Phishing : les moyens de lutter

Le phishing, mot provenant de la concaténation de phreaking (qui désigne le piratage des systèmes téléphoniques) et fishing (qui signifie pêche), est un sport à la mode chez les escrocs ayant Internet pour terrain de jeu. Il s’agit d’aller "à la pêche aux informations" d’une façon toute simple : demander aux internautes eux-mêmes des informations personnelles les concernant (login, mot de passe, informations de compte PayPal, numéro de carte bancaire...). Afin de tromper l’internaute, l’escroc va inonder des millions d’internautes avec des mails imitant une société « officielle » comme une banque par exemple. Dans ce cas, l’email en question va se faire passer pour la banque de l’internaute (il s'agit d'une usurpation d'identité, ou spoofing) et lui demander de confirmer ses coordonnées bancaires en cliquant sur un lien. Bien entendu, le lien pointe sur un site imitant du mieux possible la banque en question et va récupérer les informations à des fin frauduleuses. Ainsi, sur la masse d’emails envoyés, un petit nombre d’internautes se fera duper. Mais à grande échelle, ce sont des sommes d'argent énormes qui sont ainsi détournées.

Aujourd’hui, les attaques par hameçonnage (expression francophone utilisée pour désigner le phishing) font preuve de plus en plus d’imagination et sont de plus en plus difficile à déjouer, si bien que des internautes confirmés peuvent en être victime. Les escrocs peuvent ainsi envoyer des emails véritablement personnalisés à leurs victimes en augmentant la véracité de l’email à l’aide de données spécifiques comme le nom, le prénom et l’adresse postale ou la banque réelle de l’internaute (on parle alors de "spear phishing", ou "pêche à la lance"). On notera également que de nouveaux types d'attaques de phishing se propagent aussi par messagerie instantanée, comme en témoigne cette actualité concernant Yahoo Messenger.

Avant toute chose, il est intéressant de savoir que la majorité des sites de phishing sont aujourd’hui hébergés aux USA et la plupart concernent le domaine de la banque et de la finance. Parfois, les URL utilisées vont tenter de ressembler à une adresse de société existante avec une légère variation du nom utilisé (une faute de frappe par ci, une consonance similaire par là…). D’autres sites, au contraire, ne prendront pas la peine d’utiliser un DNS mais auront recours à une simple adresse IP (avec parfois un autre port que le port 80 habituellement utilisé). Enfin, il faut savoir également que la durée de vie d’un tel site est très courte : 5 à 8 jours en moyenne, ce genre d’arnaques étant très volatile du fait que le site se fait « repérer » relativement rapidement...