Qu'est-ce que le phishing et comment le reconnaître ?

Le phishing, ou hameçonnage, est un mail qui imite une banque, une administration, un transporteur ou votre messagerie. Son but : vous amener sur une fausse page pour vous faire saisir votre mot de passe ou votre numéro de carte, ou vous faire payer une somme qui n'existe pas. Quelques secondes de vérification suffisent presque toujours à le démasquer.

Les arnaques qui circulent en ce moment

Voici les campagnes que notre filtre retient le plus ces dernières semaines. Les objets changent d'une semaine à l'autre, les ressorts restent les mêmes.

• Fausse banque : « Réactivez vos Cartes de Clés Personnelles », « Banque Populaire dernier rappel », « Mise à jour obligatoire de votre Secure Pass avant le… ». On vous presse de « réactiver » un dispositif de sécurité avant une date limite.
• Faux espace client : « Nouvelle demande en attente sur votre espace », « Votre nouvelle demande bancaire », « Votre compte nécessite votre attention ». Le mail ne nomme jamais le service : c'est vous qui devinez de qui il vient.
• Fausse messagerie : « Sécurité du compte », « Réinitialisez votre mot de passe », « Boîte pleine », parfois avec le nom Ecomail dans l'objet. Nous ne vous demandons jamais votre mot de passe par mail, et nos vrais messages vous renvoient toujours vers compte.ecomail.earth ou webmail.ecomail.earth.
• Faux cadeau, faux colis : « Votre glacière gratuite vous attend », « Vous avez (1) colis en attente de livraison », « Votre coffret gratuit est prêt ». Il suffit de « juste » régler quelques euros de frais avec votre carte.
• Fausse facture, faux RIB : une facture en retard, des frais de douane à régler, ou un fournisseur que vous connaissez dont le RIB aurait changé. C'est l'arnaque la plus coûteuse : le virement part chez l'escroc et ne revient pas.
• Faux hébergeur : « Urgent : votre domaine expire dans 7 jours ». Le nom de l'hébergeur y est parfois écrit avec une lettre remplacée par une autre qui lui ressemble.

Comment reconnaître un phishing

• L'urgence : compte suspendu, dernier rappel, délai de 48 heures. Une entreprise sérieuse ne vous met pas ce genre de pression.
• L'adresse de l'expéditeur : le nom affiché dit « Crédit Mutuel », mais l'adresse complète, derrière, n'a rien à voir avec la banque. Regardez toujours l'adresse, pas seulement le nom.
• Le lien : posez la souris dessus sans cliquer. Dans le webmail, une petite fenêtre s'ouvre sous le lien et montre le site où il mène vraiment (voir ci-dessous) ; ailleurs, l'adresse réelle s'affiche en bas de votre navigateur. Si elle ne se termine pas par le domaine officiel du service, n'allez pas plus loin.
• Un message flou : pas de numéro de client, pas de montant précis, un « Cher client » sans votre nom.
• Une demande anormale : saisir votre mot de passe, recopier un code reçu par SMS, donner votre numéro de carte « pour vérification », ou payer pour recevoir un cadeau.

Un mail bien écrit et bien présenté n'est plus une garantie : les campagnes actuelles copient parfaitement les mises en page officielles, sans faute d'orthographe.

Vérifier un lien dans le webmail

Sur ordinateur, dans un mail ouvert, arrêtez la souris un instant sur un lien, sans cliquer. Une petite fenêtre apparaît juste sous le lien (au-dessus s'il est tout en bas de l'écran) :

• Ce lien mène à : le site où le lien vous emmène vraiment. La partie qui compte est en gras : dans track.colissimo-livraison.xyz, c'est colissimo-livraison.xyz, qui n'est pas La Poste. Juste en dessous, l'adresse complète.
• Les signaux en orange, quand il y en a : le texte du lien annonce un site mais il en ouvre un autre (un lien qui affiche « www.laposte.fr » et mène ailleurs), un lien raccourci qui cache sa vraie destination, une adresse en chiffres au lieu d'un nom de site, un nom de site en caractères étrangers qui imite un site connu, un faux nom de site placé avant le vrai, ou un lien non sécurisé (http).
• Demander à Ortie : le bouton violet, à droite. Ortie examine le lien et le mail (l'expéditeur, l'objet, le texte), puis vous répond « Ortie ne voit rien de suspect » ou « Prudence : ce lien pourrait être de l'hameçonnage », avec ses raisons. Quand le lien lui semble sûr, Ouvrir le lien l'ouvre dans un nouvel onglet ; quand il lui semble douteux, ce bouton n'apparaît pas.
• Faire visiter le lien par Ortie : en violet, sous la réponse d'Ortie. Beaucoup de liens de suivi passent par un site relais avant d'arriver chez le vrai transporteur ou le vrai service : sans l'ouvrir, Ortie ne peut voir que ce relais. Avec ce bouton, elle ouvre le lien elle-même, depuis nos serveurs, sans votre compte ni vos cookies. Elle vous dit où il aboutit vraiment (par exemple « Ortie a ouvert la page : elle aboutit sur geodis.com »), le chemin suivi, si la page demande un mot de passe, puis elle vous redonne son avis.

