Module 3 · 3.4
Phishing par sms, chat, téléphone et QR code
Module 3: Reconnaître le phishing · Temps de lecture : 12 minutes
Objectif pédagogique : après cette leçon, vous saurez reconnaître le phishing en dehors de l'e-mail : par sms et applications de chat, au téléphone (y compris avec une voix imitée), par QR code et par une avalanche de notifications de connexion, et vous saurez comment vérifier selon le canal.
Notions clés : smishing, fraude au faux ami en détresse, vishing, usurpation de numéro (spoofing), faux support technique, clonage de voix, quishing, bombardement MFA
Pourquoi les autres canaux fonctionnent si bien
Tout ce qui a été vu dans la leçon 3.1 s'applique aussi ici : urgence, autorité, peur, curiosité et récompense. Mais en dehors de l'e-mail, ces techniques fonctionnent souvent encore mieux :
- Sur le téléphone, vous lisez vite. L'écran est petit, les adresses sont tronquées, et vous êtes souvent en train de faire autre chose.
- Il y a moins de protection technique. Un serveur de messagerie vérifie le SPF, le DKIM et le DMARC et dispose d'un filtre anti-spam. Pour le sms, le chat et le téléphone, c'est beaucoup moins le cas.
- Cela paraît plus personnel. Un message dans une application de chat ou une voix au téléphone inspire plus confiance qu'un e-mail.
- C'est en direct. Un interlocuteur peut insister, faire monter la pression et vous guider étape par étape.
Le réflexe reste le même : arrêtez vous, vérifiez par votre propre moyen, posez la question. Ce qui change selon le canal, c'est la forme que prend cette vérification.
Sms et chat : smishing et faux ami en détresse
Le smishing est le phishing par sms. Les escrocs se font passer pour une organisation dont vous pourriez attendre un sms : un transporteur, votre banque, un service public, votre fournisseur d'énergie. Selon le NCSC néerlandais, le même phénomène se produit via des applications de chat comme WhatsApp et Telegram.
Un exemple typique :
Service de livraison : votre colis n'a pas pu être livré en raison d'une adresse incomplète. Planifiez une nouvelle livraison :
https://colisexpress.track-fr.example/z8K
Lisez le lien comme indiqué dans la leçon 3.2 : le domaine enregistrable est track-fr.example et non colisexpress.example du transporteur. Sur un téléphone, c'est encore plus difficile, car vous ne voyez que le début de l'adresse. Maintenez un lien appuyé pour voir l'adresse complète, ou ne l'ouvrez pas et rendez vous vous même sur l'application ou le site du transporteur.
Le numéro ou le nom de l'expéditeur ne prouve rien. Les expéditeurs de sms et les numéros de téléphone peuvent être falsifiés (spoofing). Un faux message peut ainsi apparaître dans le même fil de discussion que de véritables messages de cet expéditeur. Un nom connu au dessus d'un message n'est donc pas non plus une preuve.
La fraude au faux ami en détresse passe par les applications de chat :
Bonjour, voici mon nouveau numéro, mon téléphone est cassé. Pouvez vous payer quelque chose pour moi ? Je vous rembourse demain. Il faut que ce soit fait aujourd'hui.
Dans une entreprise, la même technique se présente sous la forme d'un message du « directeur » ou d'un « collègue » avec un nouveau numéro, qui demande rapidement un paiement ou des cartes cadeaux. Vérifiez : appelez ou envoyez un message à la personne sur son numéro ancien et connu, ou posez une question à laquelle seule la véritable personne peut répondre.
Le téléphone : vishing, faux support technique et clonage de voix
Le vishing (voice phishing) est le phishing par téléphone. Trois formes sont fréquentes.
Le faux employé de banque. Quelqu'un appelle au nom de la banque ou du « service antifraude » : des paiements suspects ont été détectés, votre argent doit être « mis en sécurité », ou vous devez communiquer un code ou valider un paiement dans votre application bancaire. Votre écran affiche parfois même le vrai numéro de la banque. Cela aussi peut être usurpé. Une vraie banque ne demande jamais vos codes de connexion ni de virer de l'argent vers un « compte sécurisé ».
