« Phishing »

Coup sur coup, deux tentatives de phishing m’ont pris pour cible cette semaine, dimanche et mardi. Si vous ne connaissez pas le phishing, lisez, et méditez.

Comme tout le monde, j’ai un compte bancaire – et même plusieurs, vu que je suis très riche. Or, dimanche, j’ai reçu un message électronique semblant émaner d’un établissement où j’ai un de mes comptes. Ce message disait ceci, et je reproduis son orthographe, sa ponctuation et sa typographie, avec la conscience scrupuleuse que vous me connaissez :

Bonjour.

Lors de votre dernier achat ,Nous vous avons averti par un message vous informant de l'obligation d'adherer au nouveau dispositif dauthentficaton des paiements sur internet , et de la mise en place d'un blocage pour vos futurs paiements.

Nous n'avons pas , a ce jour, d'adhesion de votre part et nous sommes au regret de vous informer que vous ne pouvez plus utiliser le service achats Sur internet.

Adhesion: Faites votre demande adhesion en ligne en remplissant le de dispositif securite ci-joint

Apres avoir finalise le formulaire avec succes , un agent de notre banque vous contactera par telephone pour valider vos coordonnes

Cordialement

Je n’ai pas mordu à l’hameçon, pour les raisons que : 1. jamais ma banque ne m’envoie de messages ; 2. jamais je n’ai fait le moindre achat sur Internet en passant par elle ; 3. ma véritable banque m’aurait envoyé le lien vers sa page, et non, en pièce jointe, une copie qui l’imite ; et 4. j’imagine que vous avez apprécié la valeur de ce texte : orthographe périlleuse, accents manquants car on a tapé le texte sur un clavier QWERTY, ce que ne ferait pas une banque française, et ponctuation burlesque. Et je n’ai pas reproduit les erreurs de typographie consistant à changer de police et de taille de caractères à l’intérieur d’un même alinéa. Ce madrigal sentait le faux à des kilomètres.

Néanmoins, histoire de voir jusqu’où cela pouvait aller, j’ai ouvert la page du site (inexistant) dont on me fournissait la copie, et qui générait une imitation de celle, officielle, de l’établissement bancaire que je connaissais. Il s’y trouvait un formulaire tel que celui de cette banque, avec une zone pour taper mon identifiant de client, et un dispositif où l’on doit fournir son mot de passe, imitant un clavier de dix chiffres changeant de place à chaque connexion, comme il y en a dans toutes les banques aujourd’hui. Cousu de fil blanc : on tentait de me soutirer ces renseignements confidentiels, que je ne donnerais même pas à mon confesseur, le Père Albert.

En fait, et comme je sais chercher, j’ai examiné l’en-tête du message, qui indique un serveur privé, probablement situé en Angleterre, avec 10.99.54.141 comme numéro d’IP, et pour adresse électronique webservd@w03.redwire.everycity.co.uk. Donc, quelqu’un qui n’a pas son site chez un hébergeur, mais chez lui – ce qui le rend très difficile à localiser (NB : w03.redwire.everycity est une boîte installée au centre de Londres et qui NE PEUT PAS recevoir de courrier).

Pas besoin de sortir de Polytechnique pour comprendre que des aigrefins cherchaient à entrer sur mon compte, histoire d’y ponctionner quelque menue monnaie. Et, deux jours plus tard, un autre message m’est parvenu, de même teneur, et qui semblait émaner d’une autre banque, où... je n’ai pas de compte 

Bref, le phishing, c’est ça : un escroc tente de vous piéger en vous adressant un message prétendûment envoyé par votre banque et qui vous incite à donner votre mot de passe, via une page imitant celle du site de votre banque.

Donc, ne soyez pas naïfs, c’est une tentative d’escroquerie dans cent pour cent des cas. Ne répondez pas, l’adresse de l’expéditeur est truquée elle aussi, comme dit plus haut, et votre réponse vous reviendrait quelques heures plus tard, n’ayant pas atteint son destinataire. Si vous le faites, vous le constaterez vous-même !