Vishing : le reconnaître et réagir correctement.

• Grâce à ces règles de conduite, la plupart des tentatives de vishing resteront sans suite. Découvrez nos mesures de protection.
• Un appel vous a paru suspect après coup ? Découvrez ici comment vérifier son authenticité.
• Vous avez déjà transmis des données, des codes ou accordé un accès à distance ? Voici la marche à suivre.

Le vishing fait partie des escroqueries les plus en vogue dans l’espace numérique. Les criminels exploitent délibérément la confiance, le sentiment d’urgence et les émotions pour manipuler leurs victimes. Ils se font passer pour une personne de confiance afin d’obtenir des données sensibles, de l’argent ou accéder à des appareils. Le terme « vishing » vient des mots anglais « voice » et « phishing ». On utilise donc aussi couramment les appellations « voice phishing » ou « hameçonnage téléphonique ».

Dans le cas du vishing, il n’y a ni site Internet frauduleux ni lien sur lequel cliquer. En revanche, il y a une véritable voix au téléphone qui semble convaincante sur le moment. Cela rend l’arnaque plus difficile à démasquer : une voix à l’oreille, qu’elle soit amicale ou autoritaire, laisse généralement moins de temps pour réfléchir qu’un e-mail que l’on peut lire et vérifier tranquillement. Une personne prise au dépourvu au téléphone réagit souvent avant d’avoir pu bien cerner la situation.

L’arnaque par rappel est une forme de vishing : les escrocs laissent un message vocal dans lequel ils vous informent qu’un compte a été bloqué. Lorsque vous rappelez, vous tombez sur un message automatisé qui vous demande de saisir vos identifiants ou les données de votre carte bancaire. La victime a donc l’impression de prendre elle-même l’initiative, alors que l’arnaque a déjà commencé. 

« Aujourd’hui, les escrocs piratent de moins en moins les systèmes : ils manipulent les gens. Les méthodes modernes se nourrissent de l’insécurité. Elles génèrent délibérément du stress, un sentiment d’urgence et des doutes, jusqu’à ce que les victimes ne se fient plus à leur propre jugement. C’est précisément pour cette raison que le vishing est si dangereux. Les escrocs n’exploitent pas des failles techniques, mais jouent sur la confiance, la bienveillance et le sens des responsabilités : de nombreuses victimes croient a posteriori qu’elles ont elles-mêmes déclenché l’action décisive et sont donc responsables de la fraude. »

Melissa Wong, Group Chief Product Officer chez bolttech, partenaire de cyberprotection du TCS

Vous recevez un appel sérieux en apparence. La personne se présente sous un nom connu, par exemple votre banque, la police ou un fournisseur informatique. Souvent, les escrocs disposent déjà de certaines informations personnelles telles que votre nom, votre adresse e-mail ou votre employeur. Les appels paraissent donc plus crédibles et créent une certaine pression psychologique. Un soi-disant collaborateur informatique peut même connaître le nom de votre service ou de votre supérieur hiérarchique pour vous inspirer confiance.

Les criminels n’exploitent pas des failles de sécurité, mais recourent à des astuces psychologiques. On appelle cela de l’ingénierie sociale. L’objectif est d’instaurer un climat de confiance et d’inciter la personne à faire quelque chose qu’elle n’aurait pas fait dans des circonstances normales.

Voici quelques méthodes typiques :

• Sentiment d’urgence : vous devez agir immédiatement.
• Peur : on vous menace d’un blocage de compte, d’un piratage informatique ou de pertes financières.
• Autorité : la personne qui vous appelle se fait passer pour un employé de banque, une policière ou un spécialiste en informatique.
• Bienveillance : les malfaiteurs prétendent vouloir résoudre un problème pour vous.
• Familiarité : le fait que la personne connaisse déjà des informations sur vous instaure un climat de confiance.

