« Votre colis est en route, suivez-le ici », « Facture mobile impayée », « Votre carte bancaire est bloquée ». Vous avez reçu ce genre de message où l’on vous invite à cliquer sur un lien ?
Alors vous avez été victime d’une tentative de phishing.
Qu'est-ce que le phishing ?
Le phishing est une fraude en ligne par laquelle des escrocs usurpent l’identité d’une personne, d’une entreprise, d’une organisation bien connue de tous (banques, fournisseurs d’énergie, opérateur téléphonique...) ou encore d’une institution publique comme b-post ou le SPF Finances par exemple. Ils envoient des messages (via SMS, e-mails ou réseaux sociaux) en leur nom afin d’extorquer des informations personnelles, des données bancaires ou de contaminer un ordinateur avec un virus ou un logiciel malveillant. Les conséquences peuvent être désastreuses si vous tombez dans le piège.
Comment opèrent les escrocs pour obtenir vos données personnelles ?
Les escrocs envoient des messages frauduleux sur des sujets variés : questions financières (impôts, primes, compensations pour les entreprises), problèmes avec des colis, mises à jour de vos données, problèmes liés à votre carte bancaire... Dans ces messages figure un hyperlien qui vous renvoie vers un site falsifié destiné à vous faire croire que vous avez bien affaire à l’organisme supposé vous contacter. Ces sites ont un aspect très professionnel et il est difficile de les différencier des véritables sites.
Une fois sur le site, pour bénéficier de votre avantage ou régler le problème évoqué, vous devez compléter vos coordonnées personnelles (nom, prénom, adresse, numéro de carte d’identité…) et/ou vos coordonnées bancaires (numéro de compte, numéro de carte de crédit, code PIN, code Digipass, le petit appareil qui sert à vous authentifier auprès de votre banque et à sécuriser vos paiements).
Parfois aussi, les escrocs organisent de faux jeux concours ou de faux tests de produits en créant des sites sur lesquels vous devez communiquer votre identité, voire davantage d’informations personnelles.
Grâce aux informations recueillies, les escrocs pourront faire des opérations bancaires ou des achats en ligne au départ de votre compte, voire usurper votre identité pour accomplir des actes malveillants.
Le phishing via code QR
Depuis quelques temps, les escrocs utilisent aussi les codes QR pour piéger leurs victimes. Dans ce type de phishing, ils placent dans leurs messages des codes QR, au lieu d’hyperliens, pour diriger leurs victimes vers des applications ou des sites frauduleux. L’objectif des escrocs est toujours le même : obtenir vos informations personnelles ou contaminer votre ordinateur/smartphone avec un virus ou un logiciel malveillant.
Les escrocs tirent profit de cette technologie car lorsque vous scannez un code QR, vous ne pouvez pas voir immédiatement vers quel site web il va vous mener. Vous pouvez beaucoup plus difficilement vérifier l’adresse URL concernée.
Comment reconnaître un e-mail suspect ?
Vous pouvez généralement reconnaître un message suspect grâce aux caractéristiques suivantes :
- Il n’y a aucune raison que vous receviez ce message.
- L’objet de l’e-mail est vague, vous n’identifiez pas le contexte.
- Le ton est menaçant, intriguant, très insistant ou encore il éveille votre curiosité.
- Il contient des fautes d’orthographe ou de grammaire, il n’est pas rédigé de manière professionnelle.
- Il vous invite à cliquer sur un lien ou à télécharger une pièce jointe.
Notez qu’aujourd’hui, repérer les e-mails de phishing est de plus en plus difficile. Les escrocs déploient des trésors d’ingéniosité. Ils élaborent des e-mails de plus en plus sophistiqués, d’aspect professionnel, sans fautes d’orthographe et qui contournent les filtres des messageries. Ils profitent également d’un contexte précis, comme celui de la crise du coronavirus par exemple, pour les diffuser.
Mieux vaut donc réfléchir à deux fois avant de cliquer sur un lien ou de scanner un code QR !
Que devez-vous faire en cas d’e-mail suspect ?
- Ne répondez pas à l’e-mail.
- Posez-vous tout d’abord quelques questions de bon sens et si vous ne trouvez pas de réponse logique à ces questions, soyez sur vos gardes et cherchez davantage d’informations :
- Est-il logique qu’on me contacte pour la raison invoquée ?
- Pourquoi cet organisme me contacte ?
- Pourquoi une banque dont je ne suis pas client me contacte-t-elle pour un problème avec ma carte ?
- Pourquoi me parle-t-on d’un colis en route vers mon domicile, alors que je n’ai rien commandé ?
- Pourquoi ma banque me demande-t-elle mes coordonnées bancaires, alors qu’elle les connaît ?
- Est-il logique qu’un organisme public (comme le SPF Finances) me demande de payer par carte de crédit ou via PayPal ?…
- Vérifiez l’authenticité de l’expéditeur du message. Contrôlez si l’adresse e-mail utilisée est bien l’adresse officielle de l’organisme. Consultez le site web officiel de l’organisme, parfois on y indique si des arnaques au nom de l’organisme sont en cours.
- En cas de doute, contactez par un autre canal l’expéditeur du message pour vérifier qu’il en est bien l’auteur.
- Vérifiez la conformité de l'adresse de l’expéditeur en passant avec la souris afin de visualiser l’adresse complète.
- Contrôlez la fiabilité des liens : faites glisser sur les liens le pointeur de la souris pour faire apparaître la véritable adresse URL du site. Ne cliquez pas sur le lien ! Rendez-vous plutôt directement sur le site officiel de l’organisme supposé vous contacter. Ce conseil vaut particulièrement si l’on vous demande de scanner un code QR car celui-ci ne vous permet pas de voir l’adresse URL du site.
- Méfiez-vous des pièces jointes, fichiers et images : ils peuvent comporter des virus.
- Ne communiquez aucune donnée personnelle, quel que soit le motif invoqué, ni vos coordonnées bancaires ou de carte de crédit.
- Ne payez rien via le lien qui vous a été envoyé ou le site vers lequel il pointe !
- Transférez l’e-mail suspect au Centre pour la Cybersécurité Belgique (CCB) via suspect@safeonweb.be. Le CCB contrôlera les liens et les annexes des messages et fera bloquer les liens suspects. Ce dispositif permet de protéger les internautes moins vigilants contre ce type de piège.
Vous avez payé ? Que devez-vous faire ?
- Stoppez tout contact avec les escrocs. Surtout, ne payez plus rien !
- Contactez immédiatement votre banque pour tenter d’annuler la transaction. Sachez que dans la plupart des cas, il sera impossible de récupérer votre argent.
- Faites éventuellement bloquer votre carte de crédit via Card Stop (078 170 170).
- Si vous avez partagé d'autres informations personnelles, modifiez immédiatement vos mots de passe et code PIN de la carte d’identité.
- Déposez plainte auprès de la police locale.
- Signalez l’arnaque sur le Point de contact du SPF Economie.
Indiquez comme plaignant « un particulier » et comme partie adverse « une entreprise ». Sélectionnez le thème Fraude & escroquerie, puis le scénario Phishing avec perte d’argent. Vous recevrez un avis et des informations sur les démarches à entreprendre ainsi que les coordonnées des personnes pouvant vous aider. - Restez sur vos gardes : les escrocs pourraient bien essayer de vous piéger une deuxième fois en se faisant passer pour quelqu’un qui vous propose de vous aider.
- Consultez aussi la page Phishing – opérations de paiement non autorisées pour plus d’informations sur vos droits en cas de paiements non autorisées.
