Comment j'ai survécu à une attaque de phishing et à une application malveillante la semaine dernière

Quand on écrit quotidiennement sur les pires arnaques en ligne et sur la façon de les éviter, comme je le fais, il devient facile de constater de nombreux exemples concrets.

C'est une chose de vous expliquer les dangers potentiels lors de la prolifération d'applications malveillantes ou après une fuite massive de données , mais c'en est une autre de vous les montrer concrètement. C'est pourquoi j'ai commencé à prendre des captures d'écran des tentatives de piratage et des cyberattaques potentielles que je rencontre en ligne.

Ayant écrit sur les pirates informatiques pendant plus de dix ans, j'ai vu toutes leurs ruses et leurs méthodes diverses pour vous inciter à cliquer sur des liens malveillants ou à divulguer vos informations personnelles. Cette fois-ci, au lieu de vous parler de la dernière cyberattaque, je vais vous expliquer ma propre tentative de piratage de leur interface la semaine dernière, et vous expliquer précisément pourquoi je n'ai rien cliqué ni téléchargé.

Voici tout ce que vous devez savoir, ainsi que quelques conseils et astuces généraux que j'utilise pour assurer ma sécurité et celle de ma famille en ligne.

Ce n’est pas un email ordinaire, mais un piège.

Ayant une adresse e-mail professionnelle publique, je reçois une centaine d'e-mails par jour. Si beaucoup proviennent de contacts de confiance avec lesquels je travaille directement ou indirectement dans le cadre de mon travail, il arrive que des e-mails suspects parviennent à contourner les mesures de sécurité intégrées à ma boîte de réception.

C'est exactement ce qui s'est passé avec l'e-mail ci-dessous. Cependant, j'ai remarqué presque immédiatement plusieurs signaux d'alarme. Les avez-vous également repérés ? Jetez-y un coup d'œil avant de lire mon explication pour voir si vous les avez tous repérés.

Bien que je n'aie pas reconnu le nom de l'expéditeur, ce qui avait déjà éveillé mes soupçons, j'ai cliqué sur la flèche ci-dessous pour vérifier son adresse e-mail. Au lieu d'être lié à son nom, l'e-mail ci-dessus utilise le nom d'une entreprise de livraison de repas populaire pour paraître plus crédible. Il y a cependant un problème : l'entreprise que l'escroc tente d'usurper est probablement Deliveroo, mais le nom dans l'objet est mal orthographié.

Pour m'aider à traiter sa demande, mon « collègue » a également joint une photo de sa demande à son courriel. Cependant, bien que le message indique « une capture d'écran jointe », cette pièce jointe n'est pas une image. Il s'agit d'un fichier HTML déguisé en image, avec le mot « capture d'écran » dans le nom du fichier pour le faire paraître légitime.

Je ne vous recommande pas de reproduire ce que j'ai fait, mais j'ai cliqué sur l'aperçu pour vous donner une idée plus précise du code dans la pièce jointe. Comme vous pouvez le voir sur la capture d'écran ci-dessus, il redirige vers un faux site web imitant Deliveroo. La page affiche un texte indiquant qu'elle est en cours de chargement et apparaît lorsque vous y accédez. Sur ce faux site, un bouton indique : « Cliquez ici si votre page ne se charge pas automatiquement. »

Bien que je n'aie pas téléchargé ou tenté d'ouvrir cette pièce jointe, cliquer sur ce bouton sur la page vers laquelle elle essayait de me diriger m'aurait probablement amené à un site malveillant conçu pour infecter mon ordinateur avec un virus.

Ce courriel présente toutes les caractéristiques d'une tentative d'hameçonnage, de son caractère urgent à une pièce jointe trompeuse. En fait, il ne manque que les fautes d'orthographe et de grammaire . Mis à part cela, il s'agit d'un exemple typique d'hameçonnage. Si vous recevez un courriel de ce type, évitez à tout prix d'y répondre ou de télécharger la pièce jointe.

Un logiciel malveillant se cache dans mon fil d'actualité

Avant même de travailler dans la cybersécurité, j'étais un lecteur assidu d'actualités. C'est pourquoi je consultais constamment Google Discover sur mon téléphone ou ma tablette à la recherche d'articles intéressants. Un jour, en faisant cela, je suis tombé sur une fausse histoire conçue pour me piéger et m'inciter à installer une application malveillante. Je m'explique.

Même si je devrais le savoir, je ne suis toujours pas sûr de la date exacte de fin de l'heure d'été. C'est pourquoi, quand j'ai vu un article à ce sujet apparaître dans mon fil d'actualité, j'ai rapidement cliqué dessus.

