9 façons d'identifier un site Web de phishing

Les escroqueries par phishing sont encore très répandues aujourd’hui et sont même devenues plus sophistiquées avec le temps. La plupart de ces escroqueries sont lancées à partir de la boîte de réception de la victime, avec un lien qui mène vers un site Web frauduleux dont le nom et l’apparence sont similaires à un site Web légitime.

Ces sites Web de phishing peuvent sembler étrangement proches de l’original à première vue, mais il existe certaines façons de les exposer tels qu’ils sont et de rester en sécurité.

1. Vérifiez l'URL

Le moyen le plus simple d’identifier un site Web de phishing consiste à vérifier son URL. La plupart des sites Web de phishing capitalisent sur un manque d’attention aux détails. Assurez-vous de bien regarder le lien dans la barre d’adresse de votre navigateur ou dans l’e-mail qui vous a été envoyé. Il s’agira très probablement d’une version modifiée de l’URL du site officiel.

Gardez un œil sur les fautes d’orthographe, les substitutions de lettres et les noms de domaine étranges. Par exemple, un site Web de phishing peut avoir une adresse Web indiquant g00gle.com avec le chiffre 0 remplaçant la lettre « o », ou binance.com.com pour confondre les visiteurs sans méfiance. Assurez-vous de vous familiariser avec domaines de premier niveau et comment ils sont sélectionnés.

Dans certains cas, l'attaquant peut utiliser des redirections ouvertes pour manipuler des URL légitimes afin de rediriger les visiteurs vers des sites Web malveillants. Ils sont plus difficiles à détecter car ils sont intégrés dans des domaines de confiance.

Par exemple, une attaque de redirection ouverte pourrait utiliser le lien https://anexample.com/login? redirect_url= https://@nexample.com qui vous redirige depuis un site Web légitime unexemple.com aux malveillants @exempleexemple.com.

Si vous recevez un e-mail qui semble un peu bizarre, regardez bien le lien qu'il contient et revérifiez les paramètres.

2. Recherchez HTTPS et l'icône de cadenas

Un autre bon moyen de détecter un site Web de phishing consiste à examiner l’icône de verrouillage dans la barre d’adresse. L'icône de verrouillage doit être fermée et l'URL doit commencer par " https://." Le Protocole HTTPS indique que le site Web est crypté et dispose d'un certificat Secure Sockets Layer (SSL).

Si le cadenas est ouvert ou s'il est marqué d'une barre rouge, ou s'il y a un panneau de danger rouge là où il devrait être, votre connexion avec le site Web n'est pas sécurisée. Différents navigateurs ont tendance à utiliser différents symboles de sécurité, alors assurez-vous de rechercher ce que votre navigateur utilise.

Cependant, ces informations ne suffisent généralement pas pour détecter un site Web de phishing. Selon le Groupe de travail anti-hameçonnage (APWG), plus de la moitié de tous les sites Web de phishing utilisent désormais des certificats SSL/TLS pour paraître légitimes. Ainsi, disposer d’une protection SSL ne signifie pas qu’un site Web ne volera pas vos informations privées.

Noter que Google Chrome a supprimé sa fonctionnalité d'icône de verrouillage à compter de septembre 2023. Au lieu de cela, il existe désormais une icône de réglage pour indiquer une connexion sécurisée, afin que les utilisateurs ne confondent pas cela avec un site Web digne de confiance.

3. Examiner le contenu et la conception du site Web

Les sites Web de phishing ont tendance à être construits de manière bâclée la plupart du temps, il devrait donc y avoir de nombreuses incohérences dans la conception et le contenu. Certains des marqueurs d'un site Web de phishing incluent des erreurs grammaticales, du texte/espaces réservés « lorem ipsum », des images de mauvaise qualité et une architecture de site inhabituelle. En savoir plus dans notre liste de façons d'identifier une entreprise légitime.

La recherche d’une page « Contactez-nous » peut parfois vous aider à identifier un site Web de phishing. Certains de ces sites Web frauduleux ne prennent pas la peine d’inclure les coordonnées et lorsqu’ils le font, ils ne correspondent pas au site Web car ils sont copiés et collés ailleurs.

4. Méfiez-vous des fenêtres pop-up

Les fenêtres pop-up sont exploitées par ces faux sites Web. Vous devez vous méfier d'un site Web qui affiche une fenêtre contextuelle demandant des informations personnelles dès que vous visitez la page. En règle générale, ne saisissez jamais votre nom d'utilisateur ou votre mot de passe dans une fenêtre contextuelle à moins d'être certain que le site Web est légitime et sécurisé.

