Voir la source de Hameçonnage

[[Image:PhishingTrustedBank.png|vignette|Exemple d'hameçonnage.]]

L''''hameçonnage''', '''filoutage''' ou '''''{{lang|en|phishing}}'''''<ref group="alpha">L'[[anglicisme]] est couramment utilisé.</ref> ({{MSAPI|ˈfɪʃɪŋ}}<ref group="alpha">[[Prononciation de l'anglais|Prononciation]] en [[anglais américain]] [[Transcription phonétique|retranscrite]] selon la [[alphabet phonétique international|norme API]]. C'est un [[homophone]] de ''{{lang|en|fishing}}''.</ref> {{Prononciation|En-us-fishing.ogg}}) est une technique utilisée par des [[fraude]]urs pour pouvoir obtenir des renseignements personnels dans le but de perpétrer une [[usurpation d'identité]]. La technique consiste à faire croire à la victime qu'elle s'adresse à un [[tiers de confiance]] {{Incise|[[banque]], [[Administration publique|administration]], [[entreprise]]…}} afin de lui soutirer des renseignements personnels : [[mot de passe]], numéro de [[carte de crédit]], numéro ou photocopie de la [[carte d'identité]], [[date de naissance]]… En effet, le plus souvent, une copie exacte d'un [[site web]] est réalisée dans l'optique de faire croire à la victime qu'elle se trouve sur le site web officiel où elle pensait se connecter. La victime va ainsi saisir ses codes personnels qui seront récupérés par celui qui a créé le faux site, il aura ainsi accès aux [[données personnelles]] de la victime et pourra dérober tout ce que la victime possède sur ce site. L'attaque peut aussi être réalisée par [[courrier électronique]] ou autres moyens électroniques comme un message sur un [[réseau social mobile]]. Lorsque cette technique utilise les [[SMS]] pour obtenir des renseignements personnels, elle s'appelle [[SMiShing]]<ref>[http://www.definitions-webmarketing.com/Definition-Smishing Définition Smishing].</ref>.

== Terminologie ==
« Hameçonnage » est un [[néologisme]] [[Québec|québécois]] créé en {{date-|avril 2004}} par l'[[Office québécois de la langue française]]<ref>{{GDT|phishing}}
 : {{citation|Les termes ''hameçonnage'', ''hameçonnage par courriel'', ''appâtage'' et ''appâtage par courriel'' ont été proposés par l'Office québécois de la langue française, en avril 2004, pour désigner ce concept. Le mot ''hameçonnage'', absent des dictionnaires et d'Internet, était potentiellement disponible, du fait de l'existence d'autres mots français appartenant à la même famille sémantique : ''hameçon'', ''hameçonner'' et ''hameçonneur''.}}</ref>. En France, la [[Commission générale de terminologie et de néologie]] a choisi « filoutage » en 2006, tout en précisant que le terme « hameçonnage » était aussi en usage<ref name="JORF">[http://legifrance.gouv.fr/affichTexte.do?categorieLien=id&cidTexte=JORFTEXT000000426018 Avis de la Commission générale de terminologie et de néologie : Vocabulaire de l'économie et du tourisme], [[Journal officiel de la République française|JORF]] {{n°}}37 du 12 février 2006, {{p.}}2239, texte {{n°}}43, [[Système NOR|NOR]] CTNX0609037K, sur [[Légifrance]].</ref>. « Hameçonnage » remplace ensuite « filoutage » dans le ''Journal officiel'' du {{date-|14 septembre 2021}}<ref>https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044039667</ref>.

