Le 15 octobre, une démonstration vue près de 3 millions de fois sur le réseau social X a montré deux adresses côte à côte : amazon.com et une copie strictement identique à l'œil. La seconde menait pourtant vers un faux site, conçu pour voler des identifiants. Le piège est ancien, mais il reste redoutable. La bonne nouvelle, c'est qu'on s'en protège sans avoir besoin de repérer la fausse lettre.
Comment une fausse adresse peut-elle être identique à la vraie ?
La fausse adresse remplace une lettre par une lettre d'un autre alphabet qui s'affiche exactement pareil. Dans l'exemple d'Amazon, le premier « a » était un « а » de l'alphabet cyrillique, celui du russe. Pour vos yeux, rien ne change. Pour l'ordinateur, c'est une tout autre adresse, qui appartient à quelqu'un d'autre.
Les spécialistes appellent cela une attaque par homographe. C'est une variante plus sournoise des adresses avec une faute de frappe, comme « amazom.com » ou « amazn.com ». Ici, aucune faute n'est visible.
Le piège ne se limite pas aux sites. La même lettre trompeuse peut se glisser dans :
- l'adresse de l'expéditeur d'un e-mail ;
- un lien reçu par SMS ;
- le nom d'un compte sur un réseau social.
Quels signes peuvent trahir une fausse adresse ?
Votre navigateur vous aide souvent : il peut afficher un avertissement « site non sécurisé » ou « site trompeur », ou montrer l'adresse sous une forme étrange qui commence par « xn-- ». Si vous voyez l'un de ces signes, fermez la page. Cette protection n'est pas infaillible, il faut donc aussi de bons réflexes.
Ce « xn-- » n'est pas un hasard. Les adresses internet ne connaissent au départ que les lettres latines sans accent, les chiffres et le tiret. Une adresse qui contient une lettre d'un autre alphabet est donc traduite dans un format technique qui commence par « xn-- ». Quand le navigateur trouve un mélange d'alphabets suspect, il préfère afficher cette forme pour vous alerter.
Les autres signes à prendre au sérieux :
- une page rouge ou un message d'alerte de votre navigateur avant d'arriver sur le site ;
- un lien reçu sans l'avoir demandé, avec une urgence : compte bloqué, colis en attente, commande à confirmer ;
- une demande de codes ou de carte bancaire dès l'arrivée sur la page.
Comment se protéger sans avoir à repérer la fausse lettre ?
Le plus sûr est de ne jamais arriver sur un site important par un lien reçu. Pour votre banque, vos achats ou vos démarches, passez toujours par un favori que vous avez créé vous-même, par l'application officielle, ou en tapant l'adresse au clavier. Ainsi, la fausse adresse ne vous atteint jamais.
Concrètement :
- Enregistrez en favori les sites que vous utilisez souvent (banque, impôts, Ameli, boutique en ligne), une fois pour toutes, en tapant vous-même leur adresse.
- Ne cliquez pas sur les liens des e-mails et des SMS inattendus, même s'ils semblent venir d'un organisme connu. C'est le même réflexe que pour reconnaître un faux SMS ou les faux messages de réservation d'hôtel.
- Ne passez pas outre un avertissement du navigateur. Une page rouge n'est pas un bug à contourner.
- En cas de doute sur un lien, sans l'ouvrir, copiez-le et collez-le sur VirusTotal, un service gratuit qui le fait analyser par des dizaines de logiciels de sécurité.
Un exemple : un e-mail annonce « Votre commande est suspendue ». Ne cliquez pas. Ouvrez votre favori et connectez-vous comme d'habitude. Si la commande a un problème, vous le verrez dans votre compte.
Ces gestes se mettent en place ensemble pendant un cours d'informatique à domicile : créer les favoris, ranger les applications utiles, et s'entraîner à reconnaître un message douteux.
Que faire si vous avez saisi vos codes sur un faux site ?
Agissez vite. Si vous avez donné les numéros de votre carte, appelez votre banque immédiatement pour faire opposition. Si vous avez tapé un mot de passe, changez-le tout de suite depuis le vrai site, ainsi que sur tous les comptes où vous utilisiez le même. Gardez le message reçu comme preuve.
Ensuite, comme le conseille cybermalveillance.gouv.fr, le site officiel d'assistance aux victimes :
- signalez le faux site sur Phishing Initiative, pour qu'il soit bloqué plus vite ;
- transférez le SMS frauduleux au 33700, le numéro gratuit de signalement ;
- appelez Info Escroqueries au 0 805 805 817, numéro gratuit, pour être conseillé ;
- déposez plainte si de l'argent a été prélevé.
Vous ne savez plus si votre ordinateur ou votre téléphone est sûr après un clic malheureux ? Un dépannage à domicile permet de vérifier l'appareil, de changer les mots de passe avec vous et de sécuriser vos comptes.
À retenir
- Une fausse adresse peut être parfaitement identique à la vraie : ne vous fiez pas à vos yeux.
- Pour la banque, les achats et les démarches, passez toujours par vos favoris ou l'application officielle.
- Un avertissement du navigateur ou une adresse en « xn-- » : on ferme la page.
L'auteur
Quentin Challier
Dépanneur informatique à domicile à Marseille depuis 2012
J'aide les particuliers à utiliser leur ordinateur, leur téléphone et Internet sans stress. Sur ce blog, je réponds aux questions les plus courantes, avec des mots simples.