Le faux support technique. Quelqu'un appelle au nom d'un éditeur de logiciel, de votre fournisseur d'accès internet ou de votre prestataire informatique : votre ordinateur est infecté, il y a un problème avec votre compte. Il vous demande d'installer un programme pour pouvoir le contrôler à distance. Il prend ainsi le contrôle de votre ordinateur. Le NCSC néerlandais le dit simplement : ne donnez jamais à quelqu'un un accès à distance à vos appareils sans réfléchir.
La voix imitée. Avec l'IA, une voix peut être reproduite à partir d'enregistrements audio, par exemple issus d'une vidéo ou d'une messagerie vocale. Un clone de voix de votre directeur ou d'un membre de votre famille peut alors appeler avec une demande urgente. Vous ne pouvez donc plus faire aveuglément confiance à vos oreilles.
Ce qui fonctionne dans les trois cas :
- Raccrochez dès qu'une pression s'exerce ou que l'on vous demande des codes, de l'argent ou un accès. Ce n'est pas impoli.
- Rappelez vous même un numéro que vous recherchez vous même ou que vous aviez déjà : le dos de votre carte bancaire, le site officiel, votre propre liste de contacts. Pas le numéro communiqué par l'appelant.
- Convenez d'une question de vérification ou d'un mot de passe oral avec les personnes susceptibles de vous demander de l'argent, comme la direction et la comptabilité. Établissez aussi la règle que les paiements ne se font jamais uniquement sur la base d'un appel téléphonique (leçon 1.2).
Les QR codes : le quishing
Un QR code est simplement un lien que vous ne pouvez pas lire. Le quishing est le phishing par QR code. Deux formes :
- Dans la rue ou dans un lieu. Un autocollant portant un faux QR code collé sur le vrai, sur un horodateur, une borne de recharge, une carte de menu ou une affiche. Vous pensez payer via l'application de stationnement, mais vous saisissez vos coordonnées bancaires sur un faux site.
- Dans un e-mail ou un pdf. « Scannez ce code pour confirmer votre boîte mail. » Un QR code sous forme d'image ne peut pas être vérifié avec la souris. Et vous le scannez avec votre téléphone, où vous lisez moins bien les adresses.
Le NCSC néerlandais recommande notamment :
- Ne scannez pas un QR code dépourvu de texte ou d'image d'accompagnement, et soyez prudent avec les codes présents dans les lieux publics.
- Vérifiez si le code est réellement imprimé sur l'affiche ou le panneau, ou s'il s'agit d'un autocollant collé par dessus.
- Utilisez un scanner qui affiche d'abord l'adresse ou le domaine de destination. Dans les versions récentes d'Android et d'iOS, l'appareil photo le fait par défaut.
- Si vous ne reconnaissez pas l'adresse, n'allez pas plus loin. Ne saisissez aucun mot de passe ni donnée de paiement si vous n'êtes pas certain que le site est authentique.
Pour l'adresse affichée par l'appareil photo, regardez le domaine enregistrable, exactement comme dans la leçon 3.2. Pour un horodateur, vous pouvez aussi utiliser l'application de stationnement officielle ou l'adresse indiquée sur le panneau lui même.
Bombardement MFA : quand votre téléphone n'arrête pas de sonner
De nombreux services envoient, lors de la connexion, une notification sur votre téléphone : « Essayez vous de vous connecter ? Approuver ou refuser. » Si un attaquant possède déjà votre mot de passe, il tente de se connecter encore et encore. Votre téléphone reçoit alors notification après notification, parfois en pleine nuit. Cela s'appelle un bombardement MFA (aussi appelé fatigue MFA). Il espère que, par agacement ou par erreur, vous appuierez sur Approuver. Parfois, il vous appelle ou vous écrit en plus, en se faisant passer pour un « support technique » : « Nous sommes en train de restaurer votre compte, approuvez simplement la demande. »
Ce qu'il faut faire :
- N'approuvez jamais une notification que vous n'avez pas vous même initiée. Même si quelqu'un vous le demande.
- Considérez cela comme une alerte. Une notification de connexion inattendue signifie que quelqu'un possède votre mot de passe. Changez immédiatement le mot de passe de ce compte, via le site ou l'application lui même.
- Consultez les sessions actives et déconnectez les sessions inconnues (leçon 2.5).
