On le sait, derrière un SMS, un appel vidéo sur Messenger ou WhatsApp, ou même un mail, peut se cacher une cyberattaque. Malgré les solutions technologiques disponibles, le nombre de victimes s’accroît. Quelles sont les techniques employées des cyberarnaqueurs, comment s’en prémunir ? Fasocheck tente d’y répondre à travers cette fiche d’information.
Phénomène répandu au Burkina Faso
La Brigade Centrale de Lutte Contre la Cybercriminalité (BCLCC) a démantelé en 2024 (1,2,3,4) plusieurs réseaux de maitres chanteurs spécialisés dans l’usurpation d’identité et le chantage à la webcam.
En 2023, la BCLCC a enregistré en tout 3678 plaintes et interpellé 93 d’entre eux. Sur l’ensemble des plaintes, les escroqueries via les TIC, les chantages à la webcam et les piratages de comptes sont les infractions les plus courantes.
Source : Statistiques de la BCLCC. Documentation consultée sur place.
Le phishing ou hameçonnage, la technique la plus répandue
Les pirates utilisent plusieurs techniques pour atteindre leurs cibles. La plus répandue reste le phishing ou hameçonnage en français. Cette pratique est basée sur la technique de l’ingénierie sociale, employant elle-même la manipulation psychologique basée sur les faiblesses de l’humain.
Les auteurs du phishing se font passer pour un tiers, ou une personne de confiance, afin d’inciter la victime à communiquer des données personnelles (accès à des comptes, mots de passe, fichiers de valeur ou compromettants, etc).
En général, un lien web est envoyé par mail ou SMS à la cible. « Lorsque vous entrez vos informations, elles sont renvoyées vers l’attaquant, le pirate », explique Childéric Yaméogo, informaticien, spécialisé en cybersécurité, hacker éthique. L’attaquant utilise ces informations pour pouvoir accomplir son forfait.
En plus du phishing, il y a aussi les malwares, des logiciels malveillants qui, une fois installés sur un ordinateur ou un téléphone, permettent de voler des données ou de détruire l’appareil.
L’intelligence artificielle, la nouvelle arme des pirates
Plusieurs témoignages sur internet font cas d’escroqueries commises par des individus se faisant passer pour des personnalités connues, telles que l’ancien footballeur camerounais Samuel Eto’o.
Comment cela est-il possible ? De deux façons, explique notre expert. La première, est l’utilisation de vidéos préenregistrées où la voix des pirates est mixée à celle de Samuel Eto’o par exemple. Cette méthode, indique-t-il, était facile à détecter car, dans le doute, des gestes spécifiques tels que toucher l’oreille, ou simplement lever sa main pouvaient être sollicités à la personne dans la vidéo.
L’autre technique plutôt difficile à détecter, c’est l’usage des deepfake technologies qui permettent d’entraîner l’intelligence artificielle avec le visage et la voix de quelqu’un d’autre, de sorte qu’une fois face caméra, le visage de Samuel Eto’o qui vienne recouvrir celui du pirate.
Reconnaître un lien sécurisé
Lorsqu’un lien commence par « HTTPS », cela signifie que le site web utilise une méthode de protection pour sécuriser les informations échangées. Concrètement, explique Childéric Yaméogo, “ lorsque vous envoyez des données comme les mots de passe ou les noms d’utilisateur, elles sont transformées en un code secret. Cela rend leur lecture beaucoup plus compliquée pour quelqu’un qui essaierait de les voler, même s’il est connecté au même réseau que vous. Ce système rend l’accès plus difficile à un pirate d’accéder aux informations personnelles”.
En cliquant sur des liens web piégés « HTTP sans le “S” », l’utilisateur peut entrer ses données en pensant que la page web est légitime et sûre, créant ainsi la faille pour le vol d’informations.
En plus, certains liens peuvent cacher leur vraie adresse. Pour détecter un lien sûr, il suffit, de poser le curseur de la souris sur le lien sans cliquer, et d’observer la structure complète du lien qui s’affichera dans le coin inférieur ou supérieur. Si des doutes subsistent, il est recommandé de consulter le taux de fiabilité du lien via des plateformes comme « Should I Click ».
Ce qu’il faut faire…
Avant de cliquer sur un lien douteux, il est conseillé de positionner le curseur de la souris sur ce lien sans cliquer pour afficher la vraie adresse. Il ne faut jamais communiquer d’informations sensibles par messagerie ou appel téléphonique.
Lors d’une attaque, particulièrement de phishing, la première action, préconise, Childéric Yaméogo, est de se déconnecter, de fermer tous les navigateurs et de couper la connexion internet. « C’est à travers la connexion internet que les informations sont envoyées. Il faut changer ses mots de passe, le nom d’utilisateur de tous ses comptes. Après cela, il faut lancer un antivirus pour scanner l’ordinateur, s’assurer qu’il n’y a pas de malware installé », Childéric Yaméogo. Pour les entreprises, également victimes de phishing, l’option de se référer directement au service informatique de l’entreprise est vivement conseillée.