Le terme {{lang|en|''phishing''}} est une variante orthographique du mot anglais {{lang|en|''fishing''}}<ref>{{lien web |titre=Spam Slayer : Do You Speak Spam? |url=http://www.pcworld.com/article/113431/spam_slayer_do_you_speak_spam.html |site=PCWorld |consulté le=16-08-2020|brisé le = 2024-02-09}}.</ref>, il s'agit d'une variation orthographique du même type que le terme ''[[phreaking]]'' (''f'' remplacé par ''ph''). Il aurait été inventé par les « [[Hacker (sécurité informatique)|pirates informatiques]] » qui essayaient de voler des comptes [[America Online|AOL]] et serait construit sur l'expression anglaise ''{{lang|en|password harvesting fishing}}'', soit « pêche et récolte aux mots de passe »<ref>{{Lien web |langue=en |titre=History of Phishing |url=http://www.phishing.org/history-of-phishing}}.</ref> : un attaquant se faisait passer pour un membre de l'équipe AOL et envoyait un [[messagerie instantanée|message instantané]] à une victime potentielle. Ce message demandait à la victime d'indiquer son mot de passe, afin de, par exemple, « vérifier son compte AOL » ou « confirmer ses informations bancaires ». Une fois que la victime avait révélé son mot de passe, l'attaquant pouvait accéder au compte et l'utiliser à des fins malveillantes, comme l'envoi de [[spam]].

== Internet ==
[[File:Spammed-mail-folder-2024-french.png|thumb|Répertoire [[spam]] d'une boîte de réception d'emails française (2024) contenant aussi de l'hameçonnage.]]

Les [[Crime informatique|criminels informatiques]] utilisent généralement l'hameçonnage pour voler de l'argent ou des données personnelles qui peuvent être revendues au [[marché noir]]. Les cibles les plus courantes sont les [[Banque en ligne|services bancaires en ligne]], les [[fournisseur d'accès à internet|fournisseurs d'accès à internet]], les sites de ventes aux enchères tels qu'[[eBay]], et le [[système de paiement]] [[Paypal|PayPal]]. Les adeptes de l'hameçonnage envoient habituellement des [[courriel]]s à un grand nombre de victimes.

Typiquement, les messages ainsi envoyés semblent émaner d'une société digne de confiance et sont formulés de manière à alarmer le destinataire afin qu'il effectue une action en conséquence. Une approche souvent utilisée est d'indiquer à la victime que son compte a été désactivé à cause d'un problème et que la réactivation ne sera possible qu'en cas d'action de sa part. Le message fournit alors un [[hyperlien]] qui dirige l'utilisateur vers une [[page Web]] qui ressemble à s'y méprendre au vrai site de la société digne de confiance. Arrivé sur cette page falsifiée, l'utilisateur est invité à saisir des informations confidentielles qui sont alors enregistrées par le criminel<ref>{{Lien web |langue=fr-FR |auteur=Paul Degeneve |auteur2=José Boulesteix |titre=L'INA éclaire l'actu |sous-titre=Escroquerie sur Internet |description=[[Journal de 20 heures (France 2)|20 heures]], extrait du journal du 3 mars 2005 |url=https://www.ina.fr/ina-eclaire-actu/video/2776431001026/escroquerie-sur-internet |format=vidéo |accès url=libre |site=[[Institut national de l'audiovisuel|ina.fr]] |date=2021-07-09 |consulté le=2023-02-09 |nature document=Reportage audiovisuel}}.</ref>.

En 2007, ces criminels informatiques ont changé de technique en utilisant un moyen de piratage appelé [[attaque de l'homme du milieu]] pour recueillir les informations confidentielles données par l'internaute sur le site visité.

Afin d'entretenir la confusion, il arrive que l'utilisateur soit ensuite redirigé vers la vraie adresse du site web, sur lequel l'[[authentification]] lui est à nouveau demandée.

Il existe différentes variantes :
* le ''[[spear phishing]]'', qui vise une personne précise, par exemple sur des [[réseaux sociaux]] ;
* l'''[[in-session phishing]]'', qui tente de récupérer la [[Session (informatique)|session utilisateur]] durant la navigation.
Cette dernière variante est possible du fait de la présence d’une faille informatique de type [[Cross-site scripting|XSS]] sur le site web visé.

