Usurpation
Qu'est-ce que l'usurpation ?
L'usurpation d'identité est un type d'escroquerie dans laquelle un criminel déguise une adresse e-mail, un nom d'affichage, un numéro de téléphone, un message texte ou l'URL d'un site Web pour convaincre une cible qu'elle interagit avec une source connue et fiable. L'usurpation d'identité consiste souvent à changer une seule lettre, un seul chiffre ou un seul symbole de la communication afin qu'elle paraisse valide en un coup d'œil. Par exemple, vous pourriez recevoir un e-mail qui semble provenir de Netflix en utilisant le faux nom de domaine « netffix.com ».
Comment fonctionne l'usurpation d'identité ?
Les criminels usurpants essaient de gagner votre confiance et comptent vous faire croire que les communications usurpées sont légitimes. Souvent, il suffit d'utiliser le nom d'une grande entreprise de confiance, comme Amazon ou PayPal, pour inciter les cibles à prendre des mesures ou à révéler des informations.
Par exemple, un faux e-mail d'Amazon peut indiquer un problème avec un achat récent, ce qui pourrait vous inciter à cliquer sur le lien pour en savoir plus (conseil : ne cliquez pas sur le lien). À partir de ce lien, vous pourriez télécharger des logiciels malveillants ou être dirigé vers une fausse page de connexion, où vous entrez sans le savoir votre nom d'utilisateur et votre mot de passe.
L'usurpation d'identité peut vous amener à divulguer des informations personnelles et financières, à envoyer de l'argent et à télécharger des logiciels malveillants, ce qui peut entraîner l'infection d'ordinateurs, la fraude financière et l'usurpation d'identité. L'usurpation d'identité peut être utilisée pour propager des logiciels malveillants via des liens et des pièces jointes, contourner les contrôles d'accès au réseau et restreindre l'accès par le biais d'attaques par déni de service (DoS). Au niveau de l'entreprise, l'usurpation d'identité peut entraîner des systèmes et des réseaux informatiques infectés, des violations de données et une perte de revenus.
Il existe plusieurs types d'usurpation d'identité, notamment l'usurpation d'e-mails, l'usurpation de messages texte, l'usurpation d'identité de l'appelant et l'usurpation d'URL et de GPS. Essentiellement, s'il existe une forme de communication en ligne, les usurpateurs tentent de s'y introduire, ainsi que votre identité et vos actifs.
Considérations particulières
Il existe plusieurs façons de vous protéger contre les escrocs potentiels :
Activez le filtre anti-spam de votre e-mail. Cela empêchera de nombreux e-mails usurpés d'atterrir dans votre boîte de réception.
Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes dans les e-mails d'expéditeurs inconnus. S'il y a une chance que l'e-mail soit légitime, contactez directement l'expéditeur pour confirmer qu'il est réel.
Si vous recevez un e-mail ou un SMS suspect vous demandant de vous connecter à votre compte pour une raison quelconque, ne cliquez pas sur le lien fourni. Au lieu de cela, ouvrez un nouvel onglet ou une nouvelle fenêtre (ou l'application dédiée sur votre téléphone) et connectez-vous directement à votre compte.
Afficher les extensions de fichiers dans Windows. Windows n'affiche pas les extensions de fichier par défaut, mais vous pouvez modifier le paramètre. Pour ce faire, cliquez sur l'onglet "Affichage" dans l'Explorateur de fichiers et cochez la case pour afficher les extensions de fichier. Bien que cela n'empêche pas les escrocs d'usurper les extensions de fichiers, vous pourrez voir toutes les extensions usurpées et éviter d'ouvrir des fichiers malveillants.
Investissez dans un logiciel de cybersécurité réputé. Un bon logiciel vous alertera des menaces potentielles, arrêtera les téléchargements et empêchera les logiciels malveillants de prendre le relais. Gardez à l'esprit que le logiciel ne fonctionne que si vous le maintenez à jour et que vous l'utilisez régulièrement.
Si vous recevez une demande d'informations personnelles, ne les fournissez pas. Raccrochez (ou déconnectez-vous), puis recherchez le numéro de téléphone ou l'adresse e-mail du service client de l'entité censée vous contacter pour vos informations personnelles.
Si vous pensez avoir été victime d'une usurpation d'identité, vous pouvez déposer une plainte auprès du Consumer Complaint Center de la Federal Communications Commission (FCC). La FCC n'agit pas sur les plaintes individuelles mais ajoutera ces informations à sa base de données. Si vous avez perdu de l'argent à cause d'une usurpation d'identité, la FCC recommande de contacter votre service de police local.
