Le “phishing” est utilisé dans de très nombreux cas d’arnaques sur internet. Il est en particulier exploité pour contourner les systèmes de paiements des sites de locations de vacances. Typiquement, un annonceur crée une fausse annonces et indique aux potentiels locataires qu’il recevront “un email du site”. Un email est bien envoyé …mais par le fraudeur, imitant ceux de la plate-forme et invitant à cliquer sur un lien frauduleux ou à faire un paiement par virement sur son compte bancaire.
A. Qu’est-ce que le “phishing” ?
Pour rappel le “phishing” (dérivé de l’anglais “fishing”, pêche) est une technique qui vise à imiter une entité légitime (institution, banque, site e-commerce, etc.) sur différents supports de communication, en particulier les emails, les SMS et les sites internet. La technique consiste à leurrer l’internaute en imitant l’entité légitime pour obtenir des données personnelles : identifiants d’accès à un site, numéro de carte bancaire, etc. Le phishing est à l’origine de 90% des arnaques sur internet.
B. Détection du nom de domaine dans une adresse web
Heureusement détecter les tentatives de phishing est facile …à condition de savoir identifier le “nom de domaine” d’une adresse web.
En effet, un nom de domaine appartient à une entité (personne physique, entreprise, association, gouvernement). Il est très difficile d’exploiter de façon frauduleuse le nom de domaine d’une entité légitime pour créer un site ou une page.
Dans l’immense majorité des cas, le fraudeur va donc devoir utiliser des noms de domaines alternatifs, ressemblant généralement au nom de domaine légitime.
Un coup d’œil sur le nom de domaine permet donc de savoir rapidement si un site ou une adresse e-mail est frauduleux.
Lisez attentivement ce qui suit pour apprendre à reconnaître et distinguer les noms de domaines, sous-domaines et paths (chemins).
Un nom de domaine est un nom suivi par un point “.” et une extension, utilisé pour nommer un site, par exemple :
Un sous-domaine peut être placé devant le nom de domaine, obligatoirement séparé par un point “.” comme :
Les sous-domaines peuvent en contenir d’autres, toujours séparés par des points “.”.
Exemple :
Relation d’appartenance
Les noms de domaines et sous-domaines se lisent de gauche à droite avec une signification d’appartenance donnée par le point “.“. Ainsi l’exemple ci-dessus doit se lire : “console” appartient à “cloud” qui appartient à “google,” qui appartient aux domaines en “.com”.
Puisque les sous-domaines appartiennent au nom de domaine, si ce dernier est légitime, les sous-domaines le sont aussi.
Le chemin (“path” en anglais), c’est-à-dire le reste de l’adresse qui suit le nom de domaine et commence par un “/”, indique le chemin précis de la page au sein du domaine et éventuellement du sous-domaine.
Par exemple :
indique que le navigateur doit trouver la page “locations-vacances-promotion.php” dans “www” qui appartient à “mediavacances.com“.
Le chemin appartient au nom de domaine. Il ne permet pas de définir la légitimité d’une adresse web.
C. Seul le nom de domaine permet d’identifier un site frauduleux
Il faut se souvenir que seul le nom de domaine permet de détecter un site frauduleux. Le reste de l’url (les sous-domaines et le chemin) n’ont pas de valeur discriminante. Néanmoins, nous expliquons plus bas qu’ils peuvent être utilisés par les cybercriminels pour induire leurs victimes en erreur.
Avant de cliquer sur un lien contenu dans un email ou une page web, vérifiez systématiquement le nom de domaine dans l’url du lien. Il suffit de passer la souris sur le lien sans cliquer, l’adresse apparait alors en bas du navigateur.
Lorsque vous êtes sur un site web, vérifiez le nom de domaine dans la barre d’adresse du navigateur.
D. La création de noms de domaines frauduleux
Comme nous l’avons vu, les fraudeurs ne peuvent pas utiliser les noms de domaine légitimes comme “mediavacances.com“, “airbnb.com” ou encore “societegenerale.fr” pour créer un site web. Ils doivent donc utiliser des noms de domaines différents tout en induisant en erreur l’utilisateur à l’aide de certaines techniques listées ci-dessous :
Les cybercriminels utiliseront les techniques suivantes pour imiter le nom de domaine légitime :
Pour rappel, les sous-domaines appartiennent au nom de domaine. Si ce dernier est frauduleux, les sous-domaines le seront aussi. Les sous-domaines sont souvent utilisés pour introduire une référence au nom de domaine légitime.
Prenons cet exemple :
Le nom de domaine russe “euro-bankin.ru” est vraisemblablement frauduleux. Les sous-domaines “fr” et “societegenerale” ont été créés par son propriétaire pour afficher “societegenerale.fr” et faire croire à un site internet légitime.
Ici c’est le chemin, c’est-à-dire la partie de l’adresse qui est à droite du nom de domaine après le premier slash “/”, qui est utilisée pour induire l’internaute en erreur :
Rappel
Pour se prémunir efficacement contre les sites de phishing, il suffit de s’assurer que le nom de domaine du site (ou du lien qui y pointe) est exactement celui du site légitime.
E. Utiliser le nom de domaine pour évaluer la légitimité d’un email
Savoir identifier un nom de domaine sert aussi à se prémunir contre les emails de phishing.
L’adresse de l’expéditeur est composée de 2 éléments :
Dans cet exemple, nous avons donc l’adresse complète suivante :
NB : Nous verrons plus bas que cet expéditeur indique un e-mail frauduleux, car le nom de domaine du serveur (“gmail.com”) n’est pas celui de l’entité légitime (“airbnb.com”).
Lorsque l’on évalue la légitimité de l’expéditeur d’un email, seul le nom de domaine de l’adresse email doit être pris en compte.
Le nom de domaine des adresses email des expéditeurs d’emails de phishing peuvent être :
L’immense majorité des emails de phishing visent à vous rediriger vers un site de phishing, sur lequel les cybercriminels pourront vous demander de saisir vos données de connexion, données bancaires, etc.
L’analyse des liens contenus dans un email est donc très instructive.
Il suffit de :
L’exemple ci-dessous vous présente un e-mail de phishing bancaire. Un simple contrôle du nom de domaine de l’expéditeur (“client7845bred.fr”) et de l’adresse de destination du lien (“porjefatkenj.com”) permet de détecter facilement un e-mail frauduleux.
E. Le protocole sécurisé “https”
Le “https” est une version sécurisée (“s”) du protocole “http” qui permet d’afficher des pages web. Il permet, en particulier, de crypter les données envoyées par le site et d’authentifier dans une certaine mesure l’auteur du contenu. Tous les sites légitimes de location de vacances ont une adresse utilisant le protocole “https“. Le protocole apporte une faible protection contre les sites de phishing (voir plus bas).
L’utilisation du protocole simple “http” est un indicateur fort d’un site de phishing. Attention cependant, l’existence du protocole sécurisé ne garantit pas la légitimité du site. En effet, 60% des sites de phishing parviennent à utiliser le protocole https.
Pour résumer :
Il suffit de regarder la barre d’adresse du navigateur qui doit afficher “https” et/ou un cadenas.
F. Testez vos connaissances !
Vous avez tout compris ? Bravo. Vous pouvez maintenant tester vos connaissances sur cette page.