Les croyances populaires ont la vie dure dans le monde numérique. Dans l’un de ses derniers bulletins, l’Office fédéral de la cybersécurité (OFCS) démonte plusieurs idées reçues sur les logiciels malveillants.
Contrairement à une crainte répandue, ouvrir un simple message ou consulter une page web ne contamine pratiquement jamais un appareil moderne tenu à jour. Les criminels doivent généralement manipuler leur cible pour la pousser à exécuter un ordre ou installer un programme piégé.
Apple et antivirus: l’illusion du bouclier absolu
Le mythe d’un environnement Apple totalement invulnérable s’effondre lui aussi face aux faits. Les ordinateurs Mac subissent les mêmes menaces que leurs rivaux sous Windows, qu’il s’agisse de programmes espions ou de rançongiciels.
De son côté, le logiciel de protection habituel ne constitue qu’un rempart partiel face aux nouvelles menaces émergentes. Une faille inédite ou une attaque ciblée peut contourner ces barrières si la vigilance fait défaut, selon sa dernière analyse.
Les signaux d’alerte et la marche à suivre
Une attaque reste souvent discrète pour dérober des identifiants ou ralentir la machine sans se faire repérer. Si des fenêtres alarmistes exigent un appel téléphonique urgent, méfiance: cette manipulation relève de l’escroquerie au faux support technique.
En cas de doute confirmé, la demi-mesure ne pardonne pas et requiert parfois l’effacement complet de l’appareil. Une réinitialisation totale s’impose pour repartir sur des bases saines, suivie d’un changement immédiat de tous vos codes d’accès.
XS
En savoir plus sur Le blog high-tech & telecom de Xavier Studer
Subscribe to get the latest posts sent to your email.
Le problème est que beaucoup d’appareils ne sont pas à jour, et ne pourront plus l’être ; d’après Google, plus de 40 % des téléphones Android actifs dans le monde ne reçoivent plus les mises à jour de sécurité critiques.
Il n’y a donc pas lieu de rassurer quand un des prérequis est si souvent absent dans les faits.
l’article de l’OFCS (l’ANSSI helvétique, pour les Français passant dans le coin) est correct à ce sujet… alors, il serait bien de ne pas mélanger le matériel, les Macintosh proposés par Apple du système d’exploitation installé par défaut: https://fr.wikipedia.org/wiki/MacOS
d’autant plus que macOS fonctionnait, à une époque, sur de véritables compatibles IBM PC vendus dans le commerce: https://en.wikipedia.org/wiki/Hackintosh
et concernant les anciens ordinateurs personnels d’Apple à processeurs Intel (x86_64) ne recevant plus de mise à jour de macOS, une distribution Linux, que du bonheur:
https://help.zorin.com/docs/getting-started/system-requirements/#mac-computers
pour les plus récents à processeur Apple Silicon: https://asahilinux.org/fedora/#device-support
*****
– le matériel est une chose:
PC de Microsoft à processeur ARM, Macintosh, compatibles IBM PC de Lenovo, HP, why! open computing et bien d’autres, Googlebooks, etc…
– le système d’exploitation, une autre:
Windows, macOS, GNU/Linux, ChromeOS, FreeBSD, etc…
– les applications, encore une autre:
navigateur Web, traitement de texte, tableur, client e-mail, lecteur audiovisuel, logiciel de traitement d’image, jeu de plateforme, etc…
Les journaux ont récemment évoqué le cas d’une femme qui s’est fait escroquer 40 000 CHF :
https://www.20min.ch/fr/story/suisse-romande-elle-voulait-vendre-un-jouet-elle-perd-40-000-francs-103643056
.
L’erreur est bien sûr humaine. L’article ne le précise pas, mais le QR code l’a redirigée vers un site frauduleux. Un QR code n’est finalement qu’un moyen de transmettre un lien internet. Scanner un QR code frauduleux revient donc à cliquer sur ce même lien reçu par e-mail ou par message. C’est du phishing.
