Dans l’article publié le 2 septembre, nous avons analysé une tentative d’hameçonnage dans laquelle un pirate russe simulait un message en provenance de Bell Canada pour extorquer des informations confidentielles.

Aujourd’hui, nous examinerons un message dans lequel un pirate prend l’identité de Vidéotron pour tenter d’obtenir des informations similaires.

Nous verrons que plusieurs indices permettent de démasquer le pirate.

Avis aux débutants

Les débutants ne devraient pas se laisser intimider par la complexité de certains indices expliqués dans cet article. Il n’est pas nécessaire de comprendre et de détecter tous les indices de fraude dans un message pour se protéger. Il suffit d’en comprendre et d’en détecter un.

Le courriel reçu

Voici le message que j’ai reçu du pirate :

Sur la ligne indiquant le nom de l’expéditeur (la ligne surlignée en jaune), le mot VIDEOTRON semble indiquer que le message vient de Vidéotron. Sur cette même ligne, la première partie de l’adresse courriel de l’expéditeur (Videotron) semble aussi indiquer que le message vient de Vidéotron. Cependant, il ne faut pas se fier à ces deux informations, car elles sont très faciles à trafiquer.

Voici quelques indices permettent de reconnaître que le message est une tentative d’hameçonnage :

1. Tout d’abord, je ne suis pas client de Vidéotron!
2. La qualité du français dans le message laisse à désirer. Jamais une grande compagnie n’enverrait un message d’aussi piètre qualité.
3. On mentionne un remboursement en euros! Le pirate pense que le Canada fait partie de l’Union européenne. Il n’est pas très fort en géographie!
4. La seconde partie de l’adresse de l’expéditeur (remboursement.ca) est très suspecte. La deuxième partie de l’adresse courriel d’une compagnie contient habituellement le nom de la compagnie. Pour Bell c’est bell.ca. Pour Vidéotron, c’est videotron.ca. Donc, il n’est pas normal que Vidéotron m’écrive à partir d’une adresse autre que videotron.ca. Lors de la réception de messages suspects, il est utile d’examiner la partie de l’adresse de l’expéditeur qui suit le @, car un pirate ne peut pas facilement la modifier.
5. Le message fait miroiter un remboursement. Dans 99.9999999 % des cas, un message qui propose un prix gagné à un concours, un montant d’argent ou un remboursement est une arnaque.
6. Le courriel contient l’information suivante : ATTENTION : Ce lien est valable pour une durée de 48 heures. Au-delà, vous devez recommencer la procédure de votre remboursement d’impôts. Lorsqu’un message mentionne une urgence, c’est habituellement une arnaque. Le pirate veut vous presser pour que vous n’ayez pas le temps de vérifier l’authenticité du message. Lorsqu’un message mentionne une urgence, méfiez-vous doublement!

Notez que le pirate s’est donné la peine d’écrire le message en français. De plus en plus, les pirates écrivent leurs messages dans la langue du destinataire. Certains pirates écrivent même en très bon français. La qualité du français d’un message n’est donc pas un signe d’authenticité du message.

À ce point, je suis certain que le message est une tentative d’hameçonnage. Cependant, comme je suis curieux, je décide de poursuivre l’exploration du message tout en me disant que je ne dévoilerai pas d’informations confidentielles au pirate. Je clique donc sur Accédez à votre dossier personnel maintenant.

Le site du pirate

J’obtiens alors la page suivante :

Voici un agrandissement de la partie supérieure gauche de la page :

Cette page ressemble, à s’y méprendre, à une page du site de Vidéotron. La page utilise les mêmes couleurs, la même allure et le même format que les pages du site de Vidéotron. Cependant, il ne faut pas se laisser tromper : n’importe quel informaticien peut programmer une page qui ressemble ou est identique à une page de Vidéotron. L’apparence d’une page n’est pas un signe d’authenticité.

