Dans cet article, nous allons parler d’emails frauduleux. L’objectif est de décrire les différentes menaces existantes, d’expliquer en quoi c’est dangereux, et de vous donner des astuces qui vont vous permettre de les repérer plus facilement. Des exemples concrets sont présentés en fin d’article.

Conseil avant de rentrer dans le détail : Si vous deviez retenir une seule chose, ça serait celle-ci : Si vous avez le moindre doute, abstenez-vous !

Les arnaques par emails peuvent prendre de nombreuses formes. Nous allons en décrire quelques unes dans cet article.

Les malwares

Cette catégories va regrouper de nombreux types de logiciels malveillants (Virus, Cheval de Troie, Ransomware, etc.)

Quel est l’objectif de ce type d’attaque :

• Pour les Virus, l’objectif est d’endommager votre système d’exploitation, de le ralentir, où d’y installer des logiciels malveillants.
• Un cheval de Troie aura pour objectif de donner un accès non autorisé à votre ordinateur. Un pirate pourrait y accéder à distance et récupérer vos données, vous espionner ou utiliser votre ordinateur pour des actions malveillantes (attaque par déni de service par exemple).
• Concernant le Ransomware, il va crypter vos données pour les rendre indisponibles. L’objectif sera de vous demander de payer une somme (une rançon) pour vous redonner l’accès.

Comment les repérer :

Généralement, ce type d’attaque commence par la réception d’un email vous incitant à télécharger ou exécuter un fichier, ou à consulter un document. C’est ce fichier ou document qui sera compromis et qui infectera votre ordinateur. Dans la majorité des cas, vous recevez ce mail alors que vous n’attendez absolument rien.

Quelques exemples : 

• Vous recevez un email qui indique que vous avez une facture impayée. La facture en question est en pièce jointe. Sauf que vous n’êtes pas en relation avec cette entreprise.
• Vous recevez un email vous incitant à regarder quelque chose, qui est en pièce jointe. sauf que vous ne connaissez pas la personne qui vous l’envoie.

Comment s’en protéger :

Ce type d’attaque est assez grossier. Vous recevez quelque chose par email alors que vous n’avez rien demandé.  Généralement, votre antivirus bloquera le fichier vérolé dès la réception. Veillez à avoir un antivirus à jour sur votre ordinateur.

Recommandations :

Un antivirus n’étant pas à 100% infaillible, il suffit de ne pas exécuter les programmes ou de consulter des fichiers qui ne proviennent pas de sources de confiance.

Le Phishing (hameçonnage)

Quel est l’objectif de ce type d’attaque :

L’objectif est de récupérer vos données personnelles (identité, coordonnées bancaires, accès à des sites internet, etc.)  afin de les réutiliser frauduleusement.

Comment les repérer : 

Ce type d’attaque est plus ou moins compliqué à repérer. Généralement, cela commence par la réception d’un email ou d’un SMS qui semble provenir d’une entreprise ou entité que vous connaissez. Vous êtes ensuite redirigé vers un site internet qui, comme le mail ou le sms, semble appartenir à l’entreprise que vous connaissez.

Sauf que tout est faux, le mail, le sms et le site internet n’ont rien à voir avec l’entreprise ni avec son site officiel, c’est une copie plus ou moins réussie qui n’a qu’un but : vous inciter à communiquer des données personnelles.

Pourquoi c’est dangereux :

Vous venez de vous connecter à un site internet alors qu’il est faux. La personne malveillante qui se cache derrière ce faux site vient de récupérer l’identifiant et le mot de passe permettant d’accéder au vrai site.

• Faux site de l’assurance maladie : Accès à des données personnelles et données de santé, faire des demandes de remboursement frauduleuse
• Faux site de votre banque : Récupérer des informations bancaires et les utiliser pour faire des achats, voler l’argent sur vos comptes.
• Faux sites marchands : Récupérer vos coordonnées bancaires, faire des commandes non souhaitées.
• Faux fournisseur de messagerie : Accéder à vos mails pour récupérer vos données et envoyer des mails en se faisant passer pour vous.

Tous les accès récupérés vont évidemment être testée sur pleins d’autres sites. Si vous utilisez le même mot de passe sur plusieurs sites, ils sont désormais vulnérables.

Comment les repérer et s’en protéger :

Par la passé, nous aurions pu vous dire de prendre garde aux fautes d’orthographes et à la mise en page des emails mais ce n’est plus évident aujourd’hui. Ces mails sont de plus en plus perfectionnés et ressemble à s’y méprendre à des vrais.

Quelques astuces pour les repérer : 

Vous recevez un mail d’un site que vous ne connaissez pas, ou d’une entreprise dans laquelle vous n’êtes pas client : Ne perdez pas votre temps, vous pouvez le mettre directement à la poubelle.

Vous recevez un email d’une société chez qui vous êtes client, mais vous n’avez rien fait de particulier, vous n’avez pas d’action ou de commande en cours. Généralement, on va vous demander de réaliser quelque chose en urgence car il y a un gros problème. En fait, il n’en est rien, le caractère d’urgence est juste là pour vous empêcher de réfléchir et de détecter la supercherie.

Il faut analyser le mail.

• Vérifiez son expéditeur, si le mail vient bien du domaine officiel de l’entreprise.
• Vérifiez les liens dans le mail sans cliquer dessus (généralement, si on passe le curseur de la souris sur le lien, on voit vers quoi il pointe).

