J’ai testé pour vous : se laisser piéger par du phishing

Vous pensiez tout savoir sur le phishing ? Que la connaissance vous protégerait du mal ? « On ne me la fait pas à moi, je suis une milléniale bien renseignée, OK ?! ». Bien, apprêtez-vous à tomber de votre chaise (de gaming), on peut encore tous et toutes se faire arnaquer sur le web : il suffit juste d’un instant d’inattention et d’un peu de flemme de votre part. Et malheureusement, quand temporalité rime avec efficacité, il est facile de rater les indices de la supercherie, pourtant si évidents (j’ai glissé, cheffe). Sans plus attendre, laissez-moi vous raconter comment mon honneur et mon égo de geek avisée ont pris une petite claque : je me suis faite avoir par du hameçonnage.

Lourd est le parpaing de la réalité sur la tartelette aux fraises de nos illusions.

Boulet

Avant-propos : dis, maman, c’est quoi du hameçonnage ?

Alors, ma très chère fille fictive, du hameçonnage en français correct francisé de la France, ou phishing, c’est, heu, c’est, heu, c’est heu, heu… L’œuvre de petites pourritures de raclure de bidet du net. Ce sont des arnaques qui ont pour modus operandi de se faire passer pour une personne morale ou physique dans laquelle tu as confiance. Oui, comme lorsque tu m’envoies des messages pour me dire que tu as perdu ton portable alors que tu n’existes pas. C’est un très bon exemple, bravo ! (Elle ira loin cette petite).

En faisant cela, les mauvaises personnes répugnantes derrière ont des objectifs variés comme te soutirer tes informations personnelles ou t’extorquer de l’argent. Et ce n’est probablement pas exhaustif : je ne suis pas à la place de ces lâches fonds de benne bien planqués derrière leur écran et de leur créativité illimitée pour imaginer comment ils pourraient encore mieux nous rouler dans la farine (vérolée de leurs viles déjections d’asticots écœurants). Quoi ? Si ça va ? Oui, je vais très bien, MERCI.

Étape 1 : setup du faux-pas

Tout a commencé un beau matin de février, alors que je buvais mon café. Première information du jour : O’noun avait posté un screenshot sur notre Discord. C’était un mail de notre hébergeur, réclamant un paiement de 5€99 afin de renouveler notre nom de domaine (dramalibre.fr). « Cela fait longtemps que nous avons ouvert le site », pensais-je, « c’est déjà le moment de repayer pour le nom de domaine ? ». « Hé bien, sûrement » me répondais-je, habituée des dialogues intérieurs passionnants comme celui-ci. « Je ferai ça tout à l’heure » me promettais-je, pour le plaisir d’utiliser encore une fois ce type d’inversion sujet/verbe complètement désuet et anachronique.

12h00 : alors que la pause déjeuner se faisait attendre, je décidais de régler cela rapidement avant d’aller m’alimenter (méthode approuvée charge mentale tranquille). J’ouvre l’e-mail, « Gnagnagna Hostinger, gnagnagna dramalibre.fr, gagnagna paye, dépêche toi ». « Bon, allez, je fais ça vite fait et on en parle plus », pensais-je (je vais devenir accro). Lisez-moi bien quand je dis cela, et je pèse mes mots : plus je relis ce texte et plus j’ai honte de m’être faite avoir.

Je clique donc sur le lien et je me retrouve sur une plateforme de paiement. Petit cadenas au niveau de la barre d’adresse bien présent, tout va bien. Je rentre les informations de ma carte bleue, et là, l’application de ma banque sur mon téléphone me demande de confirmer la transaction : 165.95 USD.

Étape 2 : action réaction

Ça commence par un bug interne : « ah, il doit y avoir une erreur » et « ça voudrait prendre une empreinte plus haute pour vérifier ma solvabilité ? » puis « j’avais mal compris le montant ? ». Quand soudain, l’évidence : « MAIS, MAIS, ÇA PUE CETTE HISTOIRE ?!? ». Branle-bas de combat : refus de la transaction, verrouillage temporaire de ma CB et investigation. On ne plaisante pas avec ces choses-là. Ah et au passage, captures d’écran et messages en majuscule à O’noun pour partager mon désarroi. Oui, oui, cela fait partie de la procédure officielle de panique, ayez confiance et laissez-faire les professionnelles. « COUCUO MAMAN J’AI BLOQU2 MA CB CONTACTE MOI SUR WHATSPAP STP ».

