Qu'est-ce que le phishing et comment s'en protéger ?
La plupart d'entre nous recevons chaque jour des dizaines d'e-mails, de SMS et de notifications. Si bon nombre d'entre eux sont légitimes, certains sont conçus dans un but bien plus néfaste : voler vos informations personnelles.
Le phishing est l'un des types de fraude en ligne les plus courants. Il se produit lorsque des escrocs se font passer pour une organisation, une entreprise ou une personne de confiance afin de vous inciter à leur communiquer des informations sensibles telles que des mots de passe, des coordonnées bancaires ou des numéros de carte de crédit.
Ces escroqueries sont de plus en plus sophistiquées, ce qui les rend plus difficiles à repérer que jamais.
Selon le Baromètre financier de Fig, 68 % des Canadiens se disent préoccupés par la fraude financière lorsqu’ils utilisent des services financiers en ligne ou numériques. Alors que de plus en plus de Canadiens gèrent leurs finances en ligne, comprendre comment fonctionne le phishing est essentiel pour se protéger.
Qu’est-ce que le phishing ?
Le phishing est un type d’escroquerie dans lequel des fraudeurs utilisent de fausses communications pour inciter les gens à révéler des informations personnelles ou financières.
Ces messages semblent souvent provenir de sources fiables telles que :
Les banques et les émetteurs de cartes de crédit
Les organismes gouvernementaux
Les entreprises de livraison
Les détaillants en ligne
Les fournisseurs de technologies
Les employeurs
L'objectif est généralement de vous inciter à cliquer sur un lien, à ouvrir une pièce jointe, à télécharger un logiciel ou à saisir des informations sensibles sur un faux site web.
À première vue, les messages de phishing peuvent sembler légitimes. Ils peuvent inclure des logos d'entreprise, des marques connues et même des adresses e-mail ou des identifiants d'appelants d'apparence réaliste.
Comment fonctionne le phishing ?
La plupart des tentatives de phishing suivent un schéma similaire.
Contact : l'escroc vous contacte par e-mail, SMS, appel téléphonique, réseaux sociaux ou applications de messagerie.
Pression : le message crée un sentiment d'urgence en prétendant qu'il y a un problème ou que le temps presse.
Action : vous êtes incité à cliquer sur un lien, à ouvrir un fichier, à scanner un code QR ou à partager des informations.
Capture : l'escroc recueille vos identifiants de connexion, vos codes de vérification, vos informations de paiement ou installe un logiciel malveillant.
Les messages de phishing prétendent souvent :
Votre compte a été piraté
Un paiement a échoué
Un colis n'a pas pu être livré
Une activité suspecte a été détectée
Une action immédiate est requise
Types courants d'escroqueries par phishing
Hameçonnage par e-mail
Il s'agit de la forme la plus courante d'hameçonnage. Les escrocs envoient des e-mails qui semblent provenir d'organisations légitimes et vous incitent à cliquer sur un lien ou à télécharger une pièce jointe.
Hameçonnage par SMS (smishing)
Ces escroqueries arrivent par SMS et prétendent souvent qu'il y a un problème avec la livraison d'un colis, un compte bancaire ou une commande en ligne.
Hameçonnage par téléphone (vishing)
Les fraudeurs appellent en se faisant passer pour une banque, une agence gouvernementale ou une entreprise technologique et demandent des informations personnelles par téléphone.
Hameçonnage ciblé (spear phishing)
Contrairement aux campagnes d'hameçonnage de masse, l'hameçonnage ciblé vise des personnes spécifiques en utilisant des informations recueillies sur les réseaux sociaux, dans les registres publics ou lors de précédentes fuites de données. Comme le message semble personnel, il peut être plus difficile à repérer.
Hameçonnage par clonage
Dans le cadre de l'hameçonnage par clonage, un escroc copie un e-mail légitime (par exemple, une notification de livraison ou une facture) et remplace le lien ou la pièce jointe par un élément malveillant.
Hameçonnage par code QR (quishing)
Certaines escroqueries utilisent des codes QR dans des e-mails, des affiches ou des courriers pour vous rediriger vers un faux site web. Comme il est difficile de voir l'URL qui se cache derrière un code QR, il est plus facile d'être détourné.
Signes avant-coureurs à surveiller
Bien que les escroqueries par hameçonnage continuent d'évoluer, beaucoup présentent encore des signaux d'alerte communs. Soyez vigilant si un message :
Crée un sentiment d'urgence, de peur ou de panique
Demande des mots de passe, des codes PIN ou des codes de vérification
Contient des liens, des codes QR ou des pièces jointes inattendus
Provient d'un expéditeur inconnu ou d'un domaine similaire
Utilise des formules de politesse génériques (par exemple, « Cher client »)
Contient des fautes d'orthographe, de mise en page ou de grammaire
Vous demande de « confirmer » des informations personnelles ou financières
Si quelque chose vous semble inhabituel, cela vaut la peine de prendre quelques minutes supplémentaires pour vérifier la demande.
Comment le phishing peut-il vous affecter ?