.
Dans ce cas, la victime a ensuite saisi ses identifiants bancaires et validé la connexion via l’application de sa banque, alors qu’elle se trouvait sur le site frauduleux. Celui-ci était probablement une copie du site officiel de la banque, ce qui est relativement facile à réaliser, particulièrement aujourd’hui avec les outils d’IA.
.
Les règles d’or pour la sécurité de l’e-banking
.
1) Privilégiez toujours l’application officielle de votre banque
Sur Android ou iOS, utilisez de préférence l’application officielle de votre banque pour accéder à vos comptes. C’est généralement plus sûr que d’utiliser un navigateur, notamment si vous n’êtes pas à l’aise avec les questions de cybersécurité.
.
2) Vérifiez si votre banque propose un navigateur sécurisé
.
Certaines banques proposent leur propre navigateur sécurisé. Par exemple, PostFinance propose le SecureBrowser:
https://www.postfinance.ch/fr/assistance/login-parametres/connexion-securite/securite-tout-temps/securite-e-finance/securebrowser.html
.
Si vous êtes client PostFinance, privilégiez ce navigateur pour accéder à e-finance. Évitez d’utiliser Chrome, Firefox ou Edge pour vos opérations bancaires si vous pouvez utiliser le navigateur sécurisé de votre banque.
.
Surtout, ne cherchez jamais le nom de votre banque sur Google ou un autre moteur de recherche pour accéder à votre e-banking.
.
Les premiers résultats peuvent être des annonces sponsorisées. Même si Google fait des efforts pour lutter contre les abus, des annonces ou des sites frauduleux peuvent parfois se retrouver dans les résultats. Des personnes se sont déjà fait escroquer en accédant à leur banque de cette manière.
.
C’est notamment l’un des intérêts d’un navigateur sécurisé : il peut vous diriger directement vers le service bancaire officiel et réduire le risque de tomber sur un faux site. Il est également maintenu et mis à jour automatiquement.
.
Avec un navigateur classique comme Chrome, Firefox ou Edge, vous avez davantage de possibilités d’atterrir sur un site frauduleux, de cliquer sur un lien de phishing ou, dans certains cas, d’avoir une extension malveillante susceptible d’accéder à certaines de vos données.
.
*3) Soyez particulièrement prudent avec les QR codes
.
Un QR code peut contenir n’importe quel lien. Il peut donc parfaitement vous rediriger vers un site frauduleux.
.
Soyez particulièrement vigilant avec TWINT et les QR-factures.
.
Pour les QR codes TWINT, utilisez toujours le scanner intégré à l’application TWINT. Si le scan ne fonctionne pas, n’essayez surtout pas de scanner le QR code avec l’appareil photo de votre téléphone ou une autre application de scan. Vous pourriez être redirigé vers un site frauduleux.
.
Pour les QR-factures, utilisez toujours le scanner intégré à l’application de votre banque. Si le scan ne fonctionne pas, saisissez les informations manuellement dans l’application : IBAN, montant, référence, etc.
.
Même principe que pour TWINT : ne scannez pas une QR-facture avec une application tierce lorsque vous pouvez utiliser directement l’application de votre banque.
.
Un QR code n’est pas dangereux en lui-même. Le problème est qu’il permet de masquer très facilement la destination réelle du lien. Avant de faire confiance à ce qui s’affiche après un scan, vérifiez toujours que vous êtes bien dans l’application ou sur le site officiel de votre banque.
Les conseils de Ludo sont excellents. Je me permets d’ajouter une note concernant les codes QR Twint disponibles sur les lieux publics (parking payant, recharge électrique etc). La règle est simple: ne jamais les utiliser ! Ils sont souvent recouverts d’un autocollant, avec une autre code qui enverra le paiement chez le pirate. Et bien entendu, la prestation que l’on croyait payer reste due.
@Luc Schneider Tourn Justement, si tu scannes ce QR Code frauduleux avec l’app Twint, tu ne risques rien. Twint va simplement indiquer une erreur et le paiement sera impossible.