Une fois la confiance établie, la demande proprement dite arrive : un paiement, un code de sécurité, un mot de passe ou l’installation d’un logiciel de maintenance à distance. Les malfaiteurs insistent sur le fait que la situation doit être réglée au plus vite et sur les supposées conséquences pour vous empêcher d’examiner la situation sereinement.

Tout ce que vous divulguez ou activez au téléphone est immédiatement exploité par les escrocs. Cela peut aller de l’accès à vos comptes en ligne à l’installation de logiciels malveillants sur votre appareil, en passant par des pertes financières. Souvent, les escrocs vous font installer un logiciel de maintenance à distance et obtiennent ainsi l’accès à votre ordinateur.

En principe, les banques, administrations et entreprises sérieuses ne demandent pas de mots de passe, de codes PIN ou TAN (codes à usage unique) par téléphone. Si on vous les demande, il s’agit très probablement d’une tentative d’escroquerie.

Selon ce que vous avez divulgué ou activé au téléphone, différentes étapes sont nécessaires. Cherchez votre situation dans le tableau.

Si un appel vous semble suspect, suivez les étapes suivantes :

• Mettez fin à l’appel : vous n’avez pas à rester poliment au téléphone pour vous débarrasser d’une tentative d’escroquerie.
• Ne partagez rien et n’installez rien : ne donnez aucune information, n’effectuez aucun paiement et n’ouvrez aucun logiciel.
• Contactez l’organisation via le canal officiel : utilisez un numéro que vous connaissez ou que vous avez trouvé vous-même, et non celui de l’appel suspect. La touche de rappel ou de recomposition est également à éviter, car elle pourrait vous renvoyer vers le même numéro frauduleux.
• Conservez les preuves : notez l’heure, le contenu de la conversation, les demandes formulées et le numéro affiché. Ces informations peuvent s’avérer utiles pour signaler l’incident aux autorités ou les investigations ultérieures.
• Signalez : signalez ensuite cette tentative à l’Office fédéral de la cybersécurité (OFCS). Si vous faites face à des menaces ou du harcèlement, n’hésitez pas à prévenir la police via le numéro d’urgence 117.
• Documentez : prenez des captures d’écran ou des notes de la conversation et conservez-les.

• Conseils personnalisés jour et nuit : en cas d’urgence, vous n’avez pas à vous demander ce qu’il faut faire. Nos Case Managers vous accompagnent jour et nuit, coordonnent les prochaines étapes et veillent à ce que vous bénéficiez d’un soutien adapté.
• Système d’alerte précoce en cas d’utilisation abusive des données : TCS IDProtect vous informe lorsque vos données personnelles, telles que votre adresse e-mail, votre numéro de téléphone ou les informations de votre carte de crédit apparaissent dans des fuites de données connues. Vous pouvez ainsi agir avant qu’un préjudice plus important ne survienne.
  
• Service de blocage de carte en cas d’urgence (en exclusivité pour les membres du TCS) : en cas d’utilisation abusive des données de paiement ou de perte d’une carte, il vous suffit, en tant que titulaire du TCS Livret Cyber Protection, de passer un appel. Le service de blocage de carte vous aide à faire bloquer rapidement les cartes concernées.
  
• Protection contre les préjudices financiers : en cas de préjudice financier causé par une cyberattaque, le TCS Livret Cyber Protection couvre jusqu’à CHF 5’000.–.
• Assistance juridique par des spécialistes : en cas d’utilisation abusive de vos données ou de conséquences juridiques, les 80 avocats et juristes spécialisés du TCS sont à vos côtés. Les frais de justice et de procédure sont couverts jusqu’à CHF 300’000.–.
• Assistance technique par des spécialistes en cybersécurité : que ce soit pour un compte piraté, un vol de données ou une fraude en ligne, nous vous aidons, en collaboration avec notre partenaire bolttech, à analyser l’incident, à assurer la sécurité de vos comptes et à prendre les mesures qui s’imposent.