Vous avez cliqué sur un lien malveillant de phishing ? Voici comment éviter la catastrophe 

Vous recevez un message vous pressant de mettre à jour vos informations de paiement pour conserver votre abonnement Netflix. En cliquant sur le lien joint, vous arrivez sur une interface qui semble tout à fait authentique, imitant les codes graphiques de la plateforme de streaming. Sauf qu’il s’agit d’un leurre orchestré par des pirates pour vous nuire.  

Cette technique, nommée phishing (hameçonnage), fait des ravages dans nos vies numériques. Le lien frauduleux n’est autre qu’un hameçon lancé par les cybercriminels pour pêcher vos données sensibles ou pour infecter votre appareil. Dans ce guide, on vous explique comment repérer ces pièges à temps et comment réagir si vous avez mordu à l’hameçon. 

Mais la prévention reste la meilleure défense et des outils reconnus comme ceux développés par Surfshark aident à vous protéger efficacement contre ce type d’attaque. L’une des meilleures solutions est sans aucun doute d’installer une protection complète comme Surfshark One.

En effet, elle inclut plusieurs outils :

• Surfshark VPN : sécurise votre connexion en masquant votre adresse IP.
• Alternative ID : vous attribue une identité temporaire pour que vos données personnelles n’aient pas besoin d’être communiquées.
• Surfshark Alert : surveille vos données en ligne (cartes bancaires, pièces d’identité, mot de passe) et vous prévient dès qu’une fuite est détectée.
• Surfshark Search : supprime les traqueurs déposés par certaines publicités et efface vos traces numériques lorsque vous effectuez des recherches.
• Surfshark Antivirus : en plus de bloquer tous les logiciels malveillants, il analyse tous les liens en arrière-plan et les signale lorsqu’ils sont considérés comme suspects.

🤔 Comment reconnaître un lien de phishing ?

Boîte mail, WhatsApp, SMS… Les liens d’hameçonnage peuvent être envoyés sur tous les moyens de communication que vous avez à votre disposition. Les pirates se font passer pour des services authentiques (banques, France Travail, services de streaming, sites marchands, Assurance Maladie, réseaux sociaux, etc) pour mieux vous escroquer. Des astuces permettent heureusement de repérer le pot aux roses :  

• Le domaine de l’adresse de l’expéditeur est farfelu ou différent du domaine légitime du service annoncé. Par exemple : vous recevez soi-disant un courriel de La Poste émanant de l’adresse support@colissimo-delivery.net alors que le domaine légitime est @notif-colissimo-laposte.info.

• L’adresse du lien (que vous pouvez survoler sans cliquer) ne correspond pas au domaine légitime du service, les pirates utilisant souvent de petites variations trompeuses. Par exemple : securite-netflix.com au lieu de netflix.com

• Le message vous incite à agir urgemment. “Votre compte va être suspendu”, “paiement refusé”, “colis non livré”, “amende impayée”… Autant de formules qui suscitent la peur, poussant les internautes à cliquer sans réfléchir. 

• Les offres sont trop alléchantes pour être vraies. Lorsqu’on vous promet monts et merveilles, c’est qu’il y a souvent anguille sous roche. On se souvient notamment de ces fausse primes de la CAF promises dans des messages frauduleux.

• Les fautes d’orthographe, la syntaxe douteuse ou encore la mise en page maladroite peuvent également vous mettre sur la piste. Notez toutefois que les pirates utilisent désormais l’IA pour se corriger et rendre leurs arnaques plus crédibles.  

Pour vous donner une idée, voici un exemple de mail de phishing contenant un lien frauduleux :

⚠️ Que risquez-vous si vous cliquez sur un lien de phishing ?

• La perte d’accès à votre compte : si vous saisissez vos identifiants de connexion sur une page frauduleuse, vous risquez de perdre l’accès à votre compte. Le pirate pourra alors changer votre mot de passe pour vous barrer la route, consulter vos messages et fichiers sensibles pour les exploiter, réaliser des opérations frauduleuses ou encore tenter d’escroquer vos contacts.  

• Le vol de votre argent : les pirates peuvent imiter la page de connexion de votre banque pour intercepter vos coordonnées bancaires et vos codes d’accès. Ils peuvent aussi détourner vos informations de paiement en vous demandant de les mettre à jour pour rester soi-disant abonné à un service. Si vous vous exécutez, les malfrats auront tout loisir d’utiliser votre argent comme bon leur semble (achats en ligne, prélèvements récurrents, abonnements, virements, etc).

• Le piratage de votre appareil : les pirates utilisent aussi le phishing pour injecter du code malveillant sur votre appareil. Enregistreur de frappe, logiciel espion, rançongiciel, cheval de Troie…  La technique de l’hameçonnage sert souvent de canal de propagation de ces malwares qui peuvent faire de gros dégâts.

• L’usurpation de votre identité : les cybercriminels peuvent réaliser une kyrielle d’actes malveillants en votre nom en collectant vos nom, prénom, date de naissance, adresse e-mail, numéro de téléphone, des photos ou encore vos documents d’identité. A savoir notamment :  souscrire un crédit et ne pas le rembourser, créer des comptes sur les réseaux sociaux pour escroquer vos proches, mener une campagne de cyberharcèlement, obtenir des aides sociales, etc.

