Phishing : reconnaître les faux messages qui visent votre site (et votre page Facebook)

« Votre page va être supprimée dans 24 heures pour violation des droits d’auteur. » « Votre nom de domaine expire aujourd’hui : renouvelez-le ici. » Si vous avez une page Facebook ou un site internet, vous avez sans doute déjà reçu ce genre de message. Ce sont des tentatives d’hameçonnage, qu’on appelle aussi phishing : de faux messages qui imitent un organisme connu pour vous faire cliquer, donner un mot de passe ou payer.

La bonne nouvelle, c’est qu’il n’y a pas besoin d’être informaticien pour les déjouer. Quelques réflexes et deux ou trois outils gratuits suffisent à éviter la grande majorité des pièges. Voici lesquels, pas à pas.

Pourquoi les artisans sont une cible de choix

Les pirates envoient leurs messages à des milliers de personnes à la fois, en comptant sur un clic un soir de fatigue, entre deux commandes. Un artisan seul, qui gère tout lui-même et dont la page Facebook est la vitrine, est donc une cible idéale.

Les conséquences peuvent être lourdes : une page Facebook volée qu’on met des semaines à récupérer, un site défiguré ou utilisé pour envoyer des arnaques à vos clients, ou une carte bancaire débitée.

Les 4 arnaques les plus courantes chez les artisans

1. Le faux avertissement de Meta

Un message Messenger ou un e-mail annonce que votre page enfreint le règlement et sera désactivée si vous ne « confirmez » pas votre compte via un lien. Le lien mène à une fausse page de connexion Facebook. Meta ne vous préviendra jamais d’une suppression de page par un message privé envoyé par une autre page.

2. La fausse facture de nom de domaine ou d’hébergement

Un e-mail vous prévient que votre nom de domaine (l’adresse de votre site, comme monatelier.fr) expire et qu’il faut payer tout de suite. L’expéditeur imite votre hébergeur, ou c’est une société inconnue qui propose un « renouvellement » hors de prix.

3. Le faux e-mail « WordPress » ou « mise à jour de sécurité urgente »

On vous demande de télécharger un fichier ou une extension pour « corriger une faille ». En l’installant, vous ouvrez vous-même la porte de votre site. Les vraies mises à jour se font depuis votre tableau de bord WordPress, jamais depuis une pièce jointe.

4. Le faux client ou le faux colis

Un « client » très pressé veut payer par un lien qu’il vous envoie, ou un SMS annonce un colis bloqué contre quelques euros de frais. Si vous vendez sur les marchés et sur Facebook, ce sont sans doute les plus fréquents.

Les 5 signes qui doivent vous alerter

1. L’urgence ou la menace : « dans 24 heures », « dernier avertissement », « votre compte sera bloqué ». C’est fait pour vous empêcher de réfléchir.

1. L’adresse de l’expéditeur : regardez ce qui suit le @. Une adresse en « @meta-support-page.com » ou en « @gmail.com » n’est pas Meta.
2. Le lien : sur ordinateur, passez la souris dessus sans cliquer ; sur téléphone, faites un appui long. L’adresse qui s’affiche doit être celle du vrai site (facebook.com, le site de votre hébergeur…), pas une suite de lettres bizarre.
3. La demande : un mot de passe, un code reçu par SMS, ou un paiement. Aucun service sérieux ne vous demande votre code de connexion par message.
4. Le message que vous n’attendiez pas : vous n’avez rien commandé, rien publié de litigieux, aucune facture en attente ? Méfiance.

Attention : les fautes d’orthographe ne sont plus un indice fiable. Beaucoup de ces messages sont aujourd’hui très bien écrits. Fiez-vous plutôt aux cinq signes ci-dessus.

Étape 1 : vérifier sans cliquer (outils gratuits)

Le réflexe de base : ne jamais passer par le lien du message. Allez vérifier par vous-même, en tapant l’adresse ou en ouvrant l’application habituelle.

Pour Facebook : dans l’application ou sur facebook.com, ouvrez les Paramètres, puis l’Espace Comptes, « Mot de passe et sécurité », et enfin « E-mails récents ». Vous y voyez la liste des vrais e-mails de sécurité envoyés par Facebook. Si le message reçu n’y figure pas, c’est un faux. Les vrais avertissements concernant votre page apparaissent aussi dans vos notifications et dans l’état de votre page, jamais seulement dans Messenger.

