Black Friday: une aubaine pour les fraudes par email

Les attaques par phishing se multiplient pendant cette période alors que selon une étude, la moitié des dix premiers sites de vente en ligne en France n'a pas appliqué les bonnes mesures de conformité.

Finalement reporté au 4 décembre, le Black Friday est le rendez-vous des consommateurs en quête de bonnes affaires mais aussi et surtout des pirates informatiques. Ces derniers profitent en effet de cette intense prériode de dépenses en ligne pour multiplier les attaques afin de détourner données personnelles et bancaires ou pour installer discrètement des logiciels malveillants sur les postes des utilisateurs.

Principal vecteur bien connu de ces attaques: le phishing, soit un email frauduleux qui usurpe l'identité d'une marque ou d'une enseigne (notamment dans la forme) avec un contenu attractif et une adresse d'expéditeur supposée légitime pour piéger l'internaute.

Selon l'éditeur de sécurité Check Point, au cours des quatre semaines du 8 octobre au 9 novembre, le nombre de campagnes hebdomadaires de phishing liées à des "offres spéciales" a doublé au niveau mondial, passant de 121 au début du mois d'octobre à 243 au début du mois de novembre.

Une hausse de 80% des campagnes de phishing

La première moitié de novembre a montré une augmentation de 80% des campagnes de phishing relatives aux ventes et aux offres spéciales, avec des e-mails contenant des expressions telles que "spécial", "offre", "vente", "bon marché", "% de réduction".

Les chercheurs de SonicWall Capture Labs ont enregistré une augmentation de ces attaques de 63% aux États-Unis (premier marché du Black Friday avec plus de 7 milliards de dollars de dépenses) entre le 25 novembre et le 2 décembre l'an passé.

Cette flambée pourrait pourtant être limitée. Selon Proofpoint, seuls cinq des dix premiers sites de vente en ligne en France ont publié un enregistrement DMARC, ce qui signifie que les 50% restants exposent encore leurs clients à la fraude par email.

Ce protocole pourtant préconisé par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) empêche en effet les cybercriminels d’usurper l'identité d'une entreprise ou d’une marque et réduit le risque de fraude par email pour les clients.

Par ailleurs, neuf des dix premiers sites de vente en ligne en France n'ont pas mis en œuvre le niveau de protection DMARC recommandé.

Cette politique de protection la plus stricte est connue sous le nom de "Reject" et permet de bloquer les emails frauduleux avant qu’ils n’atteignent leur cible. Cela signifie qu’un seul site de vente en ligne sur dix protège de manière proactive leurs clients des emails frauduleux usurpant leur nom de domaine", souligne l'éditeur de sécurité.

Avoir les bons réflexes

Au niveau européen, seuls douze des vingt principaux sites de vente en ligne (soit 60%) ont publié un enregistrement DMARC.

"Il est de la responsabilité des sites de vente en ligne de s’armer contre ces menaces et de protéger leurs clients via l’adoption et la mise en œuvre des pratiques d'authentification par emails standardisés. Par ailleurs, en période de temps forts de la consommation tels que le Black Friday ou les fêtes de fin d’année, les consommateurs doivent redoubler de vigilance et vérifier la légitimité de tous les emails", commente Loïc Guézo, Directeur Senior, Stratégie Cybersécurité chez Proofpoint.

Côté consommateurs, quelques bons réflexes sont en effet à appliquer:

• Se méfier des trop bonnes affaires
• Ne jamais partager ses identifiants, multiplier les mots de passe différents
• Se méfier des e-mails de réinitialisation de mot de passe non sollicités
• Un email avec des fautes d'orthographe ou de syntaxe a toutes les chances d'être frauduleux
• Cherchez le cadenas. Évitez d'acheter quelque chose en ligne sur un site web qui n'est pas équipé du système de cryptage SSL (Secure Sockets Layer). Un site équipé doit avoir son adresse en HTTPS et une icône représentant un cadenas verrouillé apparaîtra, à gauche de l'URL dans la barre d'adresse.

Olivier Chicheportiche Journaliste BFM Business