== Méthodes de prévention ==

Le site du [[Gouvernement de la République française|gouvernement français]] a écrit un article concernant la protection contre le phishing<ref>{{Lien web |langue=fr |auteur=Bercy infos |titre=Comment se prémunir contre l&#039;hameçonnage ? economie.gouv.fr |url=https://www.economie.gouv.fr/particuliers/phishing-hameconnage-filoutage# |date=22 mai 2023 |site=economie.gouv.fr |consulté le=12 janvier 2024}}.</ref>.

=== Vérification de l'orthographe du nom de domaine ===
[[Fichier:Email account phishing fr.jpg|thumb|Exemple d’hameçonnage pour obtenir l'accès à un compte [[webmail]] à fin de [[spam]]. La syntaxe défaillante et le caractère inadéquat de l'[[Uniform Resource Locator|adresse Web]] proposée dans le corps du message sont susceptibles d'éveiller les soupçons.]]
La vérification de l'[[adresse web]] dans la barre d'adresse du [[navigateur web]] est la première parade. Ainsi, une attaque simple consiste à utiliser [[Typosquattage|un nom de domaine très semblable]] (par exemple avec une faute grammaticale ou orthographique), comme « <nowiki>http://www.societegeneral.fr</nowiki> » au lieu de « <nowiki>http://www.societegenerale.fr</nowiki> ». L'attaquant aura préalablement acheté un nom de domaine proche de l'original, généralement une variante orthographique.

De même le site « france-impotsgouv.fr », a pu être utilisé pour usurper « impots.gouv.fr »<ref>{{Lien web|langue=en |titre=Whois Record for Impots.gouv.fr |url=http://www.ip-adress.com/whois/france-impotsgouv.fr |date= |site=ip-adress.com |consulté le=19 mars 2017}}.</ref>.

=== Vérification de l'absence d'arobase dans l'URL ===
Dans les années 1990 et au début des années 2000, une méthode très utilisée était la possibilité de laisser au sein de l'URL le nom d'utilisateur et le mot de passe dans le cadre d'une [[HTTP Authentification|authentification HTTP]]. L'URL prend alors la forme « <nowiki>http://login:motdepasse@www.domaine.tld</nowiki> ».

À cette époque, il était fréquent que les URLs comportent une longue [[chaîne de caractères]] pour identifier la session de l'utilisateur. Par exemple, une telle URL pouvait ressembler à <nowiki>« http://www.domaine.tld/my.cnf?id=56452575711&res=lorem-ipsum-dolor&quux=2&lang=fr&sessid=jP3ie3qjSebbZRsC0c9dpcLVe2cAh0sCza3jcX7mSuRzwY4N0v1DBB71DMKNkbS »</nowiki>

Les attaquants concevaient dès lors une URL ressemblant à celle ci-dessus, en écrivant le nom de domaine usurpé comme login. Par exemple, pour convaincre l'utilisateur que le site qu'il visite est bien www.societegenerale.fr, et que l'[[adresse IP]] du [[Serveur informatique|serveur]] de l'attaquant est 88.132.11.17, l'URL pouvait être <nowiki>« http://www.societegenerale.fr/espaceclient:id=56452575711&res=lorem-ipsum-dolor&quux=2&lang=frsessid=jP3ie3qjSebbZRsC0c9dpcLVe2cAh0sCza3jcX7mSuRzwY4N0v1DBB71DMKNkbS@88.132.11.17 »</nowiki>.

Du fait de cette technique d'hameçonnage, les navigateurs web ont été améliorés afin de prévenir leurs utilisateurs lorsqu'ils détectent cette manœuvre. Ainsi, dans le cas précédent, le navigateur [[Firefox]] proposerait le message suivant :
:''Vous êtes sur le point de vous connecter au site « 88.132.11.17 » avec le nom d'utilisateur « a », mais ce site web ne nécessite pas d'authentification. Il peut s'agir d'une tentative pour vous induire en erreur.''
:« 88.132.11.17 » est-il bien le site que vous voulez visiter ?

