« C’est toi sur cette vidéo ? » Le message vient d’un ami. Le piège aussi.
Les arnaques sur Messenger exploitent quelque chose de beaucoup plus efficace qu’un virus spectaculaire : notre confiance.
Un proche vous écrit. Son nom est correct. Sa photo aussi.
Le message paraît étrange, mais suffisamment crédible pour vous faire cliquer.
Sauf que votre proche n’a peut-être rien envoyé.
Son compte a pu être compromis et servir désormais à toucher ses propres contacts.
Sur Messenger, le meilleur argument d’un faux message est souvent qu’il arrive avec le visage de quelqu’un que vous connaissez.
Parce que nous baissons la garde quand le message vient d’un proche.
Les messageries privées ont une particularité : elles sont associées à la conversation personnelle.
Nous y parlons à des amis, à notre famille, à des collègues.
Un lien reçu dans cet espace inspire donc souvent davantage confiance qu’un lien arrivé dans un e-mail inconnu.
Une fois un compte compromis, cette confiance devient exploitable.
L’attaquant peut envoyer le même message aux contacts de la victime et tenter de compromettre d’autres comptes.
Le compte piraté devient lui-même un outil de persuasion.
Le pirate ne « casse » pas toujours Messenger. Il vous fait parfois ouvrir la porte.
Beaucoup de compromissions de comptes passent par le vol d’identifiants ou de moyens d’authentification.
Le phishing.
Vous recevez un lien vers une page qui ressemble à Facebook ou Messenger. Vous saisissez vos identifiants. Mais la page appartient à l’attaquant, qui récupère ce que vous venez d’entrer.
Le mot de passe réutilisé.
Si le même mot de passe sert sur plusieurs services, une fuite de données sur l’un d’eux peut permettre de tester ces identifiants ailleurs.
Le vol de session ou de jetons.
Un logiciel malveillant, une extension compromise ou d’autres techniques plus avancées peuvent parfois permettre de détourner des éléments servant à maintenir une session ouverte.
L’appareil compromis.
Si un téléphone ou un ordinateur est infecté, la protection du compte peut être contournée par ce qui se passe directement sur l’appareil.
Wi-Fi public ne veut pas dire « tout circule en clair ».
On lit encore souvent qu’un pirate installé dans un café peut simplement regarder passer votre mot de passe Facebook.
Ce n’est plus une bonne description du fonctionnement normal du Web moderne.
Lorsqu’un site ou une application utilise correctement HTTPS et TLS, le contenu échangé est chiffré entre votre appareil et le service.
Un réseau public n’est pourtant pas sans risque : faux points d’accès, appareils vulnérables, services mal configurés, attaques locales ou logiciels malveillants restent possibles.
La bonne pratique n’est donc pas : « Wi-Fi public = mot de passe visible ».
Elle est : garder son appareil à jour, utiliser des services chiffrés, éviter les réseaux douteux et rester attentive aux alertes de sécurité.
Un compte compromis vaut surtout par ce qu’il permet d’atteindre ensuite.
L’attaquant peut chercher à se faire passer pour vous.
Demander de l’argent à un proche.
Envoyer un lien malveillant.
Tenter de récupérer d’autres identifiants.
Explorer les informations accessibles depuis le compte.
Ou simplement utiliser votre identité pour donner davantage de crédibilité à la prochaine tentative.
La cible suivante n’est parfois pas vous. C’est la personne qui vous fait confiance.
Quelques protections font beaucoup plus de différence que d’autres.
Activez l’authentification à deux facteurs.
Meta permet d’activer la double authentification depuis les réglages de sécurité de l’Espace Comptes. Cela ajoute une barrière supplémentaire si votre mot de passe est volé.
Utilisez un mot de passe unique.
Ne réutilisez pas le mot de passe de votre adresse e-mail, de Facebook ou d’autres services. Un gestionnaire de mots de passe peut aider à conserver des identifiants longs et différents.
Ne faites pas confiance au nom affiché.
Un message envoyé par un proche ne garantit pas que ce proche est réellement derrière son écran.
Vérifiez les connexions et alertes de sécurité.
Les réglages de sécurité de Meta permettent de contrôler les protections du compte et de réagir en cas de connexion suspecte.
Mettez vos appareils et applications à jour.
Les mises à jour corrigent notamment des vulnérabilités connues. Un compte bien protégé utilisé depuis un appareil compromis reste vulnérable.
Et le VPN ?
Il peut être utile sur certains réseaux publics ou dans un contexte professionnel, mais ce n’est pas un bouclier magique contre le phishing. Si vous saisissez volontairement votre mot de passe sur une fausse page, le VPN ne peut pas empêcher cette page de le recevoir.
La meilleure protection contre une fausse page reste encore de ne pas lui donner ce qu’elle demande.
Non, vous n’avez pas besoin de changer votre mot de passe tous les mois.
Cette recommandation a longtemps circulé.
Les recommandations modernes privilégient plutôt un mot de passe long, difficile à deviner et surtout unique pour chaque service.
Le changement devient important lorsque le mot de passe a été compromis, réutilisé dans une fuite, communiqué à quelqu’un ou lorsque vous observez une activité suspecte sur votre compte.
Un bon mot de passe n’est pas celui que l’on change souvent. C’est celui que l’on ne réutilise pas ailleurs.
Là, il faut agir vite.
Si vous pouvez encore accéder à votre compte, commencez par modifier le mot de passe depuis un appareil que vous considérez comme sûr.
Vérifiez ensuite vos réglages de sécurité, activez ou renforcez l’authentification à deux facteurs et examinez les informations de récupération du compte.
Prévenez vos contacts si des messages ont été envoyés en votre nom.
Et si vous ne pouvez plus vous connecter, utilisez le parcours officiel de récupération de Meta.
La sécurité ne se joue pas uniquement dans le mot de passe.
Les systèmes peuvent être très bien protégés.
Il reste toujours une surface d’attaque extrêmement difficile à corriger :
notre réflexe de faire confiance.
C’est le principe de l’ingénierie sociale.
Au lieu d’attaquer directement une technologie, on cherche à provoquer un comportement humain : cliquer, se connecter, transmettre un code, envoyer de l’argent ou agir dans l’urgence.
Le message le plus dangereux n’est pas toujours celui qui semble suspect. C’est parfois celui qui semble familier.
Avant de cliquer, regardez ce que le message essaie de déclencher.
De la curiosité ?
De la peur ?
De l’urgence ?
La promesse de découvrir une vidéo de vous ?
Une demande d’aide qui semble inhabituelle ?
Ces quelques secondes d’analyse sont souvent plus utiles qu’une collection entière d’outils de sécurité.
Un message vient d’un ami.
Cela ne prouve qu’une chose : qu’il vient de son compte.
Pas nécessairement de lui.