Types d'usurpation d'identité
Usurpation d'e-mails
L'usurpation d'e-mail consiste à envoyer des e-mails avec de fausses adresses d'expéditeur, généralement dans le cadre d'une attaque de phishing destinée à voler vos données, demander de l'argent ou infecter votre ordinateur avec des logiciels malveillants. Cette tactique est utilisée à la fois par les annonceurs malhonnêtes et les voleurs purs et simples. L'usurpateur envoie des e-mails avec une ligne "De :" falsifiée pour faire croire aux victimes que le message provient d'un ami, de leur banque ou d'une autre source légitime. Tout e-mail qui vous demande votre mot de passe, votre numéro de sécurité sociale ou toute autre information personnelle pourrait être un piège.
Ces e-mails incluent généralement une combinaison de fonctionnalités trompeuses, notamment :
Fausses adresses d'expéditeur qui ressemblent à quelqu'un que vous connaissez et en qui vous avez confiance
Une adresse d'expéditeur manquante, ou au moins une adresse difficile à trouver pour l'utilisateur moyen
Image de marque familière de l'entreprise, telle que logos, couleurs, boutons d'appel à l'action, etc.
Fautes de frappe, mauvaise grammaire et syntaxe inhabituelle (par exemple, "Bonjour monsieur, veuillez vous assurer que ces données sont bonnes et bonnes").
Usurpation de message texte
Parfois appelé smishing, l'usurpation de messages texte (SMS) est similaire à l'usurpation d'e-mails. Le message texte semble provenir d'une source légitime, telle que votre banque ou le cabinet d'un médecin. Il peut vous demander d'appeler un numéro de téléphone spécifique ou de cliquer sur un lien dans le message pour vous amener à divulguer des informations personnelles.
Usurpation de l'identité de l'appelant
Ici, le spoofer falsifie le numéro de téléphone à partir duquel il appelle dans l'espoir de vous faire prendre son appel. Sur votre identification de l'appelant, il peut sembler que l'appel provient d'une entreprise légitime ou d'un organisme gouvernemental, tel que l' Internal Revenue Service (IRS). Notez que l'IRS dit qu'il n'appelle pas les contribuables pour leur dire qu'ils doivent des impôts sans leur envoyer d'abord une facture par la poste.
L'usurpation d'identité se présente sous de nombreuses formes, mais le but est généralement d'amener les gens à divulguer des informations personnelles que les criminels peuvent utiliser.
Usurpation du voisin
Il s'agit d'un type d'usurpation d'identité de l'appelant dans lequel l'appel semble provenir de quelqu'un que vous connaissez ou d'une personne qui vit près de chez vous. La FCC déclare que la Truth in Caller ID Act interdit "à quiconque de transmettre des informations d'identification de l'appelant trompeuses ou inexactes dans l'intention de frauder, de causer un préjudice ou d'obtenir à tort quelque chose de valeur". S'ils sont pris (et c'est un grand "si"), le spoofer peut faire face à des pénalités allant jusqu'à 10 000 $ pour chaque violation.
Usurpation d'URL ou de site Web
L'usurpation d'URL se produit lorsque des escrocs créent un site Web frauduleux pour obtenir des informations auprès des victimes ou installent des logiciels malveillants sur leurs ordinateurs. Par exemple, les victimes peuvent être dirigées vers un site qui semble appartenir à leur banque ou à leur société de carte de crédit et être invitées à se connecter à l'aide de leur identifiant et de leur mot de passe. Si la personne tombe dans le panneau et se connecte, l'escroc pourrait alors utiliser les informations saisies par la victime pour se connecter au site réel et accéder à ses comptes.
Usurpation GPS
L'usurpation d'identité GPS a un objectif quelque peu différent. Il tente de faire croire à un récepteur GPS qu'il se trouve à un endroit différent ou qu'il se dirige dans une direction différente en diffusant de faux signaux GPS ou par d'autres moyens. À ce stade, l'usurpation d'identité GPS est plus susceptible d'être utilisée dans la guerre ou par des joueurs (par exemple, les joueurs de Pokémon GO) que de cibler des consommateurs individuels, bien que la technologie existe pour rendre n'importe qui vulnérable.
Attaques de l'homme du milieu (MitM)
Ces attaques par usurpation d'identité impliquent trois acteurs : la victime, l'entité avec laquelle la victime essaie de communiquer, et « l'homme du milieu » qui intercepte les communications. L'usurpateur tente d'écouter l'échange ou de se faire passer pour l'une des parties. L'objectif est d'intercepter les informations utiles, sensibles ou potentiellement rentables (par exemple, les identifiants de connexion et les informations de carte de crédit). Les informations volées peuvent être utilisées pour approuver des transactions financières, pour le vol d'identité, ou elles peuvent être vendues à un tiers.
