Le livre blanc de la cybersécurité
Chapitre 5

Comment reconnaître et déjouer les courriels frauduleux?

Savez-vous reconnaître un courriel frauduleux? En êtes-vous CERTAIN.E??

Vous pensez sûrement qu’un bon indicateur est toujours lorsqu’il se retrouve dans votre boîte de pourriels. Ou peut-être que vous n’êtes pas dupé.e lorsque le riche héritier d’un lointain pays vous demande un coup de main en échange du dépôt d’une somme impressionnante dans votre compte bancaire.

Certains types d’arnaques sont effectivement bien faciles à identifier. D’autre fois, il arrive que des courriels d’apparence moins louche se faufilent dans votre boîte principale. C’est là que les vrais défis commencent. 

Une chance, il y a de nombreuses manières de reconnaître les courriels frauduleux et d’en éviter les effets néfastes.


Quels sont les risques?

Un courriel frauduleux peut avoir de nombreuses fonctions et avoir un lien avec différentes attaques. Les trois principaux sont :

  1. l’hameçonnage et autres escroqueries (phishing et scams) : dans ces courriels, une personne cherche à vous amener à divulguer des informations personnelles (phrase de passe…);
  2. les courriels de Troie : ceux-ci vous incitent à télécharger un programme malveillant caché dans des liens ou des pièces jointes;
  3. les pourriels : ce sont des courriels non désirés souvent de nature commerciale.

Si vous voulez en savoir plus sur ces différentes attaques, vous pouvez consulter ce lien (seulement en anglais).

Dans chacune de ces trois attaques, les malfaiteur.trice.s essaieront généralement de créer un contexte d’urgence, de danger ou d’enthousiasme « FÉLICITATIONS!!! Vous avez gagné une croisière gratuite!!! » qui amène la cible à ne pas appliquer « le gros bon sens » requis dans la situation. 

Voici un conseil : respirez profondément, prenez le temps d’analyser le courriel et surtout, consultez la prochaine section! Vous n’avez probablement pas gagné de croisière gratuite…

Ouvrir un courriel sans risque

Il est généralement sécuritaire d’ouvrir un courriel pour en analyser le contenu. La seule précaution nécessaire est de ne jamais cliquer sur un lien ni d’ouvrir un fichier joint. 

Il est tout à fait correct de lire le contenu texte du courriel. 

D’analyser l’adresse de l’expéditeur. 

Mais, en cas de doute (même si c’est un tout petit doute), on ne clique jamais sur rien!

Vérifier l’origine du message

La première étape est de vérifier l’origine du message. Connaissez-vous l’adresse de l’expéditeur.trice? Son nom et son adresse courriel sont-ils orthographiés correctement? Par exemple, un courriel provenant de « Aple » ou « Amazone » risque (très, très, très) fortement d’être frauduleux. 

Analyser l’adresse courriel

Ensuite, observez attentivement l’adresse courriel elle-même. Il est toujours possible de faire afficher les détails de l’expéditeur.trice. Si cette adresse ne ressemble pas à service@apple.com, mais plutôt à damekjptxmpsprokop@hislult.com, il se peut (fort probablement) que ce soit un courriel frauduleux. 

Attention, des courriels avec de vraies adresses peuvent également être frauduleux. Certaines adresses peuvent changer un simple caractère pour rendre l’illusion plus crédible. Des cas ont également été répertoriés où les courriels frauduleux étaient envoyés depuis une adresse réelle qui avait été piratée.

Pas de clic, Pas d’ouverture de pièce jointe

Si avez un doute quant à l’adresse ou quant au contenu d’un courriel, la première chose à faire est de ne cliquer sur rien et n’ouvrir aucune pièce jointe. On le répète : les attaquant.e.s tenteront fréquemment de créer une situation d’urgence afin que vous laissiez de côté toutes vos connaissances et vos bonnes pratiques. Toute situation, même la plus urgente, peut attendre quelques dizaines de minutes.

Valider via un autre canal de communication

Si l’adresse courriel vous semble valide, faites une recherche Google avec l’adresse URL fournie (sans cliquer sur aucun lien, si on vous demande de modifier un mot de passe, par exemple) afin de valider la légitimité du site Web par vous-même. S’il s’agit d’un site malveillant connu, il sera probablement documenté par des expert.e.s.

Gardez toute information personnelle (accès, phrases de passe, NIP, numéro de compte bancaire) pour vous, en tout temps. Si le courriel provient vraisemblablement d’une personne que vous connaissez, prenez le temps de contacter cette personne via un autre canal de communication pour vous assurer de la légitimité du message.

Pour aller plus loin : formez votre équipe!

Différents outils sont disponibles pour vous former adéquatement à reconnaître les messages frauduleux. Vous les retrouverez ici

Nous vous recommandons également ce petit jeu sympa si vous désirez approfondir vos connaissances avec un minimum de lecture (seulement en anglais) tout en révisant certaines notions liées aux mots de passe et au codage (si vous vous sentez une âme de programmeur.euse!).


Récapitulatif

  • Ne pas ouvrir de liens ni de pièces jointes dans des courriels douteux;
  • Vérifier les informations de l’expéditeur;
  • Si un message (courriel ou texto, etc.) suspicieux provient d’un.e expéditeur.trice légitime, validez avec lui/elle via un autre canal de communication (et profitez-en pour lui demander d’envoyer des messages moins louches);
  • Gardez toutes vos informations personnelles pour vous – et loin de tout message courriel!;
  • Suivez une formation afin de pouvoir mieux reconnaître les pourriels.

Liens utiles

Chapitre 6 Travailler avec son appareil personnel Tous les chapitres