Phishing : Ce que c'est et pourquoi vous devez le connaître
Chaque jour, des milliards de faux e-mails, de messages texte et de sites web sont envoyés dans un seul but : vous pousser à communiquer vos informations personnelles. Cette technique s'appelle le phishing, et elle reste l'une des cyberattaques les plus efficaces et les plus répandues qui soient — non pas parce qu'elle est techniquement sophistiquée, mais parce qu'elle cible la psychologie humaine plutôt que les systèmes informatiques.
Qu'est-ce que le phishing ?
Le phishing est une forme d'ingénierie sociale dans laquelle un attaquant se fait passer pour quelqu'un en qui vous avez confiance — votre banque, un service de streaming, votre employeur ou même un organisme gouvernemental — afin de vous manipuler pour vous faire accomplir une action que vous n'auriez pas réalisée autrement. Cette action peut consister à cliquer sur un lien malveillant, à télécharger une pièce jointe infectée ou à saisir votre mot de passe sur une fausse page de connexion.
Le terme est un jeu de mots délibéré avec le mot anglais « fishing » (pêche). Les attaquants lancent un appât et attendent de voir qui mord à l'hameçon.
Comment fonctionne le phishing ?
La plupart des attaques de phishing suivent un schéma prévisible :
- L'appât : Vous recevez un message qui semble légitime. Il peut imiter une alerte de facturation Netflix, un avertissement de sécurité PayPal ou un e-mail urgent du service informatique de votre entreprise.
- L'hameçon : Le message crée un sentiment d'urgence — votre compte est sur le point d'être suspendu, une activité suspecte a été détectée ou vous devez vérifier votre identité immédiatement.
- Le piège : Vous êtes redirigé vers un faux site web qui ressemble à s'y méprendre au vrai. Lorsque vous saisissez vos identifiants, ils parviennent directement à l'attaquant.
Des variantes plus ciblées existent également. Le spear phishing consiste en des attaques personnalisées visant des individus précis, en utilisant souvent des informations recueillies sur les réseaux sociaux. Le whaling cible des cadres dirigeants de haut rang. Le smishing utilise des SMS, tandis que le vishing se déroule par appels vocaux.
Les sites de phishing modernes utilisent souvent HTTPS et affichent une icône de cadenas, ce que beaucoup de personnes interprètent à tort comme un gage de sécurité. Cela signifie uniquement que la connexion est chiffrée — non pas que le site lui-même est digne de confiance.
Pourquoi cela concerne les utilisateurs de VPN
Une idée reçue fréquente est que l'utilisation d'un VPN protège contre le phishing. Ce n'est pas le cas — du moins pas directement. Un VPN chiffre votre trafic internet et masque votre adresse IP, mais il ne peut pas vous empêcher de saisir volontairement vos identifiants sur un faux site web.
Cela dit, les utilisateurs de VPN ne sont pas totalement démunis :
- Certains VPN incluent des fonctionnalités de protection contre les menaces qui bloquent les domaines de phishing connus avant même que votre navigateur ne les charge.
- Un VPN peut prévenir le détournement DNS, une technique utilisée par les attaquants pour vous rediriger silencieusement vers de faux sites web, même lorsque vous saisissez la bonne adresse.
- L'utilisation d'un VPN sur un réseau Wi-Fi public protège contre les attaques de type man-in-the-middle, qui sont parfois utilisées conjointement avec le phishing pour intercepter des identifiants.
Toutefois, se reposer uniquement sur un VPN pour se protéger du phishing donne un faux sentiment de sécurité. De bonnes pratiques numériques restent indispensables.
Exemples concrets
- Vous recevez un e-mail du « Support Apple » indiquant que votre compte a été verrouillé. Le lien vous dirige vers apple-support-login.com — un faux site convaincant qui dérobe votre identifiant Apple.
- Un SMS prétend que votre banque a détecté une fraude et vous demande d'appeler un numéro de téléphone. Ce numéro vous met en contact avec un escroc qui se fait passer pour un spécialiste de la lutte contre la fraude.
- Un e-mail professionnel semblant provenir des ressources humaines demande aux employés de se connecter à un nouveau portail d'avantages sociaux — qui est en réalité une page de collecte d'identifiants.
Comment vous protéger
- Vérifiez toujours l'adresse e-mail réelle de l'expéditeur, et pas seulement le nom affiché
- Survolez les liens avant de cliquer pour voir l'URL de destination réelle
- Activez l'authentification à deux facteurs sur tous vos comptes importants — même un mot de passe volé devient inutilisable sans le second facteur
- Utilisez un gestionnaire de mots de passe, qui ne remplira pas automatiquement vos identifiants sur de faux sites
- En cas de doute, accédez directement au site officiel plutôt que de cliquer sur un lien
Le phishing fonctionne parce qu'il est simple et extensible. Comprendre son mode de fonctionnement est votre première ligne de défense.