👀Que faire si vous avez cliqué sur un lien de phishing ?

Fermez la page ou l’application

Evidemment, l’idéal est de ne pas cliquer sur le lien frauduleux. Si vous l’avez tout de même ouvert, évitez à tout prix de saisir des informations dans le formulaire qui apparaît. Fermez immédiatement l’onglet de navigation ou l’application si vous êtes sur smartphone. En cas de résistance, vous pouvez forcer la fermeture de l’app :

Sur Android :

• Rendez-vous dans les Paramètres > Applications et notifications.
• Sélectionnez l’application visée (généralement votre navigateur comme Chrome).
• Appuyez sur Forcer l’arrêt.

Sur un iPhone avec Face ID :

• Balayez vers le haut depuis le bas de l’écran et arrêtez vous au milieu pour ouvrir le sélecteur d’applications.
• Identifiez l’app puis faites la glisser vers le haut pour la fermer complètement.

Sur un iPhone avec un bouton Home :

• Faites un double-clic sur le bouton Home pour lancer le sélecteur d’applications.
• Identifiez l’application puis glissez-la vers le haut pour la fermer.

Déconnectez-vous d’Internet

Couper la connexion Internet permet d’empêcher un logiciel malveillant d’envoyer ou de recevoir des données. Sur PC et Mac, il vous suffit de désactiver le WiFi en passant par la barre des tâches ou la barre de menu. Sur smartphone, passez en mode avion.

En exécutant cette action, vous pourrez empêcher le téléchargement complet des malwares – qui se diffusent souvent progressivement -, bloquer l’accès à leur serveur de commande et éviter la fuite de vos données personnelles.

Lancez une analyse complète

Il est vivement recommandé de procéder à une analyse approfondie des malwares sur votre appareil si vous avez cliqué sur un lien malveillant. Et ce même si vous n’avez saisi aucune information ou lancé de téléchargement d’un fichier suspect (certains malwares peuvent se télécharger automatiquement dès l’ouverture d’une page de phishing).

Surfshark Antivirus vous permet de mener une analyse poussée des entrailles de votre système d’exploitation, de repérer les menaces puis de les supprimer.

Changez vos mots de passe

Modifier vos mots de passe est impératif si vous craignez d’avoir été victime d’une campagne de phishing. Réalisez la procédure sur un autre appareil que celui que vous avez utilisé pour ouvrir le lien d’hameçonnage. Commencez par sécuriser votre adresse e-mail principale, puis privilégiez les comptes les plus sensibles, comme ceux de vos services bancaires. Voici quelques bonnes pratiques à adopter :

• Utiliser des mots de passe longs et complexes.
• Eviter les mots existants et les noms propres.
• Mélanger les majuscules, les minuscules, les chiffres et les caractères spéciaux.
• Configurer un mot de passe unique pour chaque site.
• Utiliser un gestionnaire de mots de passe efficace.
• Activer l’authentification à deux facteurs qui ajoute une étape de sécurité supplémentaire.
• Opter pour un identifiant alternatif grâce à votre compte Surfshark. Celui-ci vous dispensera de dévoiler votre identité et vos coordonnées lors de l’inscription à un service.

Sauvegardez vos fichiers

Une fois que l’antivirus a fait le ménage sur votre appareil, il est conseillé de sauvegarder vos fichiers importants en les transférant sur une clé USB ou un disque dur externe. Un bon moyen de les garder en sécurité dans l’éventualité de dommages différés causés par le malware.

Copiez uniquement vos fichiers personnels et non pas les programmes ou fichiers système qui risquent d’être compromis. Vous disposerez ainsi d’une sauvegarde saine à restaurer si une réinitialisation du système s’avère nécessaire.

Contactez les services compromis

Si vous avez cliqué sur un lien frauduleux ou communiqué des informations sensibles, contactez le service concerné sans plus tarder. Dans le cas d’un compte bancaire compromis, appelez votre conseiller sur sa ligne directe. Si des débits ont eu lieu, vous pourrez alors faire opposition, contester les opérations et obtenir potentiellement un remboursement. Cela vous permettra aussi de demander le changement de vos identifiants d’accès ou encore le blocage de votre carte bleue.

Signalez le danger

Avertissez vos proches, collègues et autres contacts. Les pirates pourraient tenter de leur nuire en se faisant passer pour vous. Il est aussi recommandé de signaler la campagne malveillante en utilisant les adresses officielles dédiées au phishing des services concernés :

• phishing@paypal.com
• reportascam@amazon.com
• reportphishing@apple.com
• phish@office365.microsoft.com
• phishing-report@google.com

Par ailleurs, la plateforme gouvernementale Signal Spam vous permet de signaler les messages suspects reçus sur votre boîte mail. Phishing Initiative permet de dénoncer les sites de phishing. Si vous avez été victime de phishing par SMS ou appel, vous pouvez aussi contacter le le 33 700.

Cet article a été rédigé en partenariat avec Surfshark.