Nan, mais je vous jure, ça écrit des tutoriels sur comment gérer une suspicion de virus sur un ordinateur, ça parle de respiration, de calme, et quand ça vit vraiment une situation à gérer sans paniquer, il n’y a plus personne ! La suite, vous vous en doutez, aura été de vérifier mes soupçons sur google (oh que oui, c’est bien du phishing), relire le mail en long, en large et en travers pour y dénicher toutes les incohérences que j’aurais dû apercevoir avant… Et enfin, bien entendu, contacter ma banque pour leur demander de vérifier si aucune transaction n’était passée et bloquer définitivement ma carte, par prudence.

Bon maintenant qu’on a bien ri sur ma connerie, que doit-on retenir de cette situation pourrie qui a bien failli tourner au vinaigre ?

Étape 3 : analyse de ce qu’il faut faire (ou rappels à l’écervelée que je fus)

Alors quelles précautions prendre pour (essayer) de ne pas se faire arnaquer sur le web ? Prenons des notes, vous et moi.

• Premièrement, il faut toujours scruter un mail avant de se décider à payer quoi que ce soit, d’autant plus s’il est en anglais (on peut manquer les fautes d’orthographe et d’accord plus facilement). Adresse mail d’envoi, fautes de typographie… Et surtout, vous méfier comme de la peste de tout message vous mettant la pression pour faire quelque chose.
• Deuxièmement, il est fortement déconseillé de cliquer sur les liens dans les e-mails. Mieux vaut vous connecter sur votre compte client et payer la facture depuis ce dernier. Cela vous évitera de vous faire avoir 90% du temps. Mais ouais, il faut arrêter d’avoir la flemme. Ou mettre en place des virements automatiques dès que possible, ça libère l’esprit.
• Troisièmement, envisagez de souscrire à des cartes virtuelles à plafond auprès de votre banque pour éviter de vous faire arnaquer sur le web. Vous vous ferez peut-être avoir quand même mais cela vous évitera de mettre TOUT votre argent en danger. Et de devoir changer de CB ET de code de carte bleue que vous connaissiez pourtant par cœur depuis des années (chiaaaaaaant).

Encore plus que tout, faire gaffe à Brad Pitt, il est fourbe. Voilà, tout ça c’est en rapport avec mon histoire (sauf Brad Pitt, mais fallait bien que je le mentionne). Mais laissez-moi vous donner encore quelques autres conseils précieux dans la dernière partie.

Étape 4 : quelques derniers conseils de qualité pour éviter de se faire arnaquer sur le web

• Ne donnez jamais vos codes à un·e tiers, et encore moins par messagerie ou par téléphone. Vos mots de passe sont les biens les plus précieux de votre vie numérique. Protégez-les.
• En parlant de code secret, on ne le rappellera jamais assez : un compte = un mot de passe unique. Avec des majuscules, des minuscules, des chiffres et des caractères spéciaux. Et minimum 12 caractères. Vos navigateurs peuvent retenir vos codes d’accès les plus complexes et même vous en suggérer des aléatoires. Apprenez celui de votre boite mail de récupération par cœur. Tant que vous avez cela en tête, vous devriez toujours vous en sortir.
• Activez la double authentification dès que vous le pouvez. Code secret fuité ou non, elle vous protégera de bien des situations périlleuses. Par exemple, si je n’avais pas eu cela avec ma banque, j’étais bonne pour filer à ces crevures pratiquement deux semaines de courses alimentaires pour deux. Voilà, voilà.

Et tiens d’ailleurs, avant de conclure, avez-vous déjà vérifié si vos identifiants et mots de passe ont déjà été compromis par des piratages de base de données ? Allez faire un tour sur haveibeenpwned.com et rentrez votre adresse mail. Si cela ne vous convainc pas de la nécessité absolue d’un mot de passe unique par usage, je ne vois pas quoi faire de plus pour vous.

Hé oui, la vie est pleine de surprises. Parfois on manque cruellement d’estime de soi et parfois on se prend une belle baffe dans notre excès de confiance… En tout cas, retenez bien une chose : les occasions de se faire arnaquer sur le web ne manquent pas. Rappelons-nous donc de toujours garder prudence ! Et sinon, qui a trouvé les autres détails à repérer dans notre mail tout vérolé ? Et qui s’est déjà fait voler ses données ? Je veux tout savoir, alors à tout de suite dans les commentaires !

• La page gouvernementale sur le sujet pour encore plus de conseils
• Image de couverture : Ideogram + Canva
• Image de badge
• Autres images : screenshots personnels
• Gifs : Tenor gif pour la cité de la peur, giphy pour les autres

---