Tout commence par un simple message

Lundi, 9 h 00. Vous recevez un message de Camille, de votre équipe : « Voici le document dont on parlait, peux-tu le consulter ? », avec un lien. Vous connaissez Camille, et vous attendiez justement ce document. Vous cliquez.

Une page s'ouvre : la page de connexion habituelle, même logo, mêmes couleurs. Vous tapez votre mot de passe, puis le code reçu sur votre téléphone, comme chaque matin. La page affiche « Chargement… », puis une erreur banale. Vous refermez en soupirant, et vous passez à autre chose.

À 9 h 05, un inconnu ouvre votre messagerie depuis un autre ordinateur, sans rien vous demander : ni mot de passe, ni code. Il lit vos messages, puis envoie en votre nom, à tous vos contacts, le même message que celui de Camille, avec le même lien. Vos collègues le reçoivent : il vient de vous, ils vous connaissent, certains cliquent à leur tour. Camille, de son côté, s'était fait piéger de la même façon la veille : le message est parti à son insu.

Ce qui s'est passé entre 9 h 00 et 9 h 05

La page de connexion était une fausse page, installée par l'attaquant. Elle a transmis aussitôt votre mot de passe, puis votre code de sécurité, au vrai site. Convaincu de parler à vous, le vrai site a remis à la fausse page un « jeton de session » : une petite information, invisible pour vous, qui signifie « cette personne est déjà vérifiée » et évite de retaper mot de passe et code à chaque clic.

Avec ce jeton, l'attaquant entre quand il veut et usurpe votre identité, sans rien redemander. Le code de sécurité n'a pas protégé : c'est vous qui l'avez donné, au bon moment, à la fausse page.

Les risques, sans les minimiser ni les dramatiser

Une fois dans votre messagerie, l'attaquant a les mêmes droits que vous. Il peut en particulier :

• lire vos messages et vos fichiers ;
• envoyer des messages en votre nom, avec de nouveaux liens piégés : le piège se propage de proche en proche ;
• tenter de détourner de l'argent : fausse facture, changement de coordonnées bancaires, demande de virement ;
• exposer des données de tiers (adhérents, salariés, clients), ce qui peut entraîner des obligations légales de signalement.

Ce n'est pas pour autant la fin du monde : repérée vite, l'attaque reste en général limitée. Plus elle dure, plus les dégâts s'étendent. Changer le mot de passe ne suffit pas toujours à mettre l'attaquant dehors : il faut aussi fermer les connexions déjà ouvertes, ce qui est le travail de votre support informatique. C'est pourquoi prévenir vite compte plus que tout.

Les signaux qui doivent vous alerter

Aucun signal n'est certain, mais plusieurs ensemble doivent vous faire lever le pied :

• Un message que vous n'attendiez pas, même d'une personne que vous connaissez : son compte a peut-être été compromis.
• Une urgence ou une menace : « sous 24 heures », « compte suspendu », « dernier rappel ».
• Un document, une facture ou un message vocal « à consulter », qui arrive sans raison.
• Une demande de vous reconnecter alors que vous êtes déjà connecté, ou juste pour ouvrir un document.
• Une adresse de site inhabituelle, dans la ligne tout en haut de la fenêtre où s'écrit l'adresse.

Deux idées reçues ne tiennent plus :

Les fautes d'orthographe dans les mails ne sont plus un indice fiable : l'intelligence artificielle rédige aujourd'hui sans aucune faute, et des données issues de fuites (noms, adresses, organisations) permettent d'adapter chaque message à son destinataire.

Et l'adresse d'un faux site peut être presque identique à la vraie :

La fausse adresse cumule deux pièges. Un zéro (0) remplace la lettre o. Et un tiret remplace le point avant « gouv » : « imp0ts-gouv.fr » n'est plus le site de l'État, c'est un nom ordinaire que n'importe qui peut enregistrer.

C'est pourquoi la protection ne repose pas sur le flair de chacun, mais sur une règle simple, qui marche même quand on ne voit rien d'anormal.

La règle simple : ne jamais cliquer sur un lien reçu

Un lien reçu ne sert jamais à se connecter. Ni dans un courriel, ni dans un SMS, ni dans une messagerie, même si l'expéditeur est un collègue ou un proche.

Le principe est celui du courrier papier : si on vous écrit « votre banque vous convoque », vous n'allez pas à l'adresse indiquée dans la lettre, vous allez à l'agence que vous connaissez déjà. 

Concrètement :

1. Vous attendez un document, une facture, un message ? Ouvrez vous-même votre messagerie ou l'application que vous utilisez d'habitude, par l'icône ou le raccourci que vous connaissez, et cherchez le document. S'il est réel, il y sera.
2. Vous ne trouvez rien, ou vous avez un doute ? Téléphonez à la personne, avec un numéro que vous avez déjà, pas celui du message.
3. Une page vous demande votre mot de passe sans que vous ayez rien demandé ? Ne tapez rien et fermez la page.

Cette règle coûte quelques secondes. En contrepartie, elle supprime le piège : sans clic sur le lien, il n'y a pas de fausse page.

À retenir

1. Une fausse page peut être identique à la vraie : on ne peut pas toujours la repérer à l'œil.
2. Le code de sécurité donné à une fausse page est transmis au vrai site : il ne protège plus.
3. Un lien reçu ne sert jamais à se connecter : j'ouvre moi-même mon site ou mon application habituelle.
4. Si j'ai déjà cliqué ou saisi quelque chose, je préviens tout de suite la personne chargée de l'informatique. Ce n'est pas une faute à cacher : la rapidité limite les dégâts.