Détecter un hameçonnage

Les tentatives d'hameçonnage font partie de notre quotidien, et les victimes se comptent par dizaines à l'université. La faute à pas de chance ? Non : les signaux existent, et on les apprend. Voici l'analyse d'un vrai message, reçu à l'université.

Rester vigilant dans la durée¶

Repérer les signaux est assez simple, pour peu qu'on soit concentré sur sa boîte de réception. D'ailleurs, chaque victime qui relit le message à tête reposée les voit aussitôt — et il est très désagréable d'admettre après coup qu'on s'est « fait avoir ».

La difficulté est de rester vigilant en permanence, dans un flot de messages et de notifications. Trop de mails à traiter, c'est trop peu d'attention pour chacun — et c'est souvent le début de la catastrophe.

Le ton qui pousse au clic¶

Les messages d'hameçonnage ont presque toujours une tonalité qui pousse au clic : urgence, boîte pleine qui va être bloquée, offre alléchante, injonction de la police… Dans l'immense majorité des cas, c'est la promesse d'un compte piraté : signalez-les à phishing@univ-tours.fr, puis supprimez-les.

Dans notre exemple, l'offre était pourtant tout à fait réaliste, et la tentation de cliquer grande. Et pour cause : la plupart des messages d'hameçonnage sont d'anciens messages légitimes, détournés. Chaque événement de l'université peut servir de prétexte, et un message auquel vous faites confiance a priori peut être piégé — y compris un message du RSSI.

Ne faire confiance à aucun expéditeur¶

Beaucoup de messages d'hameçonnage partent de la boîte d'un collègue ou d'un partenaire, piratée avant la vôtre. Un expéditeur inconnu est encore plus suspect.

Dans notre exemple, le message venait d'une boîte de l'université Bordeaux-Montaigne, dont le nom affiché ne correspondait pas à l'adresse. Et l'expéditeur réel — l'« enveloppe », dans le jargon de la messagerie — peut être encore quelqu'un d'autre.

En bref : l'expéditeur ne prouve rien. D'autant que de vrais messages de l'université partent de prestataires, avec des adresses qui ne finissent pas par @univ-tours.fr.

L'orthographe n'est plus un indice¶

Le contexte paraît correct, l'expéditeur aussi… passons au texte. Il fut un temps où les messages d'arnaque fourmillaient de fautes. Cette époque est révolue : ce sont souvent de vrais anciens messages réutilisés, et les outils d'intelligence artificielle rédigent désormais sans faute. Zéro faute ne veut plus dire zéro risque.

Le lien : le moment décisif¶

C'est le point le plus délicat. D'abord, le geste lui-même : cliquer dans un message et arriver sur une page de connexion, c'est exactement le chemin de l'hameçonnage. Le bon réflexe est d'ouvrir soi-même son navigateur et d'aller sur le site, sans passer par le message.

Ensuite, le lien : dans notre exemple, il suffisait de poser la souris dessus, sans cliquer, pour voir que l'adresse réelle n'avait rien à voir avec le sujet. Dans ce cas, c'est systématique : signalez, puis supprimez.

La fausse page de connexion¶

Si la tentation était trop forte, ou le message vraiment parfait, vous arrivez sur une page qui vous demande de vous identifier. À ce stade, vous n'êtes plus très loin du filet…

Tout y ressemble au site de l'université : le logo, les couleurs, le formulaire. Copier une page publique se fait en quelques secondes, avec des outils disponibles « sur étagère ». Une seule chose ne se copie pas : l'adresse.

Si vous vous êtes fait piéger¶

Ça arrive, même aux meilleurs.

À la DSI, des outils de détection repèrent les boîtes qui se mettent à envoyer des milliers de messages : nous les bloquons immédiatement, et nous vous contactons pour analyser la situation.

Mais vous pouvez agir tout de suite :

1. Changez votre mot de passe, depuis l'ENT, en tapant son adresse vous-même.
2. Transférez le message à phishing@univ-tours.fr.
3. Demandez un contrôle de votre boîte : rssi@univ-tours.fr.

Les autres situations sont sur la page un piratage, un incident ?.