Hameçonnage 120293 31846898 2008-07-24T11:33:09Z ToePeu.bot 290412 robot Ajoute: [[az:Fişinq]] [[Image:PhishingTrustedBank.png|Exemple de phishing|thumb]] L''''hameçonnage''', appelé en anglais '''''phishing''''', est une technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une [[usurpation d'identité]]. La technique consiste à faire croire à la victime qu'elle s'adresse à un tiers de confiance — banque, administration, etc. — afin de lui soutirer des renseignements personnels : [[mot de passe]], numéro de [[carte de crédit]], date de naissance, etc. C'est une forme d'attaque informatique reposant sur l'[[Ingénierie sociale (sécurité de l'information)|ingénierie sociale]]. L'hameçonnage peut se faire par [[courrier électronique]], par des [[site web|sites web]] falsifiés ou autres moyens électroniques. ==Étymologie== ===Étymologie de ''phishing''=== * Le terme ''phishing'' s'inspire du terme ''[[phreaking]]'' : mot-valise de « phone » et « freak ». Originellement, le ''phreaking'' était un type d'arnaque utilisé afin de profiter de services téléphoniques gratuits surtout présent à l'époque des appareils analogiques (années '70). * Le terme ''phishing'' aurait été inventé par les [[pirate]]s qui essayaient de voler des comptes [[America Online|AOL]]. Il serait construit sur l'expression anglaise ''password harvesting fishing'', soit « pêche aux mots de passe ». Un attaquant se faisait passer pour un membre de l'équipe AOL et envoyait un [[message instantané]] à une victime potentielle. Ce message demandait à la victime d'indiquer son mot de passe, afin de, par exemple, « vérifier son compte AOL » ou « confirmer ses informations bancaires ». Une fois que la victime avait révélé son mot de passe, l'attaquant pouvait accéder au compte et l'utiliser à des fins malveillantes, comme l'envoi de [[pourriel]]. ===Traductions françaises=== Les termes '''''hameçonnage''''' et ''appâtage'' ont été proposés par l'[[Office québécois de la langue française]] (OQLF) en [[avril 2004]] comme traduction [[français]]e de ''phishing''. Au Canada, ''hameçonnage'' est rapidement devenu d’usage courant. Parmi les autres termes considérés par l'OQLF, mais non retenus, on trouve : * ''Escroquerie par courriel'' - Manque de précision ; l'hameçonnage est plutôt une ''tentative'' d'escroquerie, car il ne réussit pas à tous les coups et ne constitue sûrement pas la seule façon d'escroquer au moyen du courrier électronique. * ''Pêche aux données/informations personnelles/confidentielles'' - Plus descriptif que dénominatif, peut servir de périphrase comme l'expression ''le réseau des réseaux'' lorsqu'on parle d'[[Internet]]. * ''Pêche au(x) gogo(s)'' - Trop péjoratif. * ''Filoutage'' - Manque de précision ; peut désigner toute forme d'escroquerie. * ''Usurpation d'interface'' - Manque de précision ; l'usurpation d'[[interface]] ou d'[[Usurpation d'identité|identité]] (d'entreprise) n'est que l'un des moyens principaux utilisés pour effectuer un hameçonnage. Plus récemment, on a vu apparaître : * ''Piégeonnage'' - Un « piégeon » est un ''pigeon'' (personne dont on va abuser de la crédulité) via un ''piège'' électronique. Cette nouvelle proposition conserve le sens des autres mais apporte un recentrage sur la personne ciblée tout en réutilisant des images pré-existantes du français courant. ''Phishing scam'' peut se traduire par « escroquerie par hameçonnage », et convient lorsque l'hameçonnage a réussi, c'est-à-dire lorsque celui-ci a permis d'escroquer un internaute naïf (OQLF). ''Brand spoofing'', qui peut se traduire par ''usurpation de marque'' ou ''usurpation d'identité d'entreprise'', fait plutôt référence au moyen utilisé pour mener à bien un hameçonnage. (OQLF) (voir ''Usurpation d'interface, ci-haut). La [[Commission générale de terminologie et de néologie]] de [[France]] retient depuis le {{date|12|février|2006}} le terme '''filoutage''' pour traduire ''phishing''<ref>{{Légifrance|base=JORF|numéro=CTNX0609037K|texte=J.O n° 37 du 12 février 2006 page 2239, texte n° 43, Avis et communications, Avis divers, Commission générale de terminologie et de néologie}}</ref>. Dans le GDT, on traduit ''phisher'' par '''''hameçonneur''''' (auteur d'un hameçonnage). Le terme a été proposé en mai 2004 par l'OQLF. ==Hameçonnage sur Internet== Les criminels informatiques utilisent généralement l'hameçonnage pour voler de l'argent. Les cibles les plus populaires sont les services bancaires en ligne, et les sites de ventes aux enchères tels que [[eBay]]. Les adeptes de l'hameçonnage envoient habituellement des courriels à un grand nombre de victimes potentielles. Typiquement, les messages ainsi envoyés semblent émaner d'une société digne de confiance et sont formulés de manière à ne pas alarmer le destinataire afin qu'il effectue une action en conséquence. Une approche souvent utilisée est d'indiquer à la victime que son compte a été désactivé à cause d'un problème et que la réactivation ne sera possible qu'en cas d'action de sa part. Le message fournit alors un [[hyperlien]] qui dirige l'utilisateur vers une [[page web]] qui ressemble à s'y méprendre au vrai site de la société digne de confiance. Arrivé sur cette page trompeuse, l'utilisateur est invité à saisir des informations confidentielles qui sont alors enregistrées par le criminel. En 2007, ces criminels informatiques ont changé de technique, en utilisant un moyen de piratage appelé [[attaque de l'homme du milieu]] pour recueillir les informations confidentielles données par l'internaute sur le site visité. === Parades === La vérification de l'[[adresse web]] dans la barre d'adresse du [[navigateur web]] peut ne pas être suffisante pour détecter la supercherie, car certains navigateurs n'empêchent pas l'adresse affichée à cet endroit d'être contrefaite. Il est toutefois possible d'utiliser la boîte de dialogue « propriétés de la page » fournie par le navigateur pour découvrir la véritable adresse de la fausse page. Une personne contactée au sujet d'un compte devant être « vérifié » doit chercher à régler le problème directement avec la société concernée ou se rendre sur le site web en tapant manuellement l'adresse dans son navigateur. Il faut savoir que les sociétés bancaires n'utilisent jamais le courriel pour corriger un problème de sécurité avec l'un de ses clients. En règle générale, il est recommandé de faire suivre le message suspect à ''usurpation'' ou ''abuse'' (par exemple, si l'hameçonnage concerne <tt>societe.com</tt>, ce sera <tt><nowiki>usurpation@societe.com</nowiki></tt> ou <tt><nowiki>abuse@societe.com</nowiki></tt>), ce qui permettra à la société de faire une enquête. Il faut être particulièrement vigilant lorsque l'on rencontre une adresse contenant le symbole « @ », par exemple <tt><nowiki>http://www.mabanque.com@members.unsite.com/</nowiki></tt>. Ce genre d'adresse va essayer de connecter l'internaute en tant qu'utilisateur « <tt>www.mabanque.com</tt> » sur le serveur « <tt>members.unsite.com</tt> ». Il y a de fortes chances que cela se réalise même si l'utilisateur indiqué n'existe pas réellement sur le serveur, mais par cette méthode la première partie de l'adresse semble être tout à fait innocente (<tt>www.mabanque.com</tt>). De même, certains attaquants utilisent des adresses de sites contenant une faute de frappe, ou bien des sous-domaines, par exemple <tt><nowiki>http://www.mabanque.com.unsite.net/</nowiki></tt>. Des navigateurs récents, tels que [[Firefox]], [[Opera]] et [[Internet Explorer 7]], possèdent un système permettant d'avertir l'utilisateur du danger et de lui demander s'il veut vraiment naviguer sur de telles adresses douteuses. [[Netscape