CAF, impôts, fournisseurs d'accès à Internet, webmails, tous ont été touchés ces dernières semaines par une attaque de phishing, c'est à dire une technique d'escroquerie par mail destinée à récupérer les données personnelles de la victime. Le phénomène n'est pas nouveau mais semble avoir pris une ampleur considérable. Gare au phising

Qu'est-ce-que le phishing?
(Crédits photo AFP)
Le phishing (contraction des mots anglais "fishing", en français pêche, et "phreaking", c'est à dire le piratage de lignes téléphoniques) ou hameçonnage est une technique utilisée par des pirates informatiques visant à récupérer des informations personnelles auprès d'internautes. Ces derniers reçoivent un courrier électronique semblant provenir d'un tiers de confiance (leur banque, la CAF, leur Webmail..) qui les invite à se connecter en ligne sur un site copie conforme du site original par le biais d'un lien hypertexte afin de remplir un formulaire. Sur le formulaire, les pirates vont trouver les login et mots de passe de la victime voire ses informations bancaires. Ce n'est pas la faille informatique qui est exploitée ici mais la faille humaine puisque c'est l'internaute lui-même qui délivre ses informations confidentielles.

Les conséquences du phishing
Elles sont très difficiles à évaluer. Selon l’OCLCTIC (Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication), la police du net française, il est possible que les pirates n’utilisent les coordonnées récoltées que dans plusieurs mois pour éviter de se faire démasquer. Aucun pirate ayant pratiqué le phishing n’a encore été condamné en France.

Des milliers de comptes piratés sur Internet
La semaine dernière, ce sont 10.000 utilisateurs de Hotmail qui ont vu leurs identifiants et mots de passe diffusés sur Internet sur le site Pastebin.com avant une réaction rapide de Microsoft "Nous avons pris des mesures pour bloquer l'accès à tous les comptes qui ont été exposés et avons mis en place des ressources pour aider ces utilisateurs à récupérer leurs comptes". Puis ce sont près de 30.000 utilisateurs de Gmail qui ont fait les frais du phishing. Google a immédiatement mis en place une réinitialisation des codes d'accès de l'ensemble des comptes Gmail concernés. D'autres comptes de messageries comme Yahoo, AOL ou Comcast ont également été piratés.

Les organismes publics visés
Après les clients des banques et les webmails dernièrement, c'est au tour de ceux des organismes publics d'être victimes du phishing. Un faux mail de la Caisse d'Allocations familiales a été envoyé à ses bénéficiaires leur indiquant qu'ils devaient cliquer sur le lien pour recevoir 300 euros supplémentaires suite à une erreur de l'organisme. Même technique, il suffit de cliquer sur le lien qui vous amène au site vrai faux site officiel et de rentrer son numéro de carte bancaire. Cela a amené la CAF, la vraie cette fois, à mettre en garde ses usagers dans un mail "Attention, vous risquez de recevoir des courriels vous demandant votre numéro de carte bancaire". Le même problème s'est posé à l'administration fiscale qui a diffusé un communiqué par mail avertissant que "Des courriers frauduleux ont été adressés à certains contribuables" leur déclarant qu'un remboursement d'impôts devait être effectué.

Que retirer des données récoltées?
40% des internautes utilisent les mêmes identifiants sur plusieurs sites Internet. Les pirates peuvent donc accéder à beaucoup plus d'informations.
Une analyse sur les 10.000 mots de passe piratés d'Hotmail révèle que certains ont plus de succès que d'autres, ainsi 123456 est le mot de passe le plus utilisé, suivi de 123456789. Sont également communs les mots de passe utilisant des prénoms ou des mots de passe classique tels que "iloveyou". Près 50% ne contiennent que des lettres et 20% que des chiffres alors qu'il est fortement recommandé de mêler des chiffres et des lettres.
La complexité ne change rien en cas de phishing mais pourrait au moins vous protéger face aux autres attaques de piratage de vos comptes qui testent toutes les combinaisons possibles.
Magali MASSA (www.lepetitjournal.com) jeudi 14 octobre 2009

En savoir plus:
Article du Petitjournal.com- Hotmail: Votre compte a-t-il été piraté?
Article de 20 minutes- Phishing: Comment ne pas mordre à l'hameçon
Article de Metro- Le phishing, arme d'une "criminalité organisée"