syntaxe et une orthographe approximatives et un lien direct pour régler le problème.
Le lien est la partie problématique du phishing car il ne renvoie pas sur ce qu'il indique mais sur un site tiers qui affiche un écran copiant le site de celui qu'il prétend représenter.

Les méthodes pour envoyer sur une site qui n'est pas celui que l'on croit sont connues :

  • Lien HTML différent de celui affiché (visible en éditant le source du mail)
  • Lien HTML avec des caractères ressemblants à ceux du domaine copié exemple : volksvvagen.com (où le w est remplacé par deux v)
  • Lien HTML dérivé de celui du domaine copié exemple : bnp-contentieux-urgent.com

Procédure

D'une manière générale, les organismes et entreprises mentionnées plus haut sont nombreux à ne plus inviter leurs clients à cliquer sur un lien pour régler un problème et se contentent d'informer le destinataire qu'il doit se connecter à son service client pour gérer le point mentionné dans l'email. Sur de nombreuses messageries comme Gmail, Hotmail, Yahoo!, les phishings, une fois détectés sont filtrés et n'arrivent jamais à leurs destinataires.

Que faire en cas de phishing notoire ?

  • Regarder le source de l'email pour isoler les liens impliqués
  • Informer rapidement le webmaster de la structure imitée dans l'email
  • Informer rapidement le service abuse de la messagerie utilisée
  • Isoler l'email dans un dossier bien identifié pour éviter de le confondre
  • En informer les sites ci-dessous qui luttent directement contre le phishing : 
Google.com en cliquant sur le lien suspect dans l'email et en choisissant Signaler courrier frauduleux (sous Firefox)
ou en utilisant le lien : https://safebrowsing.google.com/safebrowsing/report_error/?tpl=mozilla&hl=fr

OCLCTIC (Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication)
à https://www.internet-signalement.gouv.fr/PortailWeb/planets/Accueil!input.action

Phishing Initiative : Un service à l'initiative de Paypal, Microsoft et Lexsi afin de bloquer les sites de Phisheurs dans les navigateurs des participants inscrits.
https://phishing-initiative.fr/contrib/

Signal Spam (organisme paritaire) nécessitant une inscription préalable à tout signalement
à https://www.signal-spam.fr

American Express : spoof@americanexpress.com
Bank of America : abuse@bankofamerica.com
La Banque Postale : alertespam@labanquepostale.fr
Barclays : internetsecurity@barclays.co.uk
BRED : webmaster@bred.fr
CIC : phishing@cic.fr
Crédit Mutuel : phishing@creditmutuel.fr
EDF : message-frauduleux@edf.fr
Mastercard : stopit@mastercard.com
SFR : emailsuspect@sfr.com
UBS : internetsecurity@ubs.com
Visa : phishing@visa.com

Nota bene : inutile de mettre le (Brigade d'enquêtes sur les fraudes aux technologies de l'information) dans la boucle car celle-ci ne traite pas les escroqueries sur Internet.

Liens utiles

Signalement Police et opérateurs téléphoniques

Alertes Phishing : Administrations, assurances, banques, opérateurs téléphoniques

Alertes Phishing

Liens utiles

Articles externes - Français

Articles externes - Anglais

Articles Vulgum Techus

Commentaires

blog comments powered by Disqus

Récupérée de « https://www.vulgumtechus.com/index.php?title=phishing&oldid=47940 »