Pour votre nom de domaine et votre hébergement : connectez-vous à votre espace client en tapant vous-même l’adresse de votre hébergeur (OVHcloud, o2switch, Hostinger…) et regardez la date d’échéance réelle. Si vous ne savez plus qui héberge votre site, la personne qui l’a créé peut vous le dire.

Pour WordPress : connectez-vous à votre site et ouvrez « Tableau de bord », puis « Mises à jour ». S’il y a une mise à jour à faire, elle est là.

Pour vos mots de passe : le site gratuit Have I Been Pwned (haveibeenpwned.com) vous dit si votre adresse e-mail a fait partie d’une fuite de données connue. Si c’est le cas, changez le mot de passe des comptes concernés.

Étape 2 : fermer les portes (15 minutes, gratuit)

Même le plus vigilant d’entre nous peut cliquer un jour. Le but est que, ce jour-là, un mot de passe volé ne suffise pas aux pirates.

• Activez la double authentification sur Facebook (Espace Comptes > Mot de passe et sécurité > Authentification à deux facteurs), sur votre boîte e-mail et sur votre site WordPress (extension gratuite Wordfence Login Security). Même avec votre mot de passe, un pirate sera bloqué sans le code de votre téléphone.

• Utilisez un mot de passe différent pour chaque compte, surtout pour votre boîte e-mail : c’est elle qui permet de réinitialiser tous les autres. Le gestionnaire gratuit Bitwarden les retient pour vous.
• Ne payez jamais via un lien reçu par message. Pour un vrai client, proposez vos moyens de paiement habituels.

J’ai détaillé la double authentification et les autres protections de votre site dans mon article « Sécuriser son site WordPress gratuitement : 7 gestes simples ».

Étape 3 : vous avez cliqué ? Pas de panique

Ça arrive à tout le monde. Ce qui compte, c’est d’agir vite :

1. Changez tout de suite le mot de passe du compte concerné, en passant par l’application ou en tapant l’adresse vous-même, ainsi que partout où vous utilisiez le même.

1. Sur Facebook, déconnectez les appareils que vous ne reconnaissez pas (Mot de passe et sécurité > « Où vous êtes connecté ») et activez la double authentification.
2. Vous avez donné votre numéro de carte ? Appelez votre banque pour faire opposition, sans attendre.
3. Vous n’avez plus accès à votre compte Facebook ? Rendez-vous sur facebook.com/hacked, la page officielle de récupération.
4. Sur votre site, lancez une analyse avec Wordfence et, si besoin, restaurez une sauvegarde saine (UpdraftPlus).

Pour vous faire aider, le site public cybermalveillance.gouv.fr propose un diagnostic gratuit et peut vous orienter vers des professionnels proches de chez vous, dans le Tarn comme ailleurs. Et pour aider les autres, signalez : les e-mails frauduleux sur signal-spam.fr, les SMS en les transférant gratuitement au 33700.

Combien de temps ça prend, vraiment ?

Comptez environ 15 minutes pour activer la double authentification sur Facebook, votre boîte e-mail et votre site, et 5 minutes pour vérifier votre adresse sur Have I Been Pwned. Ensuite, tout se joue en 10 secondes, à chaque message inattendu : « Est-ce que j’attendais ce message ? Est-ce qu’on me presse ? Est-ce qu’on me demande un code ou de l’argent ? »

Soyons honnêtes : aucun outil n’arrête 100 % des arnaques, et les pirates changent régulièrement de méthode. C’est la régularité des bons réflexes qui vous protège, pas une installation faite une fois pour toutes.

Et si vous préférez ne plus y penser ?

Si vous voulez qu’on surveille votre site à votre place, ma formule de maintenance WordPress (59 € par mois) comprend les mises à jour, les sauvegardes et la surveillance de la sécurité, avec quelqu’un à qui transférer un message douteux avant de cliquer. Et si vous avez simplement une question sur un message reçu ou sur votre site, écrivez-moi : je réponds avec plaisir, sans engagement.