.
Le problème, c’est que le citoyen lambda, quand il voit une erreur sur Twint, il aura tendance à chercher une solution, donc à scanner ce QR Code frauduleux avec l’appareil photo (Apple) ou l’app Scanner (Android). C’est le réflexe d’une grande partie de la population. Si tu fais ceci, tu seras redirigé vers le site frauduleux et va tomber dans le piège de l’arnaque si tu entres tes données bancaires ou de carte de crédit sur ce site frauduleux. C’est comme cliqué sur un lien frauduleux dans un e-mail.
.
A force d’évoquer ces arnaques avec Twint dans les journaux, les gens ont maintenant peur de se faire vider leur compte. Certains ont même renoncé à utiliser Twint. Scannes le QR Code avec Twint et tu ne risques rien. C’est la règle de sécurité principale à retenir.
.
N’entre jamais de coordonnées bancaires ou de carte de crédit en ayant été redirigé sur un site par un QR Code ou en ayant cliqué sur un lien dans un e-mail.
.
Néanmoins, tu peux être prudent, très bien informé sur les cyber-attaques et quand même te faire arnaquer. Récemment des escrocs ont réussi à modifier les moyens de paiement sur un site de livraison de repas (probablement Uber Eats ou Just Eat). C’est clair que si tu es sur un site reconnu et que des escrocs ont modifié le code, comment veux-tu réaliser que c’est qqch de frauduleux ? Cela peut très bien arriver sur le site de Galaxus ou Nespresso. Source: https://www.blick.ch/fr/suisse/arnaque-comment-proteger-mes-commandes-en-ligne-des-pirates/4f914ll
.
Confédération: https://www.bacs.admin.ch/fr/26w35-fr
@ Ludo
entre nous, je trouve l’e-banking sur Natel intelligent (smartphone)… irresponsable.
et pour certaines personnes, notamment âgées, c’est vraiment… un beau cheni (en pratique).
@merinos
Pourquoi trouves-tu l’e-banking sur smartphone irresponsable ?
1. Le risque de phishing
Quand des gens se font piéger, c’est en passant par leur navigateur : ils arrivent sur un faux site qui imite celui de leur banque et y saisissent leurs identifiants bancaires. En utilisant systématiquement l’application officielle, on évite ce type de piège.
2. La sécurité des applications
Les applications officielles n’ont pas d’extensions tierces susceptibles d’être malveillantes, contrairement aux navigateurs. Elles peuvent aussi intégrer des protections supplémentaires. Par exemple, avec l’application PostFinance que j’utilise, les opérations bancaires sont bloquées lorsque le smartphone est contrôlé à distance, alors que l’accès via navigateur peut rester possible.
3. Le risque de perte ou de vol
Personnellement, j’ai installé mes applications bancaires sur ma tablette, qui reste à la maison. Cela réduit le risque de perte ou de vol par rapport à un smartphone que l’on emporte partout.
4. L’aspect pratique
Pour scanner les factures, un appareil photo est nécessaire. Un smartphone ou une tablette convient donc parfaitement.
En résumé, utiliser l’application officielle sur un appareil à jour et correctement sécurisé permet de réduire certains risques importants. Le risque zéro n’exsite pas, mais pourquoi considérer cette pratique comme irresponsable ?
Banque en ligne sur ordinateur ou par smartphone ?
Les deux peuvent être sûrs : le plus fiable est surtout celui utilisé sur un appareil bien protégé. À sécurité égale, l’application officielle a souvent un léger avantage pratique : elle limite les risques de faux sites et peut utiliser la biométrie. La banque en ligne sur ordinateur est aussi sûre si le PC et le navigateur sont à jour et protégés ; un ordinateur infecté par un logiciel malveillant peut toutefois exposer les identifiants.
