Cybercriminalité : les bonnes pratiques pour déjouer les pièges des hackers

Les chiffres du piratage ont de quoi donner le tournis : 24 milliards de mots de passe ont été dérobés depuis 2016 (2). Il faut seulement 3 minutes à un hacker pour pirater un objet connecté (3). La plateforme d’aide aux victimes cybermalveillance.gouv.fr a enregistré près de 280 000 demandes d’assistance en 2022, soit 61 % de plus qu’en 2021(4) … 
 
À chaque fois, l’objectif principal des pirates est de voler des informations personnelles (données bancaires, identifiants de connexion, numéro de sécurité sociale...) dans le but de les exploiter pour leur propre compte ou, pire, de les revendre sur le marché noir. Afin de parvenir à leurs fins, ils utilisent principalement quatre techniques :

1. Le phishing
2. L’attaque par rançongicie
3. L’attaque en déni de service
4. L’attaque par défiguration
    

Le phishing, ou hameçonnage, a pour but de récupérer des informations sensibles (mots de passe, codes d'accès, numéros de cartes de crédit, etc.) auprès d'internautes par le biais d'un mail ou d’un SMS semblant provenir d'un tiers de confiance comme une administration, une banque, un assureur, un opérateur téléphonique, un fournisseur d’énergie, etc.

Dans la majorité des cas, le message envoyé par les pirates invite son destinataire à ouvrir une pièce jointe infectée d’un virus ou à cliquer sur un lien, en prétextant par exemple une intervention du support technique. Ce lien le renverra sur une page web factice, copie conforme du site original. Là, il lui sera demandé de remplir un formulaire renseignant ses identifiants, mots de passe et autres informations personnelles et bancaires. Une fois ces données collectées, les pirates s’empresseront d’en faire un usage frauduleux : piratage de compte, usurpation d’identité, fraude bancaire, etc. 

Comment vous protéger contre le phishing ?

• Si un mail vous semble douteux, une seule consigne : ne cliquez surtout pas sur les pièces jointes ou sur les liens qu’il contient. Vous pouvez passer votre souris sur le lien (sans cliquer) pour voir si l’adresse vers laquelle il renvoie vous semble vraisemblable ;
• Vérifiez l’adresse e-mail de l’expéditeur, en particulier si elle ne fait pas partie de vos contacts ;
• Si vous réglez un achat en ligne et que vous devez donc fournir des informations relatives à votre carte bancaire, vérifiez bien que le site web sur lequel vous le faites est sécurisé. Pour en avoir le cœur net, une seule alternative : son adresse doit commencer par « https » ;
• Enfin, ne communiquez jamais d'informations confidentielles par mail ou par téléphone. Aucun site web ou opérateur fiable ne vous le demandera.

De manière générale, si le mail que vous venez de recevoir contient des fautes d’orthographe et/ou de ponctuation, un mélange de mots anglais et français ou encore des menaces sous-jacentes (« sans réponse de votre part, nous serons dans l’obligation de supprimer votre compte ») ou des promesses (« cliquez ici pour obtenir un remboursement de X euros »), n’y accordez aucun crédit.
 

Un « rançongiciel » (ransomware en anglais) est un programme malveillant conçu par des pirates informatiques et envoyé par mail. S’il est ouvert par le destinataire, il provoquera le chiffrement de tous les fichiers de son ordinateur. Pour récupérer l’accès à son matériel, la victime devra payer une rançon, le plus souvent en crypto-monnaie (bitcoin), impossible à tracer. 

Comment vous protéger contre une attaque par rançongiciel ?

• Si un mail vous semble douteux, une seule consigne : ne cliquez surtout pas sur les pièces jointes ou sur les liens qu’il contient ;
• Même si le mail vous semble « sérieux » ou qu’il provient d’une personne de votre entourage, au moindre doute, n’hésitez pas à contacter l’expéditeur par un autre biais (téléphone, SMS, etc.).

Enfin, parce qu’il vaut mieux prévenir que guérir, pensez à effectuer régulièrement des sauvegardes de votre ordinateur sur des périphériques externes, à faire systématiquement les mises à jour de sécurité et à installer uniquement des logiciels officiels.
 

Généralement, ce type d’attaque est réalisé à des fins politiques ou idéologiques.

Objectif : modifier l’apparence ou le contenu d’un site internet ou d’une page Facebook pour décrédibiliser son propriétaire.

Comment vous protéger contre une attaque par « défiguration » ?

• Changez très fréquemment vos mots de passe ;
• Mettez régulièrement à jour les correctifs de sécurité proposés par les réseaux sociaux.

Parce que vous êtes policier, vous savez mieux que quiconque que ce type d’attaques peut avoir de lourdes conséquences. Or, comme tout le monde, vous et vos proches n’êtes pas à l’abri d’une « défiguration », tout comme vous pouvez être victime d’un phishing ou d’une attaque par « Rançongiciel ».

L’attaque en déni de service ou DDoS (Distributed Denial of Service) a pour objectif de rendre temporairement inaccessible un site web ou un service en ligne en le saturant avec un nombre de requêtes très important ou en exploitant une faille de sécurité. Le pirate réclame souvent une rançon en échange d’un retour à la normale. Au-delà de la dimension technique, ce type d’attaque peut porter atteinte à l’image du propriétaire du site.   

Comment vous protéger contre une attaque en déni de service ?

• Utilisez un pare-feu, fermez tous les ports inutilisés (prises permettant de connecter des périphériques) et faites les mises à jour de sécurité de votre ordinateur systématiquement ;
• Rapprochez-vous de votre hébergeur pour qu’il vous propose une protection adéquate ;
• Choisissez des mots de passe robustes (au moins 12 caractères, avec une combinaison de lettres majuscules et minuscules, de chiffres et de caractères spéciaux) et changez-en régulièrement.
   

Généralement, ce type d’attaque est réalisé à des fins politiques ou idéologiques. L’objectif : modifier l’apparence ou le contenu d’un site internet ou d’une page sur les réseaux sociaux pour décrédibiliser son propriétaire.

Comment vous protéger contre une attaque par « défiguration » ?

• Changez très fréquemment vos mots de passe ;
• Mettez régulièrement à jour les correctifs de sécurité proposés par les réseaux sociaux.
   

_Sources

_{(1) Cybermalveillance.gouv.fr, « Cybermois 2023 : face à la cybermenace, mobilisons-nous ! », septembre 2023
(2) Les Échos, « Cybersécurité : les internautes toujours aussi imprudents avec leurs mots de passe », novembre 2023
(3) Silicon, « Cybersécurité : les 10 chiffres qui font peur »
(4) Cybermalveillance.gouv.fr, « Chiffres et tendances des cybermenaces : Cybermalveillance.gouv.fr dévoile son rapport d’activité 2022 », mars 2023. En 2021, 173 000 personnes sont venues chercher de l’assistance sur la plateforme Cybermalveillance.gouv.fr : « Chiffres et tendances des cybermenaces : Cybermalveillance.gouv.fr dévoile son rapport d’activité 2021 », mars 2022
(5) Les Échos, « Les cyberattaques ont coûté au moins 2 milliards d'euros aux entreprises en 2022 », juin 2023
(6) Dans le cadre des dispositions contractuelles, prise en charge du recours contre les responsables d’une atteinte à la réputation d’un assuré sur internet ou les réseaux sociaux dans les deux formules du contrat, Essentielle et Intégrale, avec en plus une prestation de suppression ou de noyage des informations préjudiciables pour la formule Intégrale.}