Le Web multiplie les pièges, aussi grâce au Covid. Les PC quittent l'environnement protégé des bureaux, les réseaux s'ouvrent aux mille flux d'une connectivité généralisée. Quelqu'un en profite. Et la sécurité informatique à distance est menacée, plus qu'hier et peut-être moins que demain. Les écueils se multiplient de façon alarmante, préviennent les experts : le «phishing» d'e-mails frauduleux qui scrutent les données personnelles, de virus qui « s'accrochent » aux programmes que nous téléchargeons ou encore de simples pages Web que nous ouvrons imprudemment sans savoir où nous naviguons. Au bureau, ils nous épargnent (pas toujours) le procédures de l'entreprisegérés par des professionnels. Chez nous, nous sommes moins en sécurité, parce que nous sommes moins protégés mais aussi parce que nous sommes sacrément négligents. Les pièges se multiplient, mais heureusement les outils pour se défendre se multiplient également. A condition de prendre les précautions nécessaires pour éviter le pire.
Dans ce guide rapide, voici deux exemples de ce qui peut arriver et comment nous devrions, ou devrions, nous comporter. Le premier exemple concerne l'attaque : voici le dernier piège qui s'est propagé à grande vitesse dans le monde d'Internet en exploitant le célèbre et répandu Microsoft Office. Le second exemple concerne la défense : voici un tester accessible à tous pour vérifier ce que l'on sait de la sécurité informatique et ce qu'il faut faire (ou ne pas faire) pour lever les barrières.
Nous anticipons immédiatement les conclusions. Une bonne pratique de la sécurité de l'ordinateur personnel nécessite tout d'abord deux choses : tenir à jour en permanence l'ensemble de l'écosystème de notre ordinateur (le matériel, le système d'exploitation et les logiciels, c'est-à-dire les programmes) et utiliser un prudence consciente, à la fois lorsque nous ouvrons des e-mails dont nous ne connaissons pas l'origine avec une certitude absolue et lorsque nous naviguons sur des sites non certifiés ou issus de notre expérience passée ou avec d'autres systèmes que nous illustrerons ci-dessous.
La tromperie se déguise en bureau
Malheur à répondre avec trop de désinvolture à une demande de connexion, généralement contenue dans un message électronique avec une pièce jointe (un avis de paiement ou une facture, fausse) qui reproduit celle utilisée par Microsoft pour accéder à ses produits. L'escroquerie, un "hameçonnage" plutôt bien conditionné car la procédure a pu échapper à de nombreux mécanismes de contrôle anti-malware, y compris ceux des entreprises, a commencé à se répandre en août dernier et se poursuit toujours. C'est une tentative d'usurpation d'identité classique, comme tant d'autres. La victime insère la sienne lettres de créance qui alimentent la base de données frauduleuse de l'organisation pirate, qui aurait jusqu'ici collecté au moins un millier d'identifiants d'accès à Office 365 utilisés à un niveau professionnel. Non seulement cela : les pirates à l'occasion auraient récolté bon nombre de lettres de créance encore plus délicates : celles pour leaccès aux systèmes de l'entreprise, car de nombreux utilisateurs utilisent négligemment les mêmes informations d'identification pour plusieurs comptes. Une pratique à éviter de la manière la plus absolue.
Même le pirate a tort (peut-être)
Le seul fait apparemment consolant, mais en fait encore plus inquiétant, est que la fraude est apparue parce que certains experts en sécurité informatique ont découvert que les attaquants eux-mêmes avaient commis une erreur. En effet, ils ont publié sur le Web une partie des listes d'utilisateurs et des mots de passe volés associés, sans utiliser les cachettes des soi-disant "toile sombre”, activant automatiquement les algorithmes d'indexation de Google et permettant ainsi à chacun de rechercher et consulter le loot. Le message est inquiétant : les pirates ont été découverts parce qu'ils se sont laissés découvrir, et s'ils ne s'étaient pas trompés (peut-être délibérément, pour tester eux-mêmes on ne sait quelles procédures encore plus sophistiquées) la fraude serait longtemps restée cachée venir. Nous apprenons la leçon : en plus de Différencier les identifiants de connexion des différents services (comptes d'entreprise, banques, etc.) changeons-les avec une certaine fréquence, et en tout cas immédiatement si nous avons le moindre soupçon qu'ils ont pu être volés.