::
Pour réduire les risques dans les deux cas : téléchargez l’app depuis la boutique officielle, tapez vous-même l’adresse du site bancaire, activez l’authentification à deux facteurs et les alertes de transaction, et évitez les connexions bancaires sur un appareil partagé ou un Wi‑Fi public. Si vous êtes hors de chez vous, utilisez plutôt l’app avec les données mobiles.
::
En bref : l’app officielle sur smartphone à jour et verrouillé, ou site officiel sur ordinateur personnel à jour — les deux conviennent. Évitez surtout les appareils compromis, les liens reçus par SMS ou courriel et les réseaux publics.
J’attaque ofcs pour mensonge, attaque zéro clic, utilisation des failles des systèmes volontaire ou involontaire.
Oui, le logiciel espion Pegasus peut s’introduire sur un smartphone Android ou un iPhone sans aucune autorisation ni action de la part de l’utilisateur. C’est ce que l’on appelle une attaque « zero-click » (zéro clic). [1, 2]
## Comment fonctionne l’infiltration sans clic ?
Contrairement aux piratages classiques qui exigent de cliquer sur un lien malveillant ou de télécharger un fichier (attaques « one-click »), Pegasus exploite des failles de sécurité inconnues des constructeurs (failles Zero-Day). [1, 3, 4]
* Le mécanisme : Les attaquants envoient un message invisible ou un signal spécifique à l’appareil ciblé via des applications courantes comme iMessage ou WhatsApp. [1]
* L’absence d’action : L’application reçoit et traite la donnée automatiquement en arrière-plan. La faille est alors déclenchée, installant Pegasus à l’insu total de l’utilisateur, sans qu’il n’ait besoin d’ouvrir le message ou de décrocher un appel. [1]
## Que peut faire Pegasus une fois installé ?
Une fois infiltré, le logiciel dispose des privilèges de l’administrateur et peut siphonner la quasi-totalité des données de l’appareil : [2]
* Écouter et enregistrer les appels.
* Lire les messages, y compris ceux des applications chiffrées (Signal, WhatsApp, Telegram).
* Activer le micro et la caméra à distance.
* Suivre la position GPS en temps réel.
* Accéder aux photos, emails et mots de passe. [2]
## Qui est concerné ?
Développé par l’entreprise israélienne NSO Group, Pegasus est un outil de cyber-espionnage hautement sophistiqué et extrêmement coûteux. Il est vendu exclusivement à des gouvernements et des services de renseignement. Le grand public n’est généralement pas visé ; les cibles prioritaires restent les journalistes, militants des droits de l’homme, politiciens et dirigeants d’entreprises. [2, 5]
Pour limiter les risques face à ce type de cyber-arme, les experts recommandent de maintenir son système d’exploitation (iOS ou Android) rigoureusement à jour, d’activer le « Mode de protection maximale » (Lockdown Mode) sur iPhone, ou de redémarrer régulièrement son téléphone pour interrompre l’exécution de certains logiciels espions non persistants. [3]
Souhaitez-vous savoir comment vérifier si un téléphone a été infecté ou obtenir des conseils pour renforcer la sécurité de votre appareil face aux logiciels espions ?
[1] [https://en.wikipedia.org](https://en.wikipedia.org/wiki/Pegasus_%28spyware%29)
[2] [https://fr.wikipedia.org](https://fr.wikipedia.org/wiki/Pegasus_%28logiciel_espion%29)
[3] [https://www.trendmicro.com](https://www.trendmicro.com/en_us/research/21/i/analyzing-pegasus-spywares-zero-click-iphone-exploit-forcedentry.html)
[4] [https://en.wikipedia.org](https://en.wikipedia.org/wiki/FORCEDENTRY)
[5] [https://www.avira.com](https://www.avira.com/fr/blog/pegasus-spyware)
Dans un souci de précision, comme évoqué par l’OFCS: « Aujourd’hui, l’ouverture d’un e-mail, d’un message WhatsApp ou d’un site web n’entraîne une infection que dans de très rares cas particuliers. » J’ai donc rajouté le PDF du texte en question.