Navigator|Netscape 8]] intègre également des technologies permettant de tenir à jour une liste noire de sites dangereux de ce type. Les filtres antipourriels aident aussi à protéger l’utilisateur des criminels informatiques en réduisant le nombre de courriels que les utilisateurs reçoivent et qui peuvent être de l'hameçonnage. Le logiciel client de messagerie [[Mozilla Thunderbird]] comporte un filtre bayesien très performant (filtre anti-pourriel auto-adaptatif). Les fraudes concernant les [[banque]]s en ligne visent à obtenir l'identifiant et le [[mot de passe]] du titulaire d'un [[compte courant|compte]]. Il est alors possible au fraudeur de se connecter sur le [[site web]] de la banque et d'effectuer des [[virement]]s de fonds vers son propre compte. Pour parer à ce type de fraude, la plupart des sites bancaires en ligne n'autorisent plus l'[[internaute]] à saisir lui-même le compte destinataire du virement{{référence nécessaire}} : il faut, en règle générale, téléphoner à un service de la banque qui reste seul habilité à saisir le compte destinataire dans une liste de comptes. La conversation téléphonique est souvent enregistrée et peut alors servir de preuve. D'autres banques utilisent une identification renforcée, qui verrouille l'accès aux virements si l'utilisateur n'indique pas la bonne clé à quatre chiffres demandée aléatoirement, parmi les soixante-quatre qu'il possède. Si la clé est la bonne, l'internaute peut effectuer des virements en ligne. == Voir aussi == === Articles connexes === * [[Usurpation d'identité]] * [[Ingénierie sociale (sécurité de l'information)]] * [[Authentification forte]] * [[DKIM]], technologie de lutte contre l'hameçonnage * [[Pharming]] === Liens externes === * {{fr}} [http://www.oqlf.gouv.qc.ca/ressources/bibliotheque/dictionnaires/Internet/fiches/8869710.html Fiche terminologique du Grand Dictionnaire terminologique (OQLF)] * {{fr}} [http://rlwpx.free.fr/WPFF/phishing.htm Exemple pour tester votre navigateur] * {{fr}} [http://www.clubic.com/actualite-33011-nouvelle-attaque-de-phishing-pour-bnp-paribas.html Exemple d'hameçonnage BNP Paribas] * {{fr}} [http://www.clubic.com/actualite-33049-la-semaine-du-phishing-apres-bnp-lcl-et-la-sg.html Exemple d'hameçonnage LCL & SG] * {{fr}} [http://www.hsc.fr/ressources/presentations/jip05-xss/index.html.fr Cross Site Scripting et Phishing] * {{fr}} [http://www.cases.public.lu/publications/dossiers/phishing/index.html cases.lu Dossier thématique sur le phishing avec test] * {{en}} [http://www.antiphishing.org ''Anti-Phishing Working Group''] * {{en}} [http://www.fraudwatchinternational.com ''FraudWatch International''] * {{en}} [http://www.xml-dev.com/xml/SafeBrowsing/ ''Safe Browsing for Enterprise Users''] * {{en}} [http://www.cabforum.org/ Extended Validation SSL Certificates - A New, Higher Standard for Internet Security] * {{en}} [http://www.net-security.org/secworld.php?id=6100 10 tips to avoid phishing attacks on net-security.org] ==Référence== <references/> {{Portail sécurité informatique}} [[Catégorie:Fraude sur Internet]] {{Lien AdQ|en}} {{Lien BA|es}} {{Lien AdQ|bn}} [[ar:تصيد]] [[az:Fişinq]] [[bn:ফিশিং]] [[ca:Pesca electrònica]] [[cs:Phishing]] [[da:Phishing]] [[de:Phishing]] [[en:Phishing]] [[eo:Ŝteltruko]] [[es:Phishing]] [[eu:Phishing]] [[fa:فیشینگ]] [[fi:Verkkourkinta]] [[ga:Fioscaireacht]] [[gl:Phishing]] [[he:דיג מקוון]] [[hu:Adathalászat]] [[id:Phishing]] [[io:Phishing]] [[it:Phishing]] [[ja:フィッシング (詐欺)]] [[ko:피싱]] [[la:Insidiae hamatae]] [[lt:Fišingas]] [[ms:Phishing]] [[nl:Phishing]] [[nn:Phishing]] [[no:Phishing]] [[pl:Phishing]] [[pt:Phishing]] [[ro:Phishing]] [[ru:Фишинг]] [[simple:Phishing]] [[sk:Phishing]] [[sl:Phishing]] [[sv:Nätfiske]] [[th:ฟิชชิง]] [[tr:Yemleme]] [[uk:Фішинг]] [[vi:Phishing]] [[zh:钓鱼式攻击]] [[zh-min-nan:Phishing]] [[zh-yue:釣魚 (網絡)]]