Que faire si on a cliqué sur un lien phishing ?

Il est très simple de devenir la proie d’une arnaque de phishing. Qu’il s’agisse d’une proposition attrayante par email, d’un message sur les réseaux sociaux ou d’une publicité pop-up lorsque vous naviguez sur le Web, les escrocs excellent dans l’art de la tromperie.

Même si vous vous vantez d’être soucieux de votre sécurité, vous pouvez toujours être pris au dépourvu.

Si vous vous trouvez dans la situation malheureuse d’avoir cliqué sur un lien ou une pièce jointe lors d’une tentative de phishing, nous avons rassemblé les 10 étapes à suivre.

Sommaire Sommaire

Il est essentiel d'agir rapidement
Prévenir les escroqueries par phishing
10 mesures à prendre si vous avez été victime d'une escroquerie par phishing
Ne pas être victime
Conclusion
FAQ

Sommaire

Il est essentiel d'agir rapidement
Prévenir les escroqueries par phishing
10 mesures à prendre si vous avez été victime d'une escroquerie par phishing

Montrer Tout

Ne pas être victime
Conclusion
FAQ

Il est essentiel d’agir rapidement

Bien qu’il soit déstabilisant de réaliser que vous avez peut-être téléchargé par inadvertance un malware ou compromis vos informations personnelles, il y a des mesures que vous pouvez et devez prendre immédiatement pour atténuer tout dommage potentiel. Plus tôt vous agirez, moins il y aura de répercussions.

Selon Patrick Schaumont, professeur au département d’ingénierie technique et informatique du Worcester Polytechnic Institute, le résultat d’un clic sur le lien d’un email de phishing – qui est la technique la plus répandue selon ces statistiques sur le phishing-, dépend des informations que le pirate a placées sur le site Web malveillant.

Souvent, le site web malveillant est conçu pour ressembler à un site web légitime et tente de vous convaincre de saisir vos informations personnelles ou vos identifiants de connexion.

Si vous saisissez vos informations personnelles, le pirate peut les utiliser pour usurper votre identité ou les vendre à d’autres personnes.

Dans certains cas, le site web malveillant tente de verrouiller l’ordinateur d’une personne et peut même l’infecter avec un ransomware, qui empêche la personne d’y accéder à moins qu’elle ne paie une rançon au pirate, explique Schaumont.

“La protection contre le phishing devient facile si l’on y ajoute de la suspicion”, explique-t-il. “Après tout, le pirate essaie de vous induire en erreur et ne réussira que si vous le suivez.

N’accordez jamais une confiance aveugle aux messages non sollicités, quelle que soit l’autorité qu’ils projettent, ajoute Schaumont.

Aucune banque en ligne légitime ne vous demandera jamais de cliquer sur un lien et de fournir des données personnelles. Aucun service d’expédition ne vous dira jamais qu’il a un colis pour vous mais qu’il n’est pas livrable.

“Aucun site d’achat en ligne ne vous avertira que votre carte de crédit a été débitée pour quelque chose que vous n’avez pas commandé. Aucun patron digne de confiance ne vous demandera jamais de lui acheter une carte-cadeau. Aucune personne honnête ne trouvera jamais votre nom “par hasard” dans sa liste de contacts.”

“Si cela semble être du phishing, c’est probablement le cas.”

Prévenir les escroqueries par phishing

Pour empêcher les escroqueries par phishing, les organisations peuvent mettre en place un logiciel de protection contre le phishing conçu pour détecter et prévenir les attaques par phishing.

Ce logiciel comprend généralement des fonctions telles que le filtrage des emails, le blocage des sites web et l’analyse en temps réel des activités suspectes, afin d’empêcher les utilisateurs d’être victimes d’escroqueries par phishing.

Cependant, il existe aussi des mesures à prendre si vous cliquez par inadvertance sur un lien de phishing.

10 mesures à prendre si vous avez été victime d’une escroquerie par phishing

Lorsque vous vous rendez compte que vous avez cliqué sur un lien de phishing ou que vous êtes tombé dans le piège d’une escroquerie, il est important de prendre note des actions que vous avez effectuées, explique Aaron Walton, analyste des menaces chez Expel, un fournisseur de services de détection et de réponse adaptés.

Avez-vous saisi votre mot de passe ? Avez-vous partagé d’autres identifiants ou informations sensibles ? Avez-vous téléchargé un fichier ? Les actions que vous avez effectuées vous aident à déterminer les étapes suivantes et, dans la plupart des cas, vous n’avez pas à vous débrouiller seul, car d’autres personnes sont prêtes à vous aider et sont en mesure de le faire.

1. Déconnectez-vous d’internet

Désactivez le Wi-Fi ou débranchez le câble Ethernet, explique Robert Siciliano, expert en cybersécurité et PDG de ProtectNowLLC.com.

La déconnexion empêche tout logiciel malveillant potentiel ou toute technologie d’accès à distance de communiquer avec les serveurs des pirates.

2. Recherchez les logiciels malveillants

Utilisez un logiciel antivirus fiable pour lancer une analyse complète du système, explique Julian Durand, vice-président de la gestion des produits et responsable de la sécurité de l’information chez Intertrust Technologies, un fournisseur de produits et de services informatiques de confiance.

Cela permettra d’identifier et de supprimer les logiciels malveillants qui ont pu être installés.