Sur cette page, deux indices permettent de savoir que nous sommes sur le site d’un pirate et non sur le site de Vidéotron :

1. L’adresse sur la barre d’adresses est http://my.id-videotron.ca/index.php/. La page demande de fournir des informations confidentielles (numéro de carte de crédit, mot de passe, etc.)alors que la barre d’adresses affiche le code http et non le code https. De plus, le petit cadenas est absent. Le code https et le petit cadenas indiquent que la page est sécurisée. Il faut uniquement fournir des informations confidentielles sur une page sécurisée. Jamais une compagnie responsable ne demande des informations confidentielles sur une page non sécurisée.
2. L’adresse sur la barre d’adresses est http://my.id-videotron.ca/index.php/. La partie la plus importante de l’adresse est le nom du domaine, ce sont les deux éléments à gauche de la première barre oblique simple. Sur cette page, le nom du domaine est id-videotron.ca. Une compagnie utilise habituellement un nom de domaine contenant uniquement son nom. Bell Canada utilise bell.ca. Vidéotron utilise videotron.ca. Google utilise google.ca. Dans cette tentative d’hameçonnage, le pirate a été très rusé et il a utilisé un nom de domaine semblable au nom de domaine de Vidéotron. Le nom de domaine de Vidéotron est videotron.ca; le pirate utilise le nom de domaine id-videotron.ca qui est semblable à videotron.ca. Un autre signe de la ruse du pirate : il a pris la peine de réserver un nom de domaine au Canada (.ca) et non dans son pays (le pirate n’est certainement pas canadien, car il pense que la devise du Canada est l’euro!).

Plusieurs indices démontrent hors de tout doute que le message est une arnaque. Toutefois, comme je suis curieux, je décide de poursuivre l’exploration du message. J’écris Capitaine Bonhomme dans le champ Votre nom complet. Je donne de fausses informations dans les champs suivants. Finalement, je clique sur le bouton Soumettre.

Affichage d’une page du site de Vidéotron

J’obtiens alors la page suivante :

Voici un agrandissement de la partie supérieure gauche de la page :

Cette page appartient au site de Vidéotron comme indiqué par le nom de domaine sur la barre d’adresse qui est videotron.ca.  Le pirate est très rusé : après avoir obtenu des informations confidentielles, il affiche une page du site de Vidéotron pour que l’internaute ne réalise pas qu’il était auparavant sur une page pirate imitant une page de Vidéotron.

Conclusion

Plusieurs indices permettent de voir que ce message est une tentative d’hameçonnage. Toutefois, il ne vous est pas nécessaire de décoder et de comprendre tous ces indices : il vous suffit d’en décoder et d’en comprendre un pour démasquer le pirate.

Si vous ne voulez retenir que trois choses simples de cet article, retenez ceci :

1. Lorsqu’un message vous promet de l’argent, un remboursement ou un prix, fuyez. C’est une arnaque. Si la curiosité ou l’appât du gain vous incite à explorer le message comme je l’ai fait, ne fournissez jamais d’informations confidentielles.
2. Avant de fournir des informations confidentielles, vérifiez la présence du code https et du petit cadenas sur la barre d’adresses (en haut de l’écran). Ces éléments indiquent que la page est sécurisée. Vous ne devez jamais fournir des informations confidentielles sur une page non sécurisée.
3. Il ne faut jamais fournir d’informations confidentielles dans une communication que vous n’avez pas instaurée vous-même. Lorsque vous avez établi une communication de façon sécuritaire, vous savez avec qui vous parlez. Lorsque la communication a été établie par l’autre partie (comme dans le cas de ce message), vous ne savez pas à qui vous parlez. Le fait que le message prétende venir de Vidéotron n’est pas une garantie d’authenticité. Donc, lorsqu’une communication a été établie par l’autre partie, ne fournissez jamais d’informations confidentielles.

Pour plus d’informations sur la sécurité informatique, ne manquez pas les présentations

• sur la sécurité dans les transactions informatiques, le 16 octobre et le 4 novembre;
• sur l’hameçonnage des comptes de courriel, le 11 mars, le 1er avril et le 20 avril.

Michel Gagné