Exemple de tentative d’hameçonnage (phishing)

Bel exemple que celui présenté ci-dessous qui peut servir d’exercice pratique.

Comment avoir la puce à l’oreille de la tentative d’hameçonnage ou phishing, comme disent nos amis anglophones ? Nous allons jouer à ce jeu classique des 7 erreurs :

1. Je ne vous donnerai pas l’adresse de cette page qui, de toutes les manières, a été rapidement fermée, mais je peux vous garantir qu’elle ne pointait pas vers un site légitime de Microsoft. Une partie seulement de l’adresse comportait une référence très lointaine à l’une des marques de Microsoft. Des adresses en https://microsoft.nimportequoi.com ou https://veritable.escroquerie.fr/microsoft ne peuvent absolument pas garantir une référence à Microsoft, de même que https://nimportequoi.live.fr serait plus légitime, mais sans une garantie absolue.
2. La promesse d’un service offert gracieusement en l’échange de quelques informations dont votre compte et mot de passe est une première piste, mais cela n’est pas suffisant pour exclure toute fraude. Je suis, parfois, effaré de voir sur des sites officiels mais indépendants de Microsoft, la possibilité de saisir ces informations afin d’importer des éléments comme la liste de vos contacts.
3. La demande de saisie d’un mot de passe ne devrait jamais être proposée sans passer en SSL ; ce qui se reconnait par l’utilisation de https et non pas simplement http. Dans Internet Explorer 8 (IE8), la barre d’adresse est en vert si le certificat utilisé est valide et la mention de l’éditeur apparaît à côté d’un cadenas .
4. Les logos utilisés rappellent vaguement ceux utilisés par Microsoft. Pour un service nouveau, ceux, très anciens, de Windows 98 ou de MSN Search, dont chacun sait qu’il porte le nom de Bing, désormais, peuvent surprendre, de même, que la référence à Passport, aujourd’hui remplacée par Windows Live ID.
5. J’aime bien la faute d’orthographe (à moins qu’il ne s’agisse d’une tentative de francisation) sur Copyright, mais les droits réservés ne sont pas mieux sur le plan grammatical, sans l’excuse de la traduction. Il peut arriver que des fautes d’orthographe ou de grammaire parsèment une page légitime de Microsoft, mais une telle concentration doit vous rendre méfiant.
6. Comme vous pouvez le constater sur cette copie d’écran, je suis allé visiter les conditions d’utilisation. L’adresse utilisée était inconnue.
7. Je vais pinailler pour arriver à 7, mais Microsoft est une marque déposée (® pour registered) et non pas simplement, une marque de commerce (tm pour Trade market) comme vous pouvez le vérifier sur la page de la propriété intellectuelle de Microsoft.

Cette page, vous le constatez, aurait pu faire mieux sans trop d’efforts supplémentaires. Quelques retouches et vous pourriez en trouver une nouvelle version plus difficile à détecter. La technique peut vous aider comme dans le cas des smartscreen d’IE8, mais rien ne remplace le bon sens et la méfiance pour vous mettre d’être à l’abris des problèmes.