@ Ludo
quelques trucs, en vrac:
– il faudrait arrêter de croire que l’ensemble de la population possède notre niveau de connaissance en outils bureautiques du monde de la micro-informatique.
car, entre les personnes ne mettant pas à jour leur Natel intelligent (ou ne pouvant plus le faire), installant n’importe quelle application, faisant tout à la va-vite (et dans n’importe quel endroit), laissant jouer leur jeune progéniture avec, ayant un forfait data limité ne permettant plus aucune mise à jour d’aucune sorte (depuis, connecté au Wi-Fi domestique), n’arrivant pas à comprendre qu’elles ont un micro-ordinateur dans la main, ne redémarrant jamais régulièrement le système d’exploitation (contrairement à un conseil du FBI), etc… sans parler de la taille des caractères et d’une éventuelle arthrose.
– le scan (numérisation d’un support papier) est bien possible depuis un ordinateur, entre la webcam et son imprimante multifonction, cela fonctionne bien (sans oublier les lecteurs optiques ad hoc).
– sur Windows, tous les navigateurs se mettent à jour en tâche de fond.
– sur macOS, au sujet de Safari, sa mise à jour est effectuée simultanément au système d’exploitation d’Apple… Firefox et Chrome passant par leur démon (monde UNIX) respectif.
– aucune version du navigateur cité n’existe pour GNU/Linux.
– avec des banques bien sérieuses: https://www.ebas.ch/fr/controle-du-certificat-du-navigateur/
– plusieurs FAI suisses ont un DNS anti-vilains: http://www.allo.ch/phpbb2/viewtopic.php?t=26666
– un faux site bancaire? alors, n’hésitez pas: https://forum.justgeek.fr/d/23-denoncer-une-mechante-page-web
– la taille de l’écran… cela peut sembler anecdotique, mais plus vous avez d’informations affichées simultanément et plus vous serez en sécurité.
– avoir un vrai clavier physique (voire ergonomique) permettant d’écrire à 10 doigts (et non à 2).
*****
@ redge
cette problématique est déjà connue depuis un bout de tramp:
https://fr.wikipedia.org/wiki/T%C3%A9l%C3%A9chargement_furtif
de ce fait, ne jamais utiliser un compte administrateur / root pour un usage traditionnel, comme la bureautique.
et le plus étrange est que cela fait des années que l’on dit que lorsque l’on croise un lien d’hameçonnage, il ne faut pas cliquer dessus, mais directement le dénoncer.
magnifique…
https://www.generation-nt.com/actualites/publicites-malwares-sans-interaction-2082877
alors…
pour les personnes ne trouvant aucun réglage interne approprié dans la configuration de leur navigateur Web (plusieurs en possédant) et intéressées à un greffon ad hoc… pour:
– Firefox de Mozilla:
https://addons.mozilla.org/fr/firefox/addon/ublock-origin/ (ou uBOL du même auteur)
– Safari d’Apple:
https://apps.apple.com/app/ublock-origin-lite/id6745342698
– Edge de Microsoft:
https://microsoftedge.microsoft.com/addons/detail/ublock-origin-lite/cimighlppcgcoapaliogpjjdehbnofhn
– Chrome de Google:
https://chromewebstore.google.com/detail/ublock-origin-lite/ddkjiahejlhfcafbddmgiahcphecmpfh
et, en passant:
https://next.ink/1424/le-fbi-recommande-installation-dad-blockers/
enfin, le système interne de Firefox et Edge se base sur: https://disconnect.me/about
hormis les greffons cités juste avant, il existe également, en Europe, des DNS anti-réclame:
– https://dnsforge.de/#dnsdaten
– https://joindns4.eu/for-public#choose
pour les personnes ayant un doute sur l’intégrité de leur Windows ou GNU/Linux:
https://www.kaspersky.com/downloads/free-virus-removal-tool
–> s’exécute en mode portable (sans installation)