Cette technique d'hameçonnage est donc aujourd'hui minoritaire.

=== Vérifier l'absence de caractères Unicode ===
Une méthode plus élaborée pour masquer le nom de domaine réel consiste à utiliser des caractères bien choisis parmi les dizaines de milliers de caractères du répertoire [[Unicode]]<ref>[http://www.shmoo.com/idn/homograph.txt The state of homograph attacks, Rev 1.1]</ref>. En effet, certains caractères spéciaux ont l'apparence des caractères de l'alphabet latin. Ainsi, l'adresse web « <nowiki>http://www.pаypal.com/</nowiki> » a la même apparence que « <nowiki>http://www.paypal.com/</nowiki> », mais est pourtant bien différente car elle renvoie vers un site web différent. De même, <nowiki>http://www.airfrạnce.com</nowiki> aura la même apparence que « <nowiki>http://www.airfrance.com</nowiki> », surtout si le navigateur souligne l'adresse internet.

Une contre-mesure à cette attaque est de ne pas permettre l'affichage des caractères hors du répertoire [[ASCII]], qui ne contient que les lettres de A à Z, les chiffres et de la ponctuation. Cette dernière contre-mesure est cependant difficilement compatible avec l'internationalisation des noms de domaine, qui requiert le jeu de caractères Unicode.

=== Vérifier les certificats électroniques ===
Il existe depuis les [[années 1990]] une parade technique à l'hameçonnage : le [[certificat électronique]]. Toutefois, l'interface utilisateur des navigateurs Web a longtemps rendu les certificats incompréhensibles pour les visiteurs. Cette interface était connue sous les traits d'un petit cadenas. Il était simplement expliqué au grand public que le cadenas signifie que la communication est chiffrée, ce qui est vrai, mais ne protège aucunement contre l'hameçonnage. Dans les [[années 2000]], des certificats étendus ont été inventés. Ils permettent d'afficher plus clairement l'identité vérifiée d'un site.

=== Écrire manuellement les URL ===
Une personne contactée au sujet d'un compte devant être « vérifié » doit chercher à régler le problème directement avec la société concernée ou se rendre sur le site web en tapant manuellement l'adresse dans la [[barre d'adresse]] dans son navigateur web plutôt qu'en cliquant sur un lien qui lui aurait été fourni. Il faut savoir que les sociétés bancaires n'utilisent jamais la communication par courriel pour corriger un problème de sécurité avec leurs clients. En règle générale, il est recommandé de faire suivre le message suspect à la société concernée<ref>si l’hameçonnage concerne {{mono|societe.com}}, il faut faire suivre le mail à l'adresse {{mono|<nowiki>usurpation@societe.com</nowiki>}} ou {{mono|<nowiki>abuse@societe.com</nowiki>}}</ref>, ce qui lui permettra de faire une enquête.

=== Autres méthodes et techniques ===
Les filtres [[Lutte anti-spam|anti-spam]] aident à protéger l’utilisateur des criminels informatiques par le fait qu'ils réduisent le nombre de courriels que les utilisateurs reçoivent et par conséquent les risques d'hameçonnage. Le logiciel client de messagerie [[Mozilla Thunderbird]] comporte un [[Filtrage bayésien du spam|filtre bayésien]] très performant (c'est un filtre anti-spam auto-adaptatif).

Les fraudes concernant les [[Banque en ligne|banques en ligne]] visent à obtenir l'[[identifiant]] et le [[mot de passe]] du titulaire d'un [[compte courant|compte]]. Il devient ensuite possible au fraudeur de se connecter sur le [[site web]] de la banque et d'effectuer des [[virement]]s de fonds vers son propre compte. Pour parer à ce type de fraude, la plupart des sites bancaires en ligne n'autorisent plus l'[[internaute]] à [[Saisie de données|saisir]] lui-même le compte destinataire du virement{{référence nécessaire}} : il faut, en règle générale, téléphoner à un service de la banque qui reste seul habilité à saisir le compte destinataire dans une liste de comptes. La conversation téléphonique est souvent enregistrée et peut alors servir de preuve{{référence nécessaire}}.