Un essai et un parachute
Parmi les milliers de précautions qu'il faut toujours prendre pour faire face et prévenir les attaques, nous en indiquons deux, qui peuvent être considérées comme la base d'une bonne pratique : la manière de vérifier la "propreté" et la sécurité du site que l'on souhaite consulter (perdre quelques secondes avant de cliquer dessus, mais ça vaut le coup) et un test pour comprendre à quel point nos connaissances en sécurité informatique sont, sur ses écueils et sur les contre-mouvements à adopter. Disons-le ainsi : la vérification à chaud du site qui nous est inconnu représente une défense de premier niveau (associée à la différenciation des codes d'accès aux différents services) qu'il serait bon de mettre en œuvre toujours et dans tous les cas, le temps que le test peut nous aider à nous aligner sur une série conjuguée d'expédients et surtout d'attitudes à tenir.
Site inconnu ? Mieux enquêter
Si nous avons installé sur notre ordinateur un logiciel de protection totale, qui comprend également une analyse en temps réel des pages Web que nous consultons, nous pouvons nous considérer comme convenablement protégés dans notre navigation. Mais encore faut-il savoir deux choses : le programme qui nous protège doit être constamment mis à jour parce qu'il contient les dernières « signatures » des procédures à adopter et des sites à considérer comme dangereux ; cependant, les logiciels de ce genre sont plutôt lourds pour notre ordinateur et pour notre connexion, dans le sens où ils augmentent la quantité de données que nous consommons et ont tendance à ralentir la navigation car ils utilisent une plus grande quantité de données à échanger sur le réseau mais aussi parce que ils ralentissent l'opération de notre PC occupant une partie des ressources de traitement.
Une aide en ligne
Si nous n'utilisons pas ce type de logiciel, c'est une bonne idée de continuer à utiliser (même au moindre soupçon) les ressources que le web lui-même met à notre disposition en ligne, en accédant à l'un des services qui vérifient en temps réel le validité du site où nous voulons aller. Parmi les sites "contrôleur" nous en indiquons un qui fonctionne plutôt bien : URLVoid. Cela fonctionne comme ceci : dans le masque qui s'ouvre, nous insérons le nom du site où nous voulons aller sans l'initiale www, nous donnons le ok et attendons quelques secondes la réponse, après que notre site "cible" ait été scanné simultanément par les principaux moteurs antivirus et anti-malware du monde, nous communiquant le résultat. Tout va certainement bien uniquement si la couleur verte apparaît, alors que si un seul des résultats associés aux moteurs de recherche antivirus inclus dans le scan devient rouge, il pourrait s'agir d'un faux positif : il convient toutefois d'être prudent, d'éviter de naviguer sur le site scanné et peut-être réessayer plus tard.
Faisons-nous un examen de conscience
Nous venons au test pour tester nos bonnes ou mauvaises habitudes informatiques. L'une des procédures d'autotest en ligne les plus efficaces, selon des évaluations d'experts à jour, est la Test national de confidentialité faite par NordVPN, un bon fournisseur de services vpn. Le test est en anglais, mais il est simple et clair. Elle ne s'adresse pas seulement à ceux qui sont déjà experts mais elle est compréhensible et praticable (a fortiori) par tous. Il ne faut que quelques minutes, après avoir cliqué sur « démarrer », pour répondre à Questions 20 key et avoir les réponses associées, qui concernent entre autres la prise de conscience et les conséquences des autorisations que nous accordons aux applications sur le partage et l'utilisation de nos données, que faire lorsqu'une application nous signale la disponibilité d'une mise à jour, telle que vérifier et améliorer la sécurité de notre réseau WiFi, comment emballer un mot de passe suffisamment sécurisé, comment comprendre si un site qui contient des demandes d'informations sensibles peut à son tour cacher l'identité masquée d'un pirate, comment vérifier que notre smart TV ne le fait pas contiennent des fonctions d'espionnage (cela arrive aussi), et bien sûr comment les identifier et comment se défendre contre une tentative de phishing. Étudions et appliquons-nous au moins un peu. C'est pratique.
