Des phishers s’attaquent à Egg(TM)

Ne placez pas votre argent entre de mauvaises mains, ou vous risqueriez de tout perdre. Bien que ce conseil puisse paraître surréaliste, il est tout à fait adapté aux clients d’EggTM, « la plus grande banque en ligne » proposant des services de prêt, d’épargne et d’assurance étant victime d’une tentative de phishing. Comme souvent, l’argent et la perspective de recueillir des données sensibles d’utilisateurs attirent les phishers. Cette tentative de phishing n’a donc rien de surprenant à première vue : une page web de connexion imitant celle de la banque EggTM a été conçue pour dérober des données d’identification d’utilisateurs et, comble de l’ironie, une mise en garde contre le phishing apparaît à côté du formulaire de connexion, ce qui contribue à rendre l’ensemble très convaincant.
 

 

C’est alors que la spécificité de ce mécanisme de phishing est révélée, en un clin d’œil. Une fois que les clients d’EggTM ont entré leurs données, la page en question disparaît, ce qui leur donne l’impression qu’elle a été actualisée de façon inattendue ou qu’ils ont appuyé par erreur sur une touche. L’astuce est susceptible de fonctionner, les utilisateurs étant immédiatement redirigés vers le véritable site web d’EggTM. S’ils ne suspectent rien, ils saisiront de nouveau leurs données et vaqueront à leurs occupations sans savoir qu’un inconnu peut accéder à leur argent.
Voici quelques conseils à garder à l’esprit lorsque vous effectuez des transactions en ligne :

• Activez votre filtre antiphishing ainsi que vos autres applications ou suites de sécurité avant de consulter votre compte bancaire en ligne. Idéalement, installez, activez et mettez à jour régulièrement une solution de sécurité fiable.
  
• Regardez attentivement l’URL de la page que vous consultez, en particulier si l’on vous demande des informations concernant votre carte bancaire.
• Vérifiez que le site de services bancaires en ligne utilise le cryptage SSL (Secure Socket Layer) et des méthodes d’authentification sécurisées : le préfixe « https » et une icône de cadenas verrouillé devraient figurer. Si l’on vous demande d’accepter un certificat pour la session, assurez-vous que le nom du certificat correspond au nom de l’institution avec laquelle vous souhaitez traiter et que le certificat est signé par une Autorité de Certification reconnue, comme Thawte™ ou VeriSign®, avant d’accepter.
• Ne divulguez votre code confidentiel à personne, quelles que soient les raisons invoquées. 
• Évitez d’utiliser un ordinateur non sécurisé (comme celui d’un ami ou d’un collègue). Si vous n’avez pas d’autre solution, lancez au moins l’outil d’analyse en ligne de BitDefender, Quick Scan, avant de vous rendre sur un site de services bancaire.
• N’accédez pas à votre compte bancaire en ligne à partir d’ordinateurs publics connectés à Internet (dans une bibliothèque ou un cybercafé par exemple).