Voilà qui n’est pas bon signe. L’an passé, le site Cybermalveillance.gouv.fr, un service public qui prodigue des conseils à toute victime d’abus numérique, a recensé un bond de sa fréquentation de 50 % en un an. De son côté, l’Agence de l’Union européenne pour la cybersécurité (Enisa) a confirmé, dans son dernier rapport, qu’à l’échelle continentale «le piratage avait augmenté entre 2021 et 2022 en Europe aussi bien en nombre d’attaques que d’impact». Les confinements successifs, associés à la numérisation de nos sociétés, expliquent bien évidemment la tendance. Mais pas seulement. «Les techniques de piratage se démocratisent. Alors qu’auparavant il fallait être un petit génie pour hacker, c’est désormais à la portée du premier venu car les outils sont facilement accessibles, surtout si l’on est prêt à payer», explique Jean-Jacques Latour, directeur expertise cybersécurité chez Cybermalveillance.gouv.fr
>> Notre service - Fibre, ADSL : faites des économies avec la meilleure box internet à votre adresse
Et on n’a sans doute rien vu: avec le développement exponentiel des objets connectés – 14,4 milliards selon un décompte du cabinet IoT Analytics –, les pirates ont trouvé un vaste terrain de jeu. Déjà, Microsoft a reconnu que 1 million de ses petits terminaux avaient été infectés, sans doute par des hackers chinois, fin novembre dernier. La firme a précisé que «cette vulnérabilité permettait à un attaquant de pénétrer un réseau sans être détecté grâce à des informations d’identification». Et, une fois dans la place, d’espionner des données sensibles. Bref, il s’agit désormais de sécuriser non seulement votre ordinateur potable et votre smartphone, mais aussi votre aspirateur robot, voire votre voiture électrique, désormais bardée d’électronique. Pour cela, suivez nos conseils, simples à mettre en place, et qui ne vous coûteront, au total, pas plus de 200 à 300 euros par an.
Evitez les erreurs de débutant
Pour limiter les fuites de données, il y a d’abord la prudence la plus élémentaire: ne jamais cliquer sur un lien sans en vérifier la source, ni ne communiquer ses identifiants de connexion. Le mieux est aussi, en déplacement, d’éviter les points Wi-Fi publics: ce sont de véritables passoires, car, si vous n’avez pas à respecter de procédure d’authentification pour y accéder, les pirates non plus. Pour surfer sur votre mobile, utilisez plutôt une connexion 4G ou 5G. Pour votre ordinateur, paramétrez votre smartphone en point d’accès Wi-Fi, pour partager la connexion. Cela ne doit pas vous empêcher, par ailleurs, de mettre régulièrement votre matériel à jour. Ces actualisations ne se contentent pas d’améliorer son fonctionnement, mais renferment aussi des patchs de sécurité corrigeant les failles récemment détectées.
Et il est bien sûr recommandé, en complément, d’opter pour un antivirus (à mettre à jour également régulièrement!). Les plus efficaces d’entre eux (sous Windows, on peut citer Bitdefender, Norton et McAfee, et, du côté de macOS, Intego) ne coûtent qu’une quarantaine d’euros par an pour bénéficier de la protection maximale. Ces logiciels vous permettront de bénéficier d’un pare-feu, efficace contre les tentatives d’intrusion, et d’un outil de sauvegarde de données personnelles. Sachez toutefois que, pour efficaces qu’ils soient, ils ne vous protégeront pas des virus «zero-day», développés lorsque des failles viennent tout juste d’être débusquées.
Gérez au mieux vos différents mots de passe
On le sait, et les sites de commerce en ligne ne vous laissent d’ailleurs pas le choix: un mot de passe sécurisé se doit de comporter au minimum huit caractères, incluant minuscules, majuscules, chiffres et caractères spéciaux. Il est préférable que ce code soit propre à chaque compte ou service, afin d’éviter que le piratage de vos identifiants et mot de passe sur un seul compte ne donne accès à tous les autres. Attention sur ce point aux variantes de codes, dérivées d’un mot de passe principal: elles n’offrent pas suffisamment de garanties.
