Comme c’est habituellement le cas, l’Agence de l’Union européenne pour la cybersécurité (ENISA) organise le Mois européen de la cybersécurité. Il s’agit d’une campagne à l’échelle européenne visant à sensibiliser citoyens et entreprises aux risques les plus courants dans l’environnement numérique. Cette initiative s’est solidement établie comme le rendez-vous annuel incontournable en matière de sensibilisation, mettant en lumière la fraude en ligne ainsi que les nouvelles tactiques d’ingénierie sociale.

À l’occasion de cette célébration, Palo Alto Networks souhaite démystifier cinq des mythes les plus dangereux qui circulent autour de la sécurité numérique. Ces idées reçues représentent un réel danger pour les particuliers comme pour les organisations, face à des attaques de plus en plus sophistiquées.

1. « Visiter un site suspect est inoffensif si je n’y saisis pas de données ou ne clique pas »

En réalité, dans la majorité des cas, charger la page suffit à ce que l’attaquant recueille toutes les informations en quelques secondes. Les cybercriminels utilisent des tactiques telles que le drive-by download, le fingerprinting et l’exploitation de vulnérabilités zero-day ou de failles du navigateur via du JavaScript malveillant pour exécuter du code ou échapper au contrôle de l’ordinateur. Ainsi, même si vous fermez l’onglet, le téléchargement ou le traçage peuvent déjà avoir été lancés.

2. « Un code QR dans un lieu public est fiable »

Aujourd’hui, le phishing via QR code est en pleine croissance, avec une utilisation abusive de redirections légitimes, d’outils anti-bots et de domaines imitant des services réels. En Espagne, par exemple, au début de l’année, des panneaux dans le centre de Madrid comportaient un QR pour télécharger des photos et un message piège « David, tu m’as trompé » afin d’attirer l’attention des passants. Les cybercriminels dissimulent parfois la destination finale derrière des chaînes de redirections en apparence légitimes ou manipulent des QR dans des espaces publics, comme des parcmètres ou des panneaux, pour diriger l’utilisateur vers de faux sites de paiement ou de connexion. De plus, sur mobile, la prévisualisation de la caméra offre peu de contexte, favorisant la tromperie.

3. « Je détecte le phishing grâce au logo ou au design »

Aujourd’hui, les attaquants recourent à des noms de domaines très ressemblants et à des redirections multiples, démarrant sur des services connus via des plateformes de redirection, puis menant à un clonage parfait du restaurant où vous avez réservé, du parking habituel ou du portail de votre entreprise. Une étude de Unit 42, la cellule d’intelligence des menaces de Palo Alto Networks, alerte : certains acteurs utilisent Cloudflare Turnstile ou d’autres vérifications humaines pour échapper aux traqueurs et ne faire aboutir leurs attaques qu’à des utilisateurs authentiques, afin de subtiliser des identifiants.

4. « Si quelque chose semble suspect, je ferme simplement l’onglet »

En réalité, fermer la page ne garantit pas l’arrêt des effets potentiels : des dommages techniques ou des traçages peuvent être déjà en cours. En quelques secondes, la page peut avoir déclenché des téléchargements silencieux ou des installations de malware, recueilli des données comme l’IP ou la localisation, ou même exécuté du code arbitraire. De plus, nombreux kits de phishing redirigent vers des espaces de connexion légitimes ou des erreurs 404 si une automatisation est détectée, dissimulant leur infrastructure et compliquant le travail d’analyse forensique ultérieure.

5. « Le risque est identique sur mobile personnel et professionnel »

La réalité est que, généralement, les appareils personnels manquent de solutions telles qu’EDR, de filtrage avancé DNS/URL, de politiques de mise à jour ou de conteneurs d’applications. Leur usage, particulièrement pour scanner des menus, effectuer des paiements, laisser des avis ou réserver, en fait des cibles de choix pour les cybercriminels. Une étude de Unit 42, basée sur leur télémétrie, montre que les attaques de phishing sont répandues aux États-Unis comme en Espagne, affectant plusieurs secteurs : la médecine, l’éducation, l’énergie ou la finance. Ainsi, le phishing par QR code, SMS ou liens raccourcis constitue un objectif prioritaire pour les campagnes des cyberpirates en dehors du réseau d’entreprise.

Comment se protéger contre ces risques

Pour limiter l’exposition à ces menaces quotidiennes, Palo Alto Networks recommande de suivre quelques règles fondamentales de sécurité numérique :

• Maintenir ses navigateurs et systèmes d’exploitation toujours à jour, avec tous les correctifs de sécurité.
• Éviter de scanner des QR codes ou d’ouvrir des liens inconnus ; autant que possible, rechercher le service en question via un moteur de recherche d’abord.
• Examiner attentivement l’URL pour repérer des domaines similaires ou contrefaits, ainsi que des sous-domaines trompeurs, en vérifiant via des sources OSINT comme VirusTotal ou l’outil PANW Test a Site.
• Se rappeler que fermer l’onglet ne suspend pas forcément des téléchargements silencieux ni n’interrompt des processus de fingerprinting en cours lors du chargement de la page.
• Ne jamais saisir ses identifiants ou données personnelles après avoir cliqué sur un lien reçu par SMS, e-mail ou QR code.
• Utiliser des solutions de sécurité avancées (EDR, filtrage DNS/URL ou antivirus fiable) aussi bien sur appareils professionnels que personnels.