Aller au contenu

Se protéger de l'hameçonnage

L'hameçonnage (phishing) consiste à se faire passer pour un tiers de confiance — une banque, un service de l'université, un collègue, une administration — pour vous faire livrer vos identifiants, vos codes ou vos coordonnées bancaires.

Il arrive par mail, par SMS, par téléphone, par Teams. Il peut même venir d'une vraie boîte : celle d'un collègue piraté, dont l'attaquant réutilise d'anciens messages.

Un message douteux ? Signalez-le, puis supprimez-le

Ne cliquez sur aucun lien, n'ouvrez aucune pièce jointe, ne répondez pas. Transférez le message à phishing@univ-tours.fr, puis supprimez-le.

Votre signalement compte : il nous permet de mesurer une vague d'attaque, de bloquer le site piégé et de prévenir les autres.

Les signaux qui doivent alerter

  • L'urgence ou la menace : compte bientôt bloqué, boîte pleine, dernier délai, amende. Un vrai message sérieux n'est jamais « urgent » au point de ne pas pouvoir vérifier.
  • Une demande d'identifiants, de codes ou de coordonnées bancaires. Aucune administration, aucune entreprise sérieuse, aucun service de l'université ne vous les demande par mail ou par téléphone.
  • Un message que vous n'attendiez pas, même d'un expéditeur connu : sa boîte a pu être piratée.
  • Un lien dont l'adresse réelle ne correspond pas au site annoncé (voir plus bas).

L'orthographe n'est plus un indice : les messages d'hameçonnage sont désormais souvent sans faute.

Vérifier un lien sans cliquer

Posez le curseur de la souris sur le lien, sans cliquer : l'adresse réelle s'affiche en bas de la fenêtre. Un seul caractère peut suffire à tromper — dans un exemple réel, le « T » de univ-tours.fr avait été remplacé par un « L ».

Le plus sûr reste de ne pas passer par le lien : tapez vous-même l'adresse du site, ou utilisez un favori que vous avez créé.

La page de connexion de l'université est toujours à l'adresse https://cas.univ-tours.fr/ — et nulle part ailleurs. Vérifiez-la avant de saisir quoi que ce soit.

Liens raccourcis et QR codes

Un lien raccourci (bit.ly, tinyurl…) ou un QR code cache l'adresse de destination. On les trouve dans les SMS, les PDF, les affiches. Au moindre doute, ne les ouvrez pas et allez vous-même sur le site.

Ce qui a changé

  • Des messages parfaits : les outils d'intelligence artificielle rédigent sans faute, dans le ton d'un service de l'université.
  • D'autres canaux : faux messages Teams, faux appels du « support informatique » qui demandent un code ou une validation.
  • Des pages qui relaient la connexion : la fausse page transmet votre mot de passe et le code de double authentification au vrai site, en direct. La double authentification protège beaucoup, mais pas d'une page piégée : vérifiez l'adresse avant de saisir votre code aussi.

Vous pensez vous être fait piéger

  1. Changez votre mot de passe tout de suite, depuis l'ENT, en tapant son adresse vous-même. Voir choisir une phrase secrète.
  2. Transférez le message à phishing@univ-tours.fr pour qu'il soit analysé.
  3. Demandez un contrôle de votre boîte à l'équipe sécurité : rssi@univ-tours.fr — pour vérifier qu'elle n'a pas été utilisée entre-temps.

Les autres situations — pièce jointe ouverte, compte usurpé — sont sur la page un piratage, un incident ?.

Pour aller plus loin