Les dangers du Phishing/Fishing

Publié le 30 octobre 2006 par Cristian

Le phishing ou Fishing, ou encore hameçonnage, est une forme d'attaque informatique consistant à faire croire à la victime qu'elle s'adresse à un tiers de confiance — banque, administration, etc. — afin de lui soutirer des données confidentielles : mot de passe, numéro de carte de crédit, etc. C'est une forme d'attaque informatique reposant sur l'ingénierie sociale ainsi que des courriers électroniques et des sites Web falsifiés.

Étymologie de phishing
Le terme phishing vient de l'anglais. Il y a deux origines possibles :

- Le terme phishing viendrait de la contraction de phone et fishing : « téléphone » et « pêche ». Originellement le phishing c'est l'arnaque téléphonique qui consiste à se faire passer pour quelqu'un d'autre comme un policier ou un banquier pour tenter d'extirper des informations ou plus. La pratique a ensuite été adaptée à Internet.

- Le terme phishing aurait été inventé par les pirates qui essayaient de voler des comptes AOL. Il serait construit sur l'expression anglaise password harvesting fishing, soit « pêche aux mots de passe » (?). Un attaquant se faisait passer pour un membre de l'équipe AOL et envoyait un message instantané à une victime potentielle. Ce message demandait à la victime d'indiquer son mot de passe, afin de, par exemple, « vérifier son compte AOL » ou pour « confirmer ses informations bancaires ». Une fois que la victime avait révélé son mot de passe, l'attaquant pouvait accéder au compte et l'utiliser à des fins malveillantes, comme l'envoi de pourriel.

Hameçonnage sur Internet
Les criminels informatiques utilisent généralement l'hameçonnage pour voler de l'argent. Les cibles les plus populaires sont les services bancaires en ligne, et les sites de ventes aux enchères tels que eBay. Les adeptes de l'hameçonnage envoient habituellement des courriels à un grand nombre de victimes potentielles.

Typiquement, les messages ainsi envoyés semblent émaner d'une société digne de confiance et sont formulés de manière à ne pas alarmer le destinataire, afin qu'il effectue une action en conséquence. Une approche souvent utilisée est d'indiquer à la victime que son compte a été désactivé à cause d'un problème, et que la réactivation ne sera possible qu'en cas d'action de sa part. Le message fournit alors un hyperlien qui dirige l'utilisateur vers une page Web qui ressemble à s'y méprendre au vrai site de la société digne de confiance. Arrivé sur cette page trompeuse, l'utilisateur est invité à saisir des informations confidentielles qui sont alors enregistrées par le criminel.

Parades
La vérification de l'adresse Web dans la barre d'adresse du navigateur Web peut ne pas être suffisante pour détecter la supercherie, car certains navigateurs n'empêchent pas l'adresse affichée à cet endroit d'être contrefaite. Il est toutefois possible d'utiliser la boîte de dialogue « propriétés de la page » fournie par le navigateur pour découvrir la véritable adresse de la fausse page.

Une personne contactée au sujet d'un compte devant être « vérifié », doit chercher à régler le problème directement avec la société concernée, ou se rendre sur le site Web en tapant manuellement l'adresse dans son navigateur.
En règle générale, il est recommandé de faire suivre le message suspect à l'adresse spoof (par exemple, si l'hameçonnage concerne societe.com, ce sera spoof@societe.com), ce qui permettra à la société de faire une enquête.

Il faut être particulièrement vigilant lorsque l'on rencontre une adresse contenant le symbole « @ », par exemple http://www.mabanque.com@members.unsite.com/. Ce genre d'adresse va essayer de connecter l'internaute en tant qu'utilisateur « www.mabanque.com » sur le serveur « members.unsite.com ». Il y a de fortes chances que cela se réalise même si l'utilisateur indiqué n'existe pas réellement sur le serveur, mais par cette méthode la première partie de l'adresse semble être tout à fait innocente (www.mabanque.com). De même, certains attaquants utilisent des adresses de sites contenant une faute de frappe, ou bien des sous-domaines, par exemple http://www.mabanque.com.unsite.net/. Des navigateurs récents, tels que Firefox, possèdent un système permettant d'avertir l'utilisateur du danger et de lui demander s'il veut vraiment utiliser de telles adresses douteuses. Netscape 8 intègre également des technologies permettant de tenir à jour une liste noire de sites dangereux de ce type.

Les filtres anti-pourriels aident aussi à protéger l’utilisateur des criminels informatiques en réduisant le nombre de courriels que les utilisateurs reçoivent et qui peuvent être de l'hameçonnage.

Les fraudes concernant les banques en ligne visent à obtenir l'identifiant et le mot de passe du titulaire d'un compte. Il est alors possible au fraudeur de se connecter sur le site Web de la banque et d'effectuer des virements de fonds vers son propre compte. Pour parer à ce type de fraude, la plupart des sites bancaires en ligne n'autorisent plus l'internaute à saisir lui-même le compte destinataire du virement.

réf. nécessaire : il faut, en règle générale, téléphoner à un service de la banque qui reste seul habilité à saisir le compte destinataire dans une liste de comptes. La conversation téléphonique est souvent enregistrée et peut alors servir de preuve.

Source : http://fr.wikipedia.org/wiki/Phishing

Pour en savoir plus :
http://www.zebulon.fr/articles/phishing-1.php
http://www.commentcamarche.net/attaques/phishing.php3
http://www.hoaxbuster.com/hoaxliste/hoax.php?idArticle=22498