En cas de tentative de piratage de compte sur les réseaux sociaux tels que Facebook, il est suggéré d’envoyer un courriel au service technique de la plateforme. Bien que les réponses ne soient pas toujours immédiates, persévérer est la clé pour obtenir gain de cause.
La victime pourrait aussi saisir les autorités compétentes. Au Burkina Faso, la Brigade centrale de lutte contre la cybercriminalité (BCLCC) reçoit des plaintes de cette nature. Cependant, la prévention demeure la meilleure stratégie. Une approche de méfiance systématique vis-à-vis des messages, même ceux provenant d’amis ou de connaissances, est recommandée. Pourquoi ? Tout simplement parce que leurs identités pourraient avoir été usurpées.
Sécurisation des données personnelles
Chaque profil ou utilisateur sur les réseaux sociaux contient de nombreuses informations sensibles, telles que l’identité, l’adresse électronique, le numéro de téléphone, l’adresse de résidence et la date de naissance, qui peuvent attirer l’attention des cybercriminels prévient le service français d’assistance et de prévention en cybersécurité. Parmi ces mesures figurent la protection de l’accès à son compte, la vérification régulière des paramètres de sécurité, et l’évitement de l’utilisation d’ordinateurs ou de réseaux Wi-Fi publics non sécurisés.
Une des mesures de protection facile à mettre en place est l’activation de la double authentification sur les réseaux sociaux. La double authentification, ou “2FA” (Two-Factor Authentication), est une fonctionnalité de sécurité proposée par les plateformes des réseaux sociaux qui ajoute une couche supplémentaire de protection en plus du mot de passe. En cas de vol ou de compromission du mot de passe, elle permet de limiter les risques d’intrusion, car un second moyen d’authentification (souvent un code envoyé sur un appareil mobile) est requis pour accéder au compte.
Il est également recommandé de changer régulièrement ses mots de passe, car, au fil du temps, un mot de passe peut être compromis sans que l’utilisateur en ait connaissance, notamment lors de fuites de données sur des plateformes en ligne. Le renouvellement fréquent des mots de passe réduit donc le risque que des informations volées soient utilisées à des fins malveillantes.
La double authentification sur Facebook
Selon le guide de Meta, pour activer l’authentification à double facteurs Facebook sur un ordinateur de bureau, vous devez cliquer sur l’icône de votre profil située en haut à droite de l’écran pour les paramètres de votre compte. Sélectionnez ensuite l’option “Sécurité et connexion” dans le menu déroulant. Dans la section intitulée “Utiliser l’authentification à deux facteurs”, cliquez sur Modifier. Facebook vous demandera alors de saisir votre mot de passe pour confirmer votre identité. Une fois cette étape complétée, vous aurez le choix entre trois méthodes d’authentification :
– une clé de sécurité, un appareil physique que vous vous connectez à votre ordinateur ;
– des codes de connexion générés par une application d’authentification comme Google Authenticator ;
– ou des codes envoyés par SMS directement sur votre téléphone portable.
Procédure d’activation de l’identification à double facteurs sur Facebook/Montage : Fasocheck
Sur smartphone, il faut ouvrir l’application Facebook et se rendre dans la rubrique “Paramètres et confidentialité”. Cliquez ensuite sur “Mots de passe et sécurité”. Dans la section “Utiliser l’authentification à deux facteurs”, appuyez sur Modifier. Comme sur la version ordinateur, il vous sera demandé de saisir votre mot de passe pour des raisons de sécurité. Vous pourrez alors choisir l’une des options pour activer l’authentification à deux facteurs.
La double authentification sur WhatsApp
Pour activer la vérification en deux étapes sur WhatsApp, commencez par ouvrir l’application et accédez aux Paramètres en cliquant sur les trois points situés en haut à droite de l’écran. Dans le menu, sélectionnez l’option “Compte”, puis appuyez sur “Vérification en deux étapes”. Ensuite, appuyez sur “Activer” et choisissez un code PIN à 6 chiffres, que vous devrez saisir à chaque fois que vous réenregistrez votre numéro de téléphone sur WhatsApp.
Procédure d’activation de l’identification à double facteurs sur WhatsApp/Montage : Fasocheck
Une fois le code PIN confirmé, WhatsApp vous proposera d’ajouter une adresse e-mail. Cette étape est facultative, mais fortement recommandée, car elle permet de réinitialiser votre code PIN en cas d’oubli et de renforcer la sécurité de votre compte. Si vous décidez d’ajouter une adresse e-mail, appuyez sur “Suivant”, puis confirmez l’adresse pour finaliser l’activation.
Rabiatou Congo
X: @CongoRabi
Email: rabicongo@fasocheck.org