Évitez de faire visiter un lien de confirmation ou de désinscription : l'ouvrir peut suffire à valider. Sachez aussi que l'expéditeur peut voir que son lien a été ouvert, ce qu'un escroc prend pour la preuve que votre adresse est active.

Pour atteindre la fenêtre, glissez la souris du lien jusqu'à elle : elle reste affichée tant que le pointeur est dessus. Après avoir demandé à Ortie, elle reste ouverte jusqu'à ce que vous cliquiez sur sa croix, en haut à droite, ou que vous appuyiez sur Échap. Si vous repassez plus tard sur le même lien, l'avis d'Ortie s'affiche de nouveau sans qu'il faille le redemander.

Ortie peut se tromper : dans le doute, n'ouvrez pas le lien et ne donnez jamais de mot de passe ni de coordonnées bancaires. Sur téléphone et sur tablette, sans souris, cette fenêtre n'apparaît pas.

Que faire si vous recevez un phishing

• Ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe, même par curiosité.
• Pour vérifier, ouvrez le site du service vous-même, en tapant son adresse ou depuis vos favoris, jamais depuis le mail.
• Dans le webmail, ouvrez le message, puis le menu Plus d'actions et choisissez Marquer comme spam. Dans le même menu, Bloquer cet expéditeur empêche ses prochains envois d'arriver.
• Pour un nouveau RIB ou une facture inattendue, appelez le fournisseur à un numéro que vous connaissiez déjà, jamais à celui indiqué dans le mail.
• Vous pouvez aussi transmettre le message à Signal Spam. Les conseils officiels et l'assistance aux victimes se trouvent sur cybermalveillance.gouv.fr.

La plupart de ces messages n'atteignent jamais votre boîte : notre filtre les retient en quarantaine. Vous les retrouvez dans le webmail, dans la colonne de gauche, section SÉCURITÉ, entrée Quarantaine. Ne libérez jamais un message que vous ne reconnaissez pas.

Vous avez saisi votre mot de passe sur une fausse page ?

Agissez tout de suite, avant que quelqu'un ne s'en serve.

1. Rendez-vous sur compte.ecomail.earth, page Sécurité, dans la colonne de gauche (sur un téléphone, tapez « sécurité » dans la barre de recherche en haut de l'écran). Restez sur l'onglet Connexion, ouvert par défaut : la carte Mot de passe est en tête de page. Choisissez un mot de passe long, que vous n'utilisez nulle part ailleurs.
2. Juste en dessous, la carte Double authentification permet de l'activer. Même volé, votre mot de passe ne suffira plus pour entrer.
3. Reportez le nouveau mot de passe dans vos logiciels de messagerie et sur vos téléphones, sinon ils ne relèveront plus vos mails.
4. Si ce mot de passe vous servait aussi sur d'autres sites, changez-le chez eux également.
5. Dans l'onglet Protection de la même page, la carte Vos appareils liste les appareils qui se sont connectés à votre boîte. Un appareil que vous ne reconnaissez pas confirme que quelqu'un a utilisé votre mot de passe.

Nous ne conservons aucune donnée bancaire : si vous n'avez saisi que votre mot de passe de messagerie, il n'y a rien à signaler à votre banque. Si vous avez saisi un numéro de carte, faites opposition sans attendre.

Comment l'escroc a-t-il trouvé mon adresse ?

Le plus souvent, votre adresse figure quelque part en public : page de contact d'un site, annuaire, réseau social, forum, ou dans la fuite de données d'un site où vous étiez inscrit. Ces envois sont massifs et automatiques : recevoir un phishing ne veut pas dire que votre boîte est piratée.