Et si tout paraît vrai, ne cliquez sur rien. Rendez-vous par vous même depuis votre navigateur internet sur le site ou sur l’espace client concerné et vérifiez par vous même si la demande est vraie.

Le spam (courrier indésirable / pourriel)

Il s’agit d’un email publicitaire non sollicité.

Quel est l’objectif de ce type de mail : Vous appâter avec des promotions ou des cadeaux, vous faire acheter des produits, ou vous faire souscrire à des abonnements ou à des services.

Le problème est qu’on est pas dans le cas d’une entreprise dans laquelle vous êtes client et pour laquelle vous avez autorisé les communications ou le démarchage. Dans le cas du spam, vous n’avez rien demandé. 

Pourquoi c’est dangereux :

A part encombrer votre boite mail et vous faire perdre du temps, le spam en tant que tel n’est pas dangereux, il est juste dérangeant. Malheureusement, il est souvent combiné à d’autres attaques que nous venons de voir dans cet article. En effet, si vous achetez réellement un produit ou un service via ce type de site, rien ne vous garantit que vos données ne seront pas réutilisées sans votre consentent (achat frauduleux, abonnement non sollicité).

Comment s’en protéger : 

• N’achetez jamais rien à une entreprise qui vous envoie de la publicité non désirée.
• Jetez ces publicités non sollicitées à la poubelle.
• Activez l’antispam de votre boite mail lorsque c’est possible. Comme ça vous pourrez les jeter sans même devoir consulter le contenu.

Quelques exemples concrets de mails frauduleux

Vous trouverez ci-dessous deux mails que j’ai reçu personnellement. Ce sont deux tentatives de fraude plus ou moins reussies. Pour chaque exemple, vous disposerez du mail original, puis du même mail avec une mise en avant des éléments qui peuvent vous aider à détecter la fraude.

Exemple 1 : 

Ce premier exemple est un spam. L’expéditeur se fait passer pour une marque connue, il vous fait croire que vous avez gagné quelque chose, mais pour avoir votre cadeau, il y a une petite contrepartie : Répondre à un questionnaire.

Quels sont les éléments de ce mail qui doivent vous alerter et qui indiquent qu’il s’agit d’une arnaque :

• L’expéditeur : Il n’a rien à voir avec la marque. A ce stade, le mail devrait déjà partir à la poubelle, mais continuons l’analyse.
• Fautes d’orthographe.
• Phrase mal construite ou avec des problèmes de sens.
• Phrase sans rapport avec le contexte.
• Le mail insiste sur l’urgence, le fait qu’il faut se dépêcher car les stocks sont très limités. En réalité, l’objectif est que vous ne preniez pas le temps de réfléchir.
• On vous propose un super cadeau (6 mois de lavages gratuits contre deux minutes de questions, est-ce vraiment réaliste ?)
• On vous fait un cadeau, vous avez gagné quelque chose, mais il y a une contrepartie (donc il ne s’agit pas d’un cadeau).
• Tous les liens pointent vers un site qui n’a rien à voir avec la marque.

Si vous répondez à ce questionnaire, vous ne gagnerez probablement rien. Par contre, il est quasiment certain que le questionnaire vous demandera des informations personnelles qui pourront être utilisées.

Exemple 2 : 

Ce deuxième exemple correspond à une tentative de phishing (hameçonnage). L’expéditeur se fait passer pour votre banque.

Quels sont les éléments de ce mail qui doivent vous alerter et qui indiquent qu’il s’agit d’une arnaque :

• Êtes-vous client de la banque ? Si vous n’êtes pas client de cette banque, le mail peut partir directement à la poubelle. Mais certains d’entres-vous seront clients, donc continuons l’analyse.
• L’expéditeur : Le domaine de l’expéditeur n’est pas celui de la banque.
• Le mail de réception : J’ai reçu ce mail sur une boite email que je n’utilise pas pour recevoir ce type de message.
• La mise en page du mail : Il y a une erreur de format de logo.
• Le mail insiste sur l’urgence. Le délai qui vous ai donné est de moins de 1 jour. L’idée est de vous inviter à faire ça dans l’urgence sans réfléchir.
• Les liens ne pointent pas vers le site officiel de la banque.

Les deux exemples décrits ci-dessus sont des arnaques assez grossières et faciles à repérer. Mais il arrive parfois que cela soit beaucoup plus subtil à détecter. Quelques recommandations pour ne (presque) jamais se faire avoir (notez le « presque » car le risque zéro n’existe pas) :

• Ne cédez jamais à l’urgence. Tout est fait pour que vous agissiez dans l’urgence, sans réfléchir.
  Au contraire, réfléchissez bien et posez-vous les bonnes questions. Êtes-vous client de cette entreprise ? Est-ce mon interlocuteur habituel ? Le canal de communication est-il le même que d’habitude ? Cette promotion super intéressante est-elle vraiment réaliste ? N’est-ce pas trop beau pour être vrai ? Pourquoi on me contacte alors que je n’ai rien demandé ?
• Et si malgré tout, vous avez un petit doute sur le fait que cette demande soit légitime, alors dans ce cas, il y a une astuce imparable. NE CLIQUEZ PAS sur les liens du mail. Rendez-vous sur l’espace client comme vous le faite habituellement (via l’url officielle ou depuis vos favoris internet). Si vous avez une demande en attente ou une action à réaliser, vous la retrouverez là-bas. Et en dernier recours, vous pouvez contacter l’entreprise depuis votre espace client pour vérifier.