Une attaque de phishing réussie peut avoir de graves conséquences. Les victimes peuvent subir :
Des pertes financières
Une usurpation d'identité
Un accès non autorisé à leur compte
Une fraude à la carte de crédit
La perte d'informations personnelles
Dans certains cas, se remettre d'une usurpation d'identité ou d'une compromission de compte peut prendre des mois et nécessiter des efforts considérables.
Comment se protéger contre le phishing
La bonne nouvelle, c'est que quelques habitudes simples peuvent réduire considérablement les risques.
Vérifiez avant de cliquer
Si vous recevez un message inattendu, évitez de cliquer immédiatement sur les liens. Rendez-vous plutôt directement sur le site web de l'organisation en saisissant l'adresse dans votre navigateur, ou utilisez l'application officielle.
Vérifiez attentivement l'expéditeur
Examinez attentivement les adresses e-mail, les domaines et les noms d'utilisateur. Les escrocs utilisent souvent de légères modifications (par exemple, des lettres supplémentaires ou des caractères intervertis) pour imiter des expéditeurs légitimes.
Utilisez des mots de passe forts et uniques
Créez des mots de passe uniques pour vos comptes importants et évitez de réutiliser le même mot de passe sur plusieurs plateformes. Un gestionnaire de mots de passe peut vous aider.
Activez l'authentification à deux facteurs
L'authentification à deux facteurs ajoute une couche de sécurité supplémentaire en exigeant une deuxième étape de vérification lors de la connexion.
Le Baromètre financier de Fig a révélé que de nombreux Canadiens utilisent l'authentification à deux facteurs comme l'un de leurs principaux outils pour se protéger contre la fraude financière.
Méfiez-vous des demandes urgentes
Les fraudeurs misent souvent sur la peur et l'urgence pour inciter à prendre des décisions rapides. Prendre un moment pour faire une pause et vérifier les informations peut aider à éviter des erreurs coûteuses.
Maintenez vos appareils à jour
Activez les mises à jour automatiques pour votre téléphone, votre ordinateur, votre navigateur et vos applications. Les mises à jour de sécurité vous protègent contre les vulnérabilités connues que les fraudeurs pourraient exploiter.
Surveillez vos comptes
Vérifiez régulièrement vos relevés bancaires et de carte de crédit afin de détecter toute activité inhabituelle et signalez immédiatement toute transaction suspecte.
Que faire si vous pensez avoir été victime d'une tentative d'hameçonnage ?
Si vous pensez avoir cliqué sur un lien d'hameçonnage, téléchargé une pièce jointe ou partagé des informations avec un escroc :
Changez immédiatement vos mots de passe (commencez par ceux de votre messagerie électronique et de vos comptes bancaires). Si vous réutilisez des mots de passe, modifiez-les également pour ces comptes.
Activez ou mettez à jour l’authentification à deux facteurs et ne communiquez jamais vos codes de vérification à qui que ce soit.
Contactez votre institution financière si vous avez communiqué des informations bancaires, envoyé de l’argent ou si vous soupçonnez des transactions non autorisées.
Surveillez vos comptes pour détecter toute activité suspecte et envisagez de vérifier votre dossier de crédit si des informations sensibles ont été exposées.
Signalez l’incident au Centre canadien de lutte contre la fraude.
Plus vous agissez rapidement, plus vous avez de chances de limiter les dommages potentiels.
Conclusion
Les escroqueries par hameçonnage sont conçues pour paraître dignes de confiance, ce qui explique leur efficacité. Que le message semble provenir de votre banque, d’une entreprise de livraison ou d’un organisme gouvernemental, prendre le temps de vérifier avant de cliquer peut vous aider à protéger vos informations personnelles et vos finances.
Une habitude simple — faire une pause, vérifier, puis agir — peut grandement contribuer à la sécurité de vos comptes et de vos informations.
FAQ
Question : Quels sont les types d’hameçonnage les plus courants ?
Réponse courte : Parmi les types courants, on trouve le phishing par e-mail, le phishing par SMS (smishing), le phishing par téléphone (vishing), le spear phishing (ciblé), le clone phishing (messages copiés contenant des liens malveillants) et le phishing par code QR (quishing).
Question : Comment savoir si un message est un hameçonnage ?
Réponse courte : Soyez attentif aux messages urgents, aux liens ou pièces jointes inattendus, aux demandes de mots de passe ou de codes de vérification, aux expéditeurs inconnus ou aux domaines ressemblants, ainsi qu’aux messages vous poussant à agir immédiatement sans vérifier.
Question : Que dois-je faire si j’ai cliqué sur un lien d’hameçonnage ?
Réponse courte : Changez immédiatement vos mots de passe (en commençant par ceux de votre messagerie), activez l'authentification à deux facteurs, contactez votre institution financière si nécessaire, surveillez vos comptes pour détecter toute activité suspecte et signalez l'incident au Centre canadien de lutte contre la fraude.
Question : Quelles informations ne doivent jamais être communiquées par e-mail ?
Réponse courte :
Ne communiquez jamais :
Mots de passe
Codes d'authentification multifactorielle (MFA)
Informations bancaires
Numéros d'assurance sociale
Informations sensibles sur l'entreprise, sauf si elles ont été approuvées et cryptées
DISCLAIMER: Ce guide est fourni à titre informatif uniquement et ne constitue pas un avis juridique ou financier.