Usurpation d'IP
Ce type d'escroquerie se produit lorsque quelqu'un veut déguiser ou masquer l'emplacement d'où il envoie ou demande des données, de sorte qu'il remplace l' adresse IP (Internet Protocol) source par une fausse. L'adresse IP usurpée semble provenir d'une source fiable (l'adresse IP d'origine) tout en masquant sa véritable identité : un tiers inconnu.
Usurpation faciale
C'est la dernière forme d'usurpation d'identité. Avec l'usurpation d'identité faciale, un criminel utilise le visage d'une personne et simule sa biométrie faciale en utilisant une photo ou une vidéo pour remplacer son identité. L'usurpation d'identité faciale est le plus souvent utilisée pour commettre une fraude d'identité bancaire. Cependant, il est également utilisé dans le blanchiment d'argent.
Comment détecter l'usurpation d'identité
L'usurpation d'identité peut être sophistiquée, la clé est donc de prêter une attention particulière aux détails et de faire confiance à votre instinct. Méfiez-vous des sites Web sans symboles de verrouillage ni barres vertes, ou des URL qui commencent par HTTP au lieu de HTTPS, la version cryptée de HTTP. Une autre façon de reconnaître un faux site Web est que votre gestionnaire de mots de passe ne remplisse pas automatiquement votre identifiant, signe qu'il ne reconnaît pas le site Web.
Avec les e-mails, examinez attentivement l'adresse de l'expéditeur, en gardant à l'esprit que les escrocs utiliseront de faux domaines très similaires aux domaines légitimes. Bien sûr, les fautes de frappe, une mauvaise grammaire et une syntaxe inhabituelle dans l'e-mail sont également des drapeaux rouges. Si vous n'êtes toujours pas sûr, copiez et collez le contenu de l'e-mail dans Google, où une recherche rapide peut révéler si une arnaque connue circule. Enfin, survolez toujours un lien intégré pour révéler l'URL avant de cliquer dessus. Si l'URL semble suspecte, il s'agit probablement d'une arnaque.
Pour survoler un lien qui se trouve sur votre smartphone, maintenez votre doigt sur le lien pendant quelques secondes. Une fenêtre apparaîtra qui affiche l'URL complète du lien. Cela peut vous aider à déterminer si le lien est fiable ou suspect.
Avec les téléphones, l'identification de l'appelant est facilement usurpée. Les escrocs utilisent souvent l'usurpation d'identité du voisin, il semble donc que les appels proviennent d'un numéro local. Ils peuvent également usurper un numéro d'une agence gouvernementale ou d'une entreprise que vous connaissez et en qui vous avez confiance. La FCC conseille aux gens de ne pas répondre aux appels provenant de numéros inconnus et de raccrocher immédiatement si vous répondez à un tel appel.
Points forts
Méfiez-vous de toute demande d'informations personnelles, téléchargez des fichiers uniquement à partir de sources fiables et installez des logiciels antivirus et antimalware réputés.
Si vous pensez avoir été usurpé, déposez une plainte auprès du Consumer Complaint Center de la Federal Communications Commission (FCC). Si vous avez perdu de l'argent, contactez la police locale.
L'usurpation d'identité pour vous inciter à divulguer des informations personnelles peut être effectuée par e-mail, SMS, identification de l'appelant et même des récepteurs GPS.
FAQ
Qu'est-ce qu'un exemple de spoofing ?
Un scénario d'usurpation d'identité courant se produit lorsqu'un e-mail est envoyé à partir d'une fausse adresse d'expéditeur, demandant au destinataire de fournir des données sensibles. En règle générale, le destinataire est invité à cliquer sur un lien pour se connecter à son compte et mettre à jour ses informations personnelles et financières. Les liens contenus dans les e-mails d'usurpation infectent également l'ordinateur du destinataire avec des logiciels malveillants.
Quels sont certains types d'usurpation d'identité ?
L'usurpation d'identité prend de nombreuses formes, notamment l'usurpation d'e-mails, l'usurpation de messages texte (SMS), l'usurpation d'identité de l'appelant, l'usurpation de sites Web, l'usurpation de GPS, l'usurpation d'adresse IP et l'usurpation d'identité faciale.
Quelle est la différence entre le spoofing et le phishing ?
Les termes « spoofing » et « phishing » sont souvent utilisés de manière interchangeable, mais ils signifient des choses différentes. L'usurpation d'identité utilise une fausse adresse e-mail, un nom d'affichage, un numéro de téléphone ou une adresse Web pour faire croire aux gens qu'ils interagissent avec une source connue et fiable. L'hameçonnage vous pousse à fournir des données personnelles qui peuvent être utilisées pour le vol d'identité. De nombreux hameçonneurs utilisent des tactiques d'usurpation d'identité pour faire croire à leurs victimes qu'elles fournissent des informations personnelles à une source légitime et fiable.