D'autres banques utilisent une identification renforcée, qui verrouille l'accès aux virements si l'utilisateur n'indique pas la bonne clé à huit chiffres demandée aléatoirement, parmi les soixante-quatre qu'il possède. Si la clé est la bonne, l'internaute peut effectuer des virements en ligne.

En France, les internautes sont invités à communiquer avec la cellule de veille de la [[Police nationale (France)|police nationale]] pour témoigner de leurs propres (mauvaises) expériences ou leur envoyer des liens conduisant à des sites qu'ils jugent contraires aux lois. Ils ont pour cela à leur disposition un site internet dédié : <code>https://www.internet-signalement.gouv.fr</code> <ref>{{lien web |titre=Internet-signalement.gouv.fr - Portail officiel de signalements de contenus illicites - Questions et réponses sur le signalement |url=https://www.internet-signalement.gouv.fr/PortailWeb/planets/Faq.action;jsessionid=F56948C400D6936D853A405B54D8B890 |site=internet-signalement.gouv.fr |consulté le=14-09-2021}}.</ref>.

Pour aider les internautes à se protéger contre ces fraudes, l'association à but non lucratif [[Phishing Initiative]] a été créée en 2010 : elle permet à tout internaute de signaler les sites web frauduleux francophones pour les faire bloquer.

== Exemple ==
=== Banque ===
Les attaques par hameçonnage sont le plus souvent dirigées vers les sites sensibles tels que les sites bancaires. En reprenant le même formalisme et en utilisant une adresse mail très similaire, il est très courant que des arnaqueurs en ligne se fassent passer pour une banque en envoyant des mails frauduleux. Dans la plupart des cas, ces mails prétendent à une fraude ou à la validation d'une opération et requièrent toutes les informations personnelles de leurs faux clients. Les sites de réseaux sociaux sont aujourd'hui également la cible de ces attaques.

=== Particuliers ===
Les profils des utilisateurs des [[réseaux sociaux]] contiennent de nombreux éléments privés qui permettent aux pirates informatiques de s'insérer dans la vie des personnes ciblées et de réussir à récupérer des informations sensibles<ref>http://blogs.orange-business.com/cgi-bin/mt/mt-search.cgi?blog_id=2&tag=reseaux%20sociaux&limit=20 {{Lien archive|url=http://blogs.orange-business.com/cgi-bin/mt/mt-search.cgi?blog_id=2&tag=reseaux%20sociaux&limit=20 |titre=Copie archivée |horodatage archive=20180723035513 }}</ref>.