- Choisissez une forme plus forte d'authentification à deux facteurs (2FA) si elle est disponible. Avec la correspondance de numéro (number matching), vous devez recopier dans l'application un nombre affiché sur l'écran de connexion ; une notification sans cet écran sous les yeux ne peut alors pas être approuvée à la légère. Les passkeys et les clés de sécurité (leçon 2.4) sont encore plus robustes, car elles ne fonctionnent pas sur un faux site.
En pratique : à quoi cela ressemble
Dans Mon WebOké, vous pouvez voir sous les sessions actives où et quand vous vous êtes connecté, et déconnecter d'autres sessions (guide WebOké 3.6). D'autres services, comme votre programme de messagerie, votre logiciel de comptabilité ou Nextcloud, disposent d'un aperçu similaire dans les paramètres de sécurité de votre compte. Consultez le en premier après une notification de connexion inattendue.
Résumé
- En dehors de l'e-mail, les mêmes techniques fonctionnent, mais il y a moins de protection technique et vous lisez plus vite.
- Un numéro ou un nom d'expéditeur affiché à l'écran ne prouve rien : ils peuvent être falsifiés.
- Au téléphone : raccrochez, rappelez vous même un numéro connu, ne donnez jamais de codes, d'argent ou d'accès à distance. Même une voix connue peut avoir été imitée.
- QR codes : vérifiez la présence d'autocollants, laissez l'appareil photo afficher l'adresse et lisez le domaine enregistrable.
- Une notification de connexion inattendue est une alerte : refusez, changez le mot de passe, vérifiez les sessions.
Quiz
Exercice
Exercice A3.4 : Lire un QR code sans l'ouvrir. Le programme affiche un QR code. Scannez le avec l'appareil photo de votre téléphone, mais n'ouvrez pas le lien. Lisez l'adresse affichée par l'appareil photo et indiquez le domaine enregistrable, ainsi que si vous ouvririez le lien. Le programme vérifie votre réponse.
Exercice D3.4 : Consignes pour le téléphone, le chat et les alertes de connexion. Établissez avec votre équipe des règles concernant le rappel téléphonique, une question de vérification ou un mot de passe oral, ainsi que la conduite à tenir en cas de notification de connexion inattendue. Vérifiez ensuite sur votre propre téléphone si l'appareil photo affiche l'adresse d'un QR code avant d'ouvrir quoi que ce soit.
Exercice D3.4: Consignes pour le téléphone, le chat et les alertes de connexion
Voici comment procéder : (1) Convenez avec les personnes qui effectuent ou approuvent des paiements qu'une demande d'argent, de modification d'IBAN ou de codes ne sera jamais exécutée uniquement par téléphone, sms ou chat. Le rappel se fait toujours sur un numéro provenant de votre propre administration ou de votre liste de contacts. (2) Convenez d'une question de contrôle ou d'un mot de code pour les demandes urgentes de la direction ou de la famille. Ne notez ce mot de code nulle part sous forme numérique où un attaquant pourrait le lire. (3) Convenez de ce que chacun doit faire en cas d'alerte de connexion inattendue ou d'une série d'alertes : refuser, signaler, changer le mot de passe, vérifier les sessions (leçon 2.5). (4) Vérifiez si l'appareil photo de votre téléphone affiche d'abord l'adresse lors du scan d'un code QR, et ne l'ouvre qu'après avoir appuyé dessus. Utilisez pour cela un code QR provenant d'une source connue et propre (par exemple un code que vous créez vous-même pour https://www.example.com). (5) Vérifiez si votre application de chat et vos comptes les plus importants disposent d'une sécurité supplémentaire que vous n'utilisez pas encore (par exemple l'authentification à deux facteurs (2FA) avec un code PIN, la vérification par correspondance de numéro lors des alertes de connexion, ou une passkey) et activez-la.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké concernent l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
- Guide Nextcloud 3.6: Afficher, révoquer ou effacer à distance les appareils et sessions
- Cybermalveillance.gouv.fr, assistance aux victimes et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
- Signaler un e-mail de phishing via Signal Spam : https://www.signal-spam.fr/
- Pharos, signaler un contenu illicite en ligne : https://www.internet-signalement.gouv.fr/
- ANSSI, cybermalveillance et sécurité numérique : https://cyber.gouv.fr/