Sur la capture d'écran ci-dessus, vous pouvez voir à gauche l'article sur lequel j'ai cliqué et à droite la fenêtre contextuelle qui s'est immédiatement affichée. Suite à de récentes modifications de son algorithme, Google Discover affiche désormais du contenu Plus provenant de blogs personnels, en plus des actualités de sources fiables. Si cela est bénéfique pour les petits médias et leurs créateurs, cela offre également aux cybercriminels une opportunité plus facile de cibler les lecteurs d'actualités avides comme moi.

Au lieu de découvrir la date du passage à l'heure d'hiver, j'ai vu apparaître une fenêtre contextuelle m'informant que mon Nothing Phone 2 était infecté non pas par un, mais par deux « virus malveillants ». Les cybercriminels à l'origine de cette fenêtre sont allés encore plus loin en prétendant que ces prétendus virus provenaient de « sites web pour adultes récemment consultés ». Puis, pour me contraindre à suivre leurs instructions, ils ont brandi la menace que la carte SIM de mon téléphone serait endommagée et que mes contacts, photos, données, applications et mon compte Plus seraient corrompus si je ne téléchargeais pas l'application en question.

Je n'ai pas fait défiler la page jusqu'en bas pour télécharger ce qui était très probablement une application malveillante, mais voici ce qui se serait probablement passé. Au lieu de me rediriger vers le Google Play Store ou une autre boutique d'applications officielle, le lien en bas de ce message m'aurait conduit vers un site tiers où j'aurais pu télécharger l'application au format APK . De là, j'aurais dû l'installer manuellement sur mon téléphone Android (une fonctionnalité que Google abandonne progressivement dans la prochaine version d' Android ). Pour accéder à toutes mes données, l'application aurait probablement demandé de nombreuses autorisations inutiles, soit pour abuser des services d'accessibilité d' Android , soit pour télécharger une fausse mise à jour qui était en réalité un logiciel malveillant dangereux ciblant les téléphones Android.

J'ai souvent été témoin de ce type d'attaque, mais c'est la première fois que je vois un faux article tentant de propager un logiciel malveillant apparaître dans mon fil d'actualité Google Discover. Ceci constitue un avertissement important sur la manière dont les pirates informatiques peuvent créer des blogs ou même acheter des espaces publicitaires pour attirer des victimes potentielles.

Comment me protéger des cyberattaques ?

Pour me protéger, ainsi que mes amis et ma famille, des cyberattaques, mon conseil le plus important est de ne pas se laisser submerger par ses émotions. Les pirates informatiques savent comment déclencher des réactions émotionnelles, essentielles pour attirer des utilisateurs peu méfiants vers les e-mails de phishing et autres arnaques.

C'est pourquoi je recommande toujours de rester calme lorsqu'on consulte sa boîte de réception ou ses messages. Qu'il s'agisse d'e-mails vous avertissant de violations de droits d'auteur ou de messages annonçant la suspension ou la fermeture prochaine de votre compte, les pirates informatiques souhaitent que vous agissiez rapidement et sans réfléchir. Ainsi, vous augmentez le risque d'erreur. Lorsque vous vous connectez à vos comptes en ligne sur un faux portail ou que vous soumettez des données personnelles sensibles et que vous réalisez que quelque chose ne va pas, il est trop tard.

C'est pourquoi il est important de prêter attention aux signes d'un e-mail ou d'un message d'hameçonnage lorsque vous consultez votre boîte de réception. Le message cherche-t-il à transmettre un sentiment d'urgence ? Contient-il des fautes d'orthographe et de grammaire ? Contient-il une pièce jointe ou un lien suspect ? Si la réponse est « oui », ces questions sont source d'inquiétude.

Ensuite, j'utilise un gestionnaire de mots de passe performant pour créer des mots de passe robustes et uniques pour tous mes comptes, mais aussi pour les stocker en toute sécurité et les remplir automatiquement en cas de besoin. J'utilise également un antivirus de pointe sur mon PC et une application antivirus parmi les meilleures pour Android sur mon téléphone. Si votre PC est équipé d'un logiciel de sécurité intégré (Windows Defender sur PC, XProtect sur Mac ou Google Play Protect sur Android), celui-ci offre une protection de base. En revanche, un antivirus payant propose souvent des fonctionnalités supplémentaires, comme un VPN pour protéger votre vie privée en ligne ou un navigateur sécurisé, très utile pour les opérations bancaires en ligne ou la manipulation de données sensibles.

En fin de compte, le plus important est de se tenir informé en permanence des dernières cyberattaques et arnaques. Les pirates informatiques disposent d'un large arsenal d'astuces et de techniques qu'ils réutilisent dans leurs attaques. C'est pourquoi il est essentiel de savoir repérer une arnaque, un faux e-mail ou un faux site web.

Ce ne sont que deux tentatives de piratage récentes que j'ai rencontrées, mais si vous souhaitez que j'en partage davantage et que j'explique comment elles fonctionnent, faites-le moi savoir dans les commentaires ci-dessous.