5. Utiliser de faux détails

Un excellent moyen de détecter un site Web de phishing consiste à utiliser de faux détails dans lesquels il vous est demandé de fournir vos informations personnelles. La plupart des sites Web de phishing vous connecteront, quel que soit ce que vous indiquez dans la zone de connexion.

Certains sites Web de phishing, en revanche, tentent d'être intelligents et vous envoient une erreur générée automatiquement dès le début. la première fois (ou si le mot de passe n'a pas une certaine longueur), alors assurez-vous d'essayer au moins les fausses informations d'identification deux fois.

6. Surveillez l’urgence et les menaces

Les phishers peuvent utiliser un faux sentiment d’urgence pour inciter la victime potentielle à agir immédiatement. Si un site Web suspect tente de vous inciter à agir le plus rapidement possible, c'est un signal d'alarme rouge vif.

Le calendrier est généralement irréaliste et des mots tels que « notification », « important » et « immédiatement » sont utilisés pour inciter une victime potentielle à agir à la hâte, sans réfléchir. Soyez très prudent face aux menaces ou aux offres qui semblent trop belles pour être vraies.

7. Vérifier les modes de paiement

Tous les sites de phishing ne demandent pas de paiement, mais ceux qui demandent généralement soit une cryptomonnaie, soit un virement bancaire, car les transactions effectuées par ces moyens sont irréversibles. Les sites Web frauduleux demandent rarement de l’argent par carte de crédit ou PayPal, car il est possible d’annuler ces paiements.

Si un site Web présente l’un des signaux d’alarme susmentionnés et demande un virement bancaire ou cryptographique, considérez cela comme un signe d’avertissement. Vous pouvez obtenir des sites uniquement cryptographiques, tels que des plateformes de clés CD qui acceptent Bitcoin et Ethereum, mais vous devez vous assurer qu'ils sont légitimes avant d'effectuer tout paiement.

8. Utilisez un détecteur de phishing

Les détecteurs de phishing emploient apprentissage automatique pour identifier les attaques de phishing. Cela implique d'analyser les URL, le contenu des e-mails/sites Web, l'enregistrement de domaine et d'autres variables pour identifier les éléments suspects. Bien qu’il existe des logiciels anti-hameçonnage exclusifs et dédiés, ils sont généralement destinés aux grandes entreprises et peuvent s’avérer trop coûteux pour les particuliers.

Tous les principaux fournisseurs de messagerie disposent de solutions anti-phishing intégrées qui empêchent la plupart de ces tentatives de phishing d'atteindre votre boîte de réception. Ils ne sont cependant pas parfaits et certaines escroqueries ont tendance à passer inaperçues.

De plus, les navigateurs Web tels que Google Chrome et Firefox utilisent le service de navigation sécurisée de Google pour vous avertir des sites trompeurs et des logiciels dangereux. Ce paramètre est généralement activé par défaut sur les versions de bureau de Firefox et Chrome.

Vous pouvez le trouver dans Firefox en accédant à Sécurité > Confidentialité et sécurité > Sécurité > Contenu trompeur et protection des logiciels dangereux. Assurez-vous que les trois cases sont cochées.

Chrome l'a dans Paramètres > Confidentialité et sécurité > Sécurité > Navigation sûre. Sélectionnez soit Protection améliorée ou Protections standards. Vous pouvez également soumettre tous les sites Web trompeurs que vous rencontrez à la navigation sécurisée afin de contribuer à rendre le Web plus sûr pour tous.

Des outils en ligne tels que VirusTotal et URLscan.io vous permettent d'analyser les liens suspects et malveillants à la recherche de logiciels malveillants et de phishing. PhishTank fournit un outil de recherche qui vous permet de comparer un site Web à sa liste de sites Web de phishing connus, organisée par la communauté.

9. Instruisez-vous

Se tenir informé des tactiques de phishing et des escroqueries courantes peut vous aider à les détecter dès le début. Les ressources utiles incluent le site Web de l'Anti-Phishing Working Group (APWG) et Phishing.org.

Vous devez également régulièrement vous renseigner sur les meilleures pratiques en matière de cybersécurité. Certaines d’entre elles incluent la visite de sites Web manuellement (plutôt qu’à partir d’un e-mail suspect), l’utilisation d’une authentification à deux facteurs lorsque cela est possible et le fait de ne jamais ouvrir de pièces jointes suspectes.

Méfiez-vous des sites Web de phishing

Tous les éléments ci-dessus constituent des moyens courants d’identifier un site Web de phishing. Cependant, il convient de noter qu’un site Web de phishing peut avoir toutes ces cases cochées tout en restant très faux. L’important est de garder un œil sur ce type d’attaques et de visiter le site Web usurpé via un signet ou un moteur de recherche en cas de doute.