Mais le casse-tête se complique quand on sait qu’il faut aussi changer tous les trois ou quatre mois environ les sésames utilisés. Le mieux sera donc d’opter pour les générateurs de mots de passe aléatoires, disponibles sur les sites ou proposés par les navigateurs Web. Puis, plutôt qu’à un Post-it à côté de l’ordinateur, de recourir à un gestionnaire de mots de passe, même s’ils ne sont bien évidemment pas sûrs à 100%. Parmi les solutions gratuites, signalons Dashlane, Keepass et LastPass. Ou celles désormais intégrées aux navigateurs Web. Si tout cela vous semble fastidieux, «adoptez ces conseils pour, au moins, le mot de passe de votre boîte mail», suggère Jean-Jacques Latour. Celle-ci renferme souvent une large part de votre vie: bulletins de paie, coordonnées bancaires, carte d’identité…
Protégez vos données les plus sensibles
En plus des conseils précédents, il est conseillé de mettre en place un VPN, une sorte de réseau privé virtuel, qui permettra d’isoler vos échanges du reste du trafic d’Internet. Vos données circuleront librement, et sans risque qu’un tiers indésirable ne les intercepte. Les services ne manquent pas, tels NordVPN, CyberGhost, Surfshark, ExpressVPN ou PureVPN. Prévoyez alors un budget de 10 à 15 euros par mois, mais sachez que ces tarifs baissent drastiquement, à seulement 3 euros par mois, si vous vous engagez pour une durée supérieure à deux ans.
Chiffrer ses données, c’est-à-dire les rendre inintelligibles pour qui ne possède pas la clé de décryptage, est une autre possibilité. Les solutions comme Microsoft BitLocker et Apple FileVault (gratuits, respectivement avec Windows 10 et 11, et avec macOS) préserveront parfaitement la confidentialité et l’intégrité de vos informations personnelles. Enfin, sauvegardez régulièrement vos données sur un disque dur externe que vous ne connecterez pas à Internet.
Gare aux nouveaux types d’hameçonnage
Les techniques de phishing sont toujours plus sophistiquées: plutôt que par mail, les escrocs vous solliciteront directement par téléphone, en se faisant passer pour votre conseiller bancaire, votre opérateur mobile, voire, comme dans le cas de notre témoin, pour un expert de Google! Leur but: vous faire valider à distance, sous prétexte d’une «mise à jour» ou d’une «confirmation à la suite d’un incident technique», des achats en ligne frauduleux. Inquiétant, quand on sait que les données nécessaires pour ces arnaques (nom, prénom et adresse électronique ou numéro de téléphone) sont facilement disponibles sur le darknet, ce réseau fréquenté par les escrocs. Exemple avec ce pirate qui, le 4 janvier dernier, a mis en vente les adresses mails de 200 millions de comptes Twitter, l’équivalent de 59 gigaoctets de données, pour la somme de… 2 euros.
Pas étonnant dès lors que 38% des demandes d’assistance sur Cybermalveillance.gouv.fr aient concerné de tels hameçonnages en 2022, contre 31% en 2021. Le pire, c’est que les banques se montrent réticentes à rembourser les victimes (dépenses et agios éventuels générés par ces dépenses), en invoquant la faute du client. C’est pourtant aux établissements de prouver qu’il y a eu négligence grave. «Cette faute pourra être reconnue par les tribunaux si vous êtes tombé dans un piège très grossier, par exemple en répondant à un courriel comportant de nombreuses fautes d’orthographe», avertit toutefois l’association de consommateurs UFC-Que choisir. Dans tous les cas, et même si vous disposez d’un délai de treize mois pour signaler un débit frauduleux, réagissez vite, en faisant des copies d’écran, et en sauvegardant des documents prouvant la fraude.
En cas de rançongiciel, ripostez sans tarder
Voilà une des pires tuiles numériques qui puisse arriver: le blocage de comptes, par un pirate qui en a pris le contrôle. «Le plus souvent, ce hacker profite d’un mot de passe trop fragile, ou découvert sur d’autres sites», décrit Jean-Jacques Latour. Antoine, jeune journaliste pourtant spécialisé dans les technologies, en a récemment fait les frais, après avoir trouvé dans sa boîte mail personnelle d’envois un message dont il n’était pas l’auteur. Il se rend alors compte qu’en plus de ce webmail ses comptes vidéo ludiques ont été piratés, et leurs identifiants et mots de passe changés. Rançon demandée par le hacker: 400 euros, à verser sur un portefeuille en cryptomonnaies.
