Le Phishing, le smishing et le vishing

Le phishing se présente sous la forme d’un email contenant un lien vers un site web frauduleux ayant l’apparence d’un site web légitime. Le but de ces emails phishing est de tenter de se faire passer pour un message légitime envoyé par la banque. Très souvent, les fraudeurs jouent sur l’aspect psychologique de la victime en créant un stress et un faux sentiment d’urgence. Voici deux exemples d’emails de phishing ciblant les clients d’ING Luxembourg disposant d’un accès à My ING et d’une carte de crédit Visa.

Le véritable expéditeur n’appartient pas au domaine « @ing.lu » mais à un domaine proche du contexte de la banque dont le but est de mettre en confiance le destinataire. Le texte du lien invite à cliquer, et pourtant, en le survolant, on s’aperçoit que celui-ci ne pointe pas vers une page du site https://www.ing.lu mais vers un autre site malveillant.

L’expéditeur semble appartenir au domaine «@ing.lu », mais en réalité, il n’en est rien. En effet, la manière dont fonctionnent les protocoles emails sur internet n’empêche pas l’usurpation de l’adresse email d’un émetteur donné. Le destinataire de ce type d’email (on parle ici de « email spoofing ») est alors mis en confiance. Le texte dépeint à nouveau une situation d’urgence, invitant la victime à réagir rapidement en appelant un numéro de téléphone qui n’est pas celui d’ING Luxembourg. Alternativement, l’attaquant aurait pu inviter la victime à visiter une fausse page web ING afin qu’elle y saisisse des informations personnelles et confidentielles.

L'hameçonnage par texto (smishing : SMS + phishing) est une tentative par des escrocs de se procurer des données personnelles, financières ou de sécurité par texto. L'escroc se fait passer pour une source de confiance, par exemple une banque, un émetteur de cartes de paiement ou une entreprise d'utilité publique ou un prestataire de services.

L'hameçonnage vocal (vishing : voice + phishing) est une tentative de fraude téléphonique dans le cadre de laquelle l'escroc s'efforce d'obtenir de sa victime des données personnelles, financières ou de l'argent.

Les fraudeurs jouent sur l'aspect psychologique pour que la victime se sente stressée et créent un faux sentiment d'alarme. Un exemple fréquent consiste à demander vos informations de connexion My ING pour lever les mesures de sécurité apparentes imposées sur votre compte. Dans d'autres cas, les fraudeurs peuvent prétendre faire partie du service informatique de la banque pour inviter la victime à télécharger et installer un logiciel en apparence légitime, alors qu'il s'agit d'une version malveillante.