=== Entreprise ===

« L’arnaque au président » connue également sous le nom de FOVI (Faux Ordres de Virements), désigne une fraude réalisée à l’intention d’une société de toute taille. Les auteurs se font passer pour le dirigeant d’une société sollicitant un virement bancaire prétextant une opération financière urgente et confidentielle<ref>{{Lien web |langue=fr |nom=AfricaCyberMag |prénom2=21 |nom2=Août |titre=La fraude au Président, à la découverte d'une arnaque bien organisée |url=https://cybersecuritymag.africa/fraude-au-president-decouverte-arnaque-bien-organisee |site=Africa Cybersecurity Magazine |date=2020-08-21 |consulté le=2021-01-14}}.</ref>. Depuis l'apparition de ce nouveau type d'escroquerie en 2010<ref>{{Lien web |langue=fr |titre=L'arnaque au président ou escroquerie aux faux ordres de virement (FOVI) |url=https://www.police-nationale.interieur.gouv.fr/Actualites/Dossiers/Cybercrime/L-arnaque-au-president-ou-escroquerie-aux-faux-ordres-de-virement-FOVI |site=Police Nationale |date=21 janvier 2016 |consulté le=14 janvier 2020|brisé le = 2024-02-09}}.</ref>, ces faits se sont multipliés dans certaines grandes entreprises dont le cas le plus célèbre est Walter Stephan, PDG d'un équipementier aéronautique fournisseur d'Airbus et de Boeing, qui a engendré une perte de 42 millions d'euros<ref>{{Lien web |langue=fr |prénom=Paris |nom=Match |titre=Autriche: un PDG limogé après une arnaque à 42 millions d'euros |url=https://www.parismatch.com/Actu/International/Autriche-un-PDG-limoge-apres-une-arnaque-a-42-millions-d-euros-977506 |site=parismatch.com |consulté le=2021-01-14}}.</ref>. En mars 2018, [[Pathé]] a également été victime d'une fraude estimée à plus de 19 millions d'euros<ref>{{Lien web |langue=fr |titre=Une "arnaque au président" coûte plus de 19 millions d'euros à Pathé |url=https://www.bfmtv.com/tech/une-arnaque-au-president-coute-plus-de-19-millions-d-euros-a-pathe_AN-201811100029.html |site=BFMTV |consulté le=2021-01-14}}.</ref>. En 2023, une arnaque consistant à se faire passer pour la [[Société nationale des chemins de fer français|SNCF]] s'est diffusée par l'intermédiaire de [[WhatsApp]], en faisant la fausse promesse d'une [[carte cadeau]] de 1 an de voyages gratuits dans les trains de l'entreprise<ref>{{Lien web |langue=fr |auteur=Jérôme Comin |titre="Un an de voyages gratuits avec la SNCF" : attention à cette arnaque qui tourne sur WhatsApp à l&#039;approche de Noël |url=https://france3-regions.francetvinfo.fr/provence-alpes-cote-d-azur/bouches-du-rhone/marseille/un-an-de-voyages-gratuits-avec-la-sncf-attention-a-cette-arnaque-qui-tourne-sur-whatsapp-a-l-approche-de-noel-2892383.html |date=18 décembre 2023 |site=france3-regions.francetvinfo.fr |consulté le=12 janvier 2024}}.</ref>.

== Notes et références ==
=== Notes ===
{{Références|groupe=alpha}}
=== Références ===
{{Références}}

== Voir aussi ==
=== Articles connexes ===
* [[Hameçonnage par téléphone]]
* [[Hameçonnage de type loterie]]
* [[Authentification forte]]
* [[Crimeware]]
* [[DKIM]], technologie de lutte contre l’hameçonnage
* [[In-session phishing]]
* [[Ingénierie sociale (sécurité de l'information)]]
* [[Pharming]]
* [[Usurpation d'identité]]
* [[Social Engineering Toolkit]] (logiciel permettant la mise en place de diverses techniques d'hameçonnage)
* [[Vulnérabilité des services d'authentification web]]

=== Liens externes ===
* {{fr}} [http://www.phishing-initiative.eu ''Phishing Initiative''] : site web de l'association [[Phishing Initiative]]
* {{en}} [http://www.antiphishing.org ''Anti-Phishing Working Group'']
* {{en}} [http://www.fraudwatchinternational.com ''FraudWatch International'']
* {{fr}} [http://certsg.blogspot.com/2011/12/sensibilisation-le-phishing-ou.html ''CERT Société Générale : Le phishing ou hameçonnage''] (2011)

{{Portail|sécurité informatique|Internet}}

{{DEFAULTSORT:Hameconnage}}
[[Catégorie:Fraude sur Internet]]
[[Catégorie:Sécurité informatique]]
[[Catégorie:Lexique d'Internet]]
[[Catégorie:Mystification]]
[[Catégorie:Usurpation d'identité]]
[[Catégorie:Escroquerie]]