Heureusement, Antoine a su réagir vite, et de façon méthodique. Il a demandé à sa banque une surveillance renforcée de son compte, fait opposition sur sa carte bancaire, et déposé une préplainte à son commissariat, tout en prévenant la plateforme Pharos (Internet-signalement.gouv.fr). Mais il a aussi passé en revue les sites sur lesquels son mot de passe piraté risquait d’être utilisé, à commencer par France Connect, le service public d’accès à de nombreux services administratifs. Avant de réinitialiser son mot de passe, via une procédure spéciale auprès de son fournisseur de messagerie. Il en a été quitte pour 800 à 1.000 euros, la valeur estimée de son compte Fortnite, qu’il n’a pas pu rétablir.
Notre panoplie d’outils antipiratage les plus efficaces
Certes, il vous sera impossible d’obtenir un Teorem, ce téléphone fabriqué par Thales, compatible secret-défense et destiné aux hauts responsables militaires et aux hauts fonctionnaires. Mais des smartphones équipés de logiciels permettant de crypter les données, et d’isoler les applications sensibles, restent disponibles, comme le Bittium Tough Mobile 2 (prévoir tout de même 1.500 euros). En complément, n’oubliez pas de vous munir d’étuis de carte bancaire capables de bloquer la transmission de données en RFID, proposés pour une dizaine d’euros par Valonic, Boxiki Travel, WallTrust ou Amazy. Cela évitera que des pirates, équipés d’un terminal de paiement bancaire, ne détournent la fonction sans contact de votre carte. Enfin, les adeptes des cryptomonnaies pourront passer aux portefeuilles sécurisés de la licorne française Ledger. Trois modèles sont proposés, du Nano S Plus (79 euros) au Stax (279 euros), en passant par le Nano X (149 euros). Leur système de sécurité se fonde sur une «phrase de récupération». Attention, c’est la seule sauvegarde de vos clés privées: si vous la perdez, vous n’accéderez plus à vos fonds, qui seront perdus à jamais.
Laurent A. : son compte a été débité de 15.000 euros
En novembre dernier, Laurent A. ne s’est pas méfié lorsque, après avoir cliqué sur un lien internet, ce message est apparu sur son écran : «Vous avez été hacké. N’éteignez pas votre ordinateur, vous risquez d’en perdre toutes les données. Merci de contacter la hotline de Google au numéro suivant.» Cet investisseur dans des start-up du secteur clean tech, de 56 ans, s’exécute… et ne se doute pas qu’il a un hacker au bout du fil. Celui-ci prend la main à distance sur l’ordinateur de Laurent, tout en prétendant que des débits sont en cours sur sa carte bancaire. Le pirate demande que Laurent lui communique des codes reçus par SMS, susceptibles d’arrêter ces opérations… Il en sera quitte pour environ 15.000 euros d’opérations frauduleuses. Heureusement, Laurent étant client de longue date de sa banque, sa conseillère a accepté de les lui rembourser. Toutes les victimes d’hameçonnage n’ont pas cette chance.
Enrick Jarnet-Nomede : son identité est usurpée depuis plus de six ans
Enrick Jarnet-Nomede vit un enfer depuis fin 2016. Ce chaudronnier chez les sapeurs-pompiers de Paris, âgé de 30 ans, a en effet vu son identité piratée, après qu’un escroc a récupéré sa carte d’identité, et facilement ouvert des comptes bancaires en ligne. Lorsqu’Enrick a découvert cette usurpation, son compte courant était dans le rouge de 2.000 euros. L’ardoise dépasse aujourd’hui les 68.000 euros, sans compter les 7.000 euros de frais de justice. Encore récemment, le Trésor public a saisi sur son compte 424 euros correspondant à une amende majorée de stationnement, dont il n’était aucunement fautif. Et, le temps de son fichage à la Banque de France, cette victime aura vécu avec une carte à autorisation systématique, contrainte de tout acheter comptant, sans accès au crédit.
- Accès à tous les articles réservés aux abonnés, sur le site et l'appli
- Le magazine en version numérique
- Navigation sans publicité
- Sans engagement
