Phishing: Cinq conseils pour ne pas tomber dans le piège de l'IA

Avec l'IA, les tentatives de phishing augmentent. Et elles sont de mieux en mieux élaborées.

Photo: Shutterstock

En bref

Publica affirme que les avoirs et rentes sont sûrs, malgré un vol massif de données chez un prestataire
Avec l’IA, des données comme AVS, IBAN ou avoir de prévoyance rendent le phishing très crédible
Selon Erik Schönenberger, il faut se méfier de l’urgence, vérifier par un autre canal et éviter liens ou pièces jointes

Annalena Müller et Marco Cousin

«Votre avoir de prévoyance est en sécurité. Votre rente est en sécurité.» Sur Publica, le site officiel de la Caisse fédérale de pensions, on essaie de se montrer rassurant. Du concret ou du vent? La semaine dernière, l'annonce d’une cyberattaque visant l’un de ses prestataires informatiques avait semé la panique, plusieurs centaines de gigaoctets de données ayant été dérobés.

Selon le «Tages-Anzeiger», l’attaque aurait été menée par le groupe Akira. Ce même collectif de pirates avait déjà extorqué une rançon à Ruag l’an dernier. L’annonce de ce piratage est intervenue au terme d’une semaine particulièrement chargée sur le front de la cybersécurité. La plateforme de vente en ligne Ricardo et le magazine «Republik» ont eux aussi été visés. Une chose semble désormais claire: même lorsque l’argent reste à l’abri, les données personnelles, elles, peuvent tomber entre de mauvaises mains.

Un article du «Beobachter»

Cet article a été publié initialement dans le «Beobachter», un magazine appartenant à Ringier AG, éditeur de Blick.

Dans un monde désormais dominé par l'IA, les conséquences peuvent aller bien au-delà du simple vol de numéros de téléphone ou d’adresses e-mail. Les informations dérobées peuvent notamment servir à rendre les tentatives de phishing beaucoup plus crédibles.

«Avec des données comme un numéro AVS, un IBAN ou le montant d’un avoir de prévoyance, il devient possible de lancer des attaques de phishing presque impossibles à détecter», explique Erik Schönenberger, codirecteur et cofondateur de la Digital Society, une organisation active dans la défense des droits numériques. Il a auparavant travaillé pendant une dizaine d’années dans la sécurité informatique.

Attention aux e-mails

Selon lui, les e-mails restent l’un des principaux points d’entrée pour les cybercriminels. «Ils réunissent tout ce qui facilite une attaque de phishing.» Une adresse d’expéditeur ou une signature peut être falsifiée facilement, tout comme un lien qui semble parfaitement légitime. Avec les informations récupérées lors de fuites de données, les messages deviennent encore plus convaincants. «Et contrairement à il y a encore quelques mois, ces e-mails sont désormais presque exempts de fautes», ajoute Erik Schönenberger.

Jusqu’à récemment, le spécialiste pensait pouvoir repérer au premier coup d’œil un e-mail ou un site frauduleux. Ce n’est plus forcément le cas. «Grâce à l’IA, les cybercriminels peuvent créer des sites et des messages tellement réalistes qu’il devient presque impossible de reconnaître visuellement une tentative de phishing.»

Erik Schönenberger a travaillé pendant des années dans la sécurité informatique avant de devenir codirecteur de l'association Société numérique.

Photo: PD

Comment ne pas se faire avoir? Erik Schönenberger conseille avant tout de ne pas agir dans la précipitation. Un message ou un appel qui cherche à créer un sentiment d’urgence doit immédiatement éveiller les soupçons.

«Si un e-mail paraît encore crédible le lendemain, il faut vérifier l’expéditeur et les informations par un autre canal», recommande-t-il. Par exemple, en appelant directement la banque ou l’entreprise censée être à l’origine du message. Il déconseille également de cliquer sur un lien ou d’ouvrir une pièce jointe suspecte. Dans certains cas, cela peut entraîner l’installation d’un logiciel malveillant capable de récupérer d’autres informations personnelles.

Demande de rançon

Pour Erik Schönenberger, les données des particuliers ne sont souvent qu’un dommage collatéral. Les cybercriminels s’intéressent avant tout aux systèmes informatiques des administrations et des grandes entreprises. «En raison du volume de données disponible et des possibilités d’extorsion, ces organisations représentent des cibles bien plus lucratives que les particuliers.»

Un exemple récent l’illustre: la cyberattaque visant la ville de Berlin, à la suite de laquelle des pirates ont publié sur le dark web des données volées après le refus des autorités de payer une rançon. L’attaque contre Publica menée, selon le «Tages-Anzeiger», par le groupe Akira s’inscrit dans la même logique. Toujours selon le quotidien, les autorités fédérales auraient depuis reçu une demande de rançon.

Et ce type d’attaque pourrait se reproduire. La semaine dernière encore, un observateur avait montré que plusieurs plateformes de la Confédération restaient insuffisamment préparées face aux cybermenaces. Nos cinq conseils pour éviter le phishing:

Ne cliquez jamais sur un lien reçu par e-mail ou SMS

N’utilisez jamais un lien reçu par e-mail ou SMS pour vous connecter à un compte. Saisissez vous-même l’adresse de votre banque, de La Poste ou de votre caisse de pension dans votre navigateur, ou passez par l’application officielle.

Méfiez-vous des messages qui jouent sur l’urgence

Soyez particulièrement vigilant lorsqu’un message vous met sous pression ou cherche à vous faire peur. Même prudence face à une demande d’argent inhabituelle par téléphone ou à un appel alarmant d’un prétendu proche: raccrochez et rappelez directement la personne sur son numéro habituel.

Activez l’authentification à deux facteurs

Lorsque c’est possible, activez l’authentification à deux facteurs, voire une clé d’accès («passkey»). Celle-ci permet de se connecter sans mot de passe grâce à des clés cryptographiques, avec une validation par reconnaissance faciale, empreinte digitale ou code PIN. Aujourd’hui, un mot de passe seul, même solide, ne suffit plus.

Vérifiez par un autre canal

Si un e-mail vous demande un mot de passe ou des données de connexion, vérifiez systématiquement la demande par un autre moyen. Appelez la personne ou l’entreprise sur un numéro que vous connaissez déjà, ou renseignez-vous directement auprès d’elle.

Fiez-vous moins aux fautes qu’au ton du message

Grâce à l’IA, les cybercriminels peuvent désormais créer des sites et des e-mails très convaincants, parfois sans aucune faute. Soyez donc surtout attentif au ton employé: un message qui cherche à vous faire agir immédiatement ou à susciter la peur doit éveiller vos soupçons.