Une copie convaincante ne coûte rien à fabriquer. Logos, polices, mise en page et jusqu'au cadenas de la barre d'adresse se reproduisent en un après-midi. La seule chose qu'un attaquant ne peut pas copier, c'est le nom de domaine — et c'est pourquoi toute vérification fiable revient à lire correctement l'URL.
Les abonnements pour adultes attirent cette attaque pour une raison précise : la victime a peu de chances d'appeler le service client, de transférer l'e-mail à un collègue ou d'en parler ensuite. La discrétion est le levier. Comprendre que la gêne fait partie du dispositif d'attaque est déjà une défense.
Comment lit-on correctement une URL ?
Lisez de droite à gauche, pas l'inverse. Le domaine qui compte est le libellé placé juste avant l'extension.
Tout ce qui se trouve à gauche est librement choisi par qui contrôle le domaine, y compris des mots parfaitement rassurants :
| URL affichée | Domaine enregistré | Verdict |
|---|---|---|
account.example.com/billing |
example.com |
Appartient à example.com |
example.com.billing-secure.xyz |
billing-secure.xyz |
Domaine de l'attaquant |
example-billing.com |
example-billing.com |
Domaine entièrement différent |
examp1e.com |
examp1e.com |
Homoglyphe — le chiffre un à la place du l |
example.com@evil.tld/pay |
evil.tld |
Tout ce qui précède @ est ignoré |
Deux pièges supplémentaires. Les domaines internationalisés peuvent afficher
des caractères cyrilliques ou grecs visuellement identiques aux latins ; les
navigateurs les rendent en général sous forme de punycode xn--, si bien
qu'une barre d'adresse affichant xn-- sur une marque connue signe un faux à
coup sûr. Et sur mobile, la barre d'adresse tronque l'URL — touchez-la pour la
déplier entièrement avant de juger quoi que ce soit.
Où le formulaire de carte doit-il réellement se trouver ?
Sur une page où vous n'êtes pas arrivé de vous-même, il ne devrait pas s'y trouver du tout.
La plupart des marchands sérieux ne veulent pas toucher à votre numéro de carte, parce que le manipuler directement leur impose des obligations de conformité bien plus lourdes. Ils vous redirigent vers le domaine du prestataire de paiement, ou intègrent les champs de carte dans une iframe servie par ce prestataire. Dans les deux cas, le numéro est saisi sur la page du prestataire, pas sur celle du marchand.
En pratique, les vérifications à faire :
- Est-ce vous qui avez lancé la démarche ? Une page de facturation atteinte en cliquant sur un lien dans un e-mail n'a rien à voir avec une page atteinte en tapant l'adresse du site et en vous connectant. Seule la seconde est vérifiable.
- Le site a-t-il déjà votre carte ? On ne demande presque jamais à un abonné existant de ressaisir un numéro de carte complet. « Merci de reconfirmer vos informations de paiement » est l'un des indices de faux les plus fiables qui soient.
- Le formulaire demande-t-il plus que ce qu'un paiement exige ? Numéro, date d'expiration, cryptogramme et code postal, c'est un paiement. Y ajouter la date de naissance, un numéro de pièce d'identité, le mot de passe du compte, le nom de jeune fille de la mère ou une photo de la carte, c'est de la collecte d'identifiants.
- Le cryptogramme est-il demandé deux fois ? Un parcours légitime ne le demande qu'une fois.
Quels signaux distinguent une fausse page de facturation d'une vraie ?
Comparez avec ce que fait la version légitime, plutôt que de chercher des fautes — les faux modernes en comportent très peu.
| Signal | Page de phishing | Page légitime |
|---|---|---|
| Comment vous êtes arrivé | Lien dans un e-mail, un message privé ou une pub | Vous avez tapé l'adresse et vous vous êtes connecté |
| Domaine | Sosie, avec tirets ou sans rapport | Le domaine enregistré du site lui-même |
| Ton | Délai, menace de suspension, « dernier avertissement » | Neutre, sans compte à rebours |
| Données demandées | Carte, plus mot de passe, plus pièces d'identité | Champs de carte uniquement |
| Saisie de la carte | Champs hébergés sur la page elle-même | Domaine ou iframe du prestataire |
| Voie d'assistance | Numéro ou lien de chat sur la page même | Contact depuis votre compte, une fois connecté |
| État de connexion | Vous demande de vous reconnecter pour « vérifier » | Vous êtes déjà connecté |
| Langue | Petits écarts de grammaire, devise incohérente | Cohérente avec le reste du site |
Et les e-mails qui prétendent détenir une vidéo de vous ?
Traitez la sextorsion comme du spam avec une menace agrafée dessus. La version type cite un mot de passe que vous reconnaissez — tiré d'une ancienne fuite de données, pas de votre appareil — et prétend disposer d'enregistrements webcam.
Ce qui trahit ces messages, c'est qu'ils ne contiennent jamais le contenu en question, parce qu'il n'existe pas. Ils contiennent un mot de passe, un délai et une adresse de portefeuille. Si un attaquant détenait vraiment une vidéo, le premier message en contiendrait une image.
La bonne réaction : ne rien payer, ne rien répondre, et changer le mot de passe partout où celui qui est cité sert encore. Payer vous identifie comme quelqu'un qui paie et déclenche immanquablement une deuxième demande.
Et si vous avez déjà saisi vos informations ?
Ici, l'ordre compte davantage que la vitesse, même si les deux aident.
| Étape | Pourquoi elle vient là |
|---|---|
| 1. Appelez votre banque au numéro figurant sur la carte | Bloquer le numéro arrête la perte ; n'utilisez jamais un numéro trouvé sur la page ou l'e-mail suspects |
| 2. Changez le mot de passe saisi, sur le vrai site | Partez du principe que les identifiants ont été capturés à la seconde où vous les avez envoyés |
| 3. Changez ce mot de passe partout où vous l'avez réutilisé | Le bourrage d'identifiants sur d'autres services suit en quelques heures |
| 4. Déconnectez toutes les sessions du vrai compte | Sur certaines plateformes, un jeton de session volé survit à un changement de mot de passe |
| 5. Vérifiez les paramètres de récupération de compte | Les attaquants ajoutent un e-mail ou un téléphone de récupération pour garder l'accès |
| 6. Relisez vos relevés à la recherche de petits débits test | Le test de carte précède toujours le vrai débit |
Une omission volontaire : ne réagissez pas en installant l'outil de « sécurité » que la page ou l'e-mail vous recommande. C'est une deuxième étape bien connue de la même attaque, et elle transforme un problème de carte en problème d'appareil.