3. Vérifiez votre navigateur

Votre navigateur comporte des signes d’avertissement intégrés qui permettent de détecter les sites de phishing, explique Schaumont.

“Par exemple, les sites de confiance affichent un symbole de cadenas à côté du champ de l’adresse web dans votre navigateur”, explique-t-il.

Vous pouvez cliquer sur le cadenas et votre navigateur vous dira s’il pense que le site est légitime. Les navigateurs peuvent également afficher des avertissements avant de vous permettre d’accéder à un site de phishing potentiel. Tenez compte de l’avertissement de votre navigateur et dirigez-vous vers une destination plus sûre.

4. Modifiez les mots de passe

Tous les comptes auxquels le site de phishing est associé peuvent être compromis, c’est pourquoi vous devez changer vos mots de passe, selon Siciliano.

Lorsque vous changez vos mots de passe, choisissez des mots de passe sécurisés. Ils doivent être longs, robustes et uniques pour chaque compte, et évitez absolument de réutiliser le même mot de passe.

5. Activez l’authentification à deux facteurs (2FA)

Activez l’authentification à deux facteurs sur tous les comptes critiques pour ajouter un niveau supplémentaire de sécurité, réduisant ainsi le risque d’accès non autorisé, explique Durand.

6. Identifiez le type d’attaque de phishing

Vous devez déterminer la nature de l’attaque de phishing, explique Phil Steffora, directeur de l’information et de la sécurité chez Arkose Labs, un fournisseur de services de gestion des bots et de sécurité des comptes.

S’agit-il d’une attaque visant à obtenir des informations personnelles ou d’une attaque plus dangereuse, telle qu’une usurpation de l’identité d’un chef d’entreprise dans le but de voler de l’argent ?

7. Révisez et mettez à jour les paramètres de sécurité

Il est primordial de réévaluer régulièrement les paramètres de sécurité de vos comptes et appareils numériques et vous assurer que vos logiciels et applications sont à jour pour vous défendre contre les nouvelles menaces, indique Durand.

8. Sauvegardez des fichiers et des photos

Roman Zrazhevskiy, fondateur et PDG de MIRA Safety, un fournisseur d’équipements de protection individuelle, conseille :

Sauvegardez tous les fichiers ou photos importants sur une clé USB au cas où vous devriez effacer votre appareil avec une réinitialisation d’usine.

9. Mettez en place une alerte à la fraude

Placez une alerte à la fraude gratuite sur votre dossier de crédit pour vous assurer que les escrocs ne peuvent pas vous escroquer, dit Zrazhevskiy.

Il est ainsi très difficile pour les escrocs d’ouvrir de nouveaux comptes de crédit à votre nom. Toutefois, cela implique également quelques étapes supplémentaires pour confirmer votre identité chaque fois que vous souhaitez ouvrir de nouveaux comptes de crédit légitimes.

Siciliano est d’accord et insiste : “Si votre numéro de sécurité sociale a été compromis, placez un gel de crédit sur votre rapport de crédit pour empêcher l’usurpation d’identité d’un nouveau compte potentiel.”

10. Signalez l’incident à votre équipe de sécurité

Si l’activité s’est produite sur un ordinateur portable ou un compte de l’entreprise, il est essentiel de signaler le phishing à l’équipe de sécurité dès que possible, indique Walton.

Elle sera la mieux équipée pour sécuriser les comptes et enquêter sur l’activité. Il est essentiel de les informer, car les pirates ne s’en prennent pas seulement à vous : ils cherchent aussi à compromettre votre employeur par votre intermédiaire.

Siciliano ajoute que vous pouvez également envisager de signaler la tentative de phishing à la Federal Trade Commission ou à l’Anti-Phishing Working Group.

Ne pas être victime

Le meilleur conseil est de ne pas être victime dès le départ, souligne Durand.

“En d’autres termes, ne cliquez pas sur des liens suspects, surtout si vous ne connaissez pas la personne qui vous les envoie.”

Utilisez des filtres pour éliminer les logiciels malveillants et configurez votre firewall avec des listes blanches de sites fiables. Ensuite, formez les membres de votre entreprise, de votre famille et de votre communauté à ne pas cliquer sur des liens arbitraires.

Conclusion

Les menaces de phishing évoluent rapidement et le volume de phishing augmente de manière exponentielle en raison de l’utilisation accrue de l’IA générative pour concevoir des attaques très ciblées et sophistiquées, explique Steffora.

“Il ne s’agit plus de vastes campagnes, mais d’attaques directes, personnalisées jusqu’à l’individu. Les escrocs utilisent déjà des outils d’IA générative pour se faire passer pour des voix et des images et manipuler des informations commerciales.

Par exemple, l’IA générative permet aux escrocs d’utiliser des organigrammes et de rédiger des emails de phishing contextuellement précis à l’intention de personnes cherchant à effectuer une transaction financière quelconque, comme payer un fournisseur, explique Steffora.

Les professionnels de l’informatique d’entreprise et de la technologie doivent commencer à se poser des questions : Quels mécanismes l’entreprise peut-elle utiliser pour protéger son entreprise en dehors de l’email et du téléphone, car ces deux moyens ont déjà été corrompus par l’IA ? En fin de compte, lorsque quelqu’un clique sur un email de phishing, l’objectif devrait être de parvenir à un état d’atténuation aussi rapidement que possible.