Guide d’autodéfense
sur Internet

Gisèle Foucher

Daniel Ichbiah

Guide d’autodéfense sur Internet

Copyright © 2020 Éditions First, un département d’Édi8
92 avenue de France
75013 Paris
Tél. : 01 44 16 09 00
Fax : 01 44 16 09 01
Courriel : firstinfo@efirst.com
Site Internet : www.editionsfirst.fr

ISBN : 978-2-412-05415-4
ISBN numérique : 978-2-412-05677-6
Dépôt légal : janvier 2020
Mise en page : Enredos e Legendas Unip. Lda

« Cette œuvre est protégée par le droit d’auteur et strictement réservée à l’usage privé du client. Toute reproduction ou diffusion au profit de tiers, à titre gratuit ou onéreux, de tout ou partie de cette œuvre, est strictement interdite et constitue une contrefaçon prévue par les articles L 335-2 et suivants du Code de la Propriété Intellectuelle. L’éditeur se réserve le droit de poursuivre toute atteinte à ses droits de propriété intellectuelle devant les juridictions civiles ou pénales. »

Tous droits réservés. Toute reproduction, même partielle, du contenu, de la couverture ou des icônes, par quelque procédé que ce soit (électronique, photocopie, bande magnétique ou autre) est interdite sans autorisation par écrit d’Édi8.

Limites de responsabilité et de garantie. L’auteur et l’éditeur de cet ouvrage ont consacré tous leurs efforts à préparer ce livre. Édi8 et les auteurs déclinent toute responsabilité concernant la fiabilité ou l’exhaustivité du contenu de cet ouvrage. Ils n’assument pas de responsabilités pour ses qualités d’adaptation à quelque objectif que ce soit, et ne pourront être en aucun cas tenus responsables pour quelque perte, profit ou autre dommage commercial que ce soit, notamment mais pas exclusivement particulier, accessoire, conséquent, ou autres.

Marques déposées. Toutes les informations connues ont été communiquées sur les marques déposées pour les produits, services et sociétés mentionnés dans cet ouvrage. Édi8 décline toute responsabilité quant à l’exhaustivité et à l’interprétation des informations. Tous les autres noms de marque et de produits utilisés dans cet ouvrage sont des marques déposées ou des appellations commerciales de leur propriétaire respectif. Édi8 n’est lié à aucun produit ou vendeur mentionné dans ce livre.

Ce document numérique a été réalisé par Nord Compo.

Introduction

Comment profiter d’Internet sans en devenir victime

Ceci s’est passé dans un pays d’Amérique du Sud. Une jeune touriste française avait eu vent par son guide de voyage que certains conducteurs de trains arrêtaient volontairement leur locomotive en pleine nature la nuit et coupaient l’électricité afin de laisser des voleurs entrer dans les wagons et opérer leur méfait dans le noir absolu. Lorsqu’elle s’est retrouvée dans un train et que le courant a été coupé, elle a alors immédiatement pointé sa lampe de poche sur ses bagages afin d’empêcher qu’on les lui dérobe dans l’obscurité. Grâce à la lecture de son guide, elle s’en est sortie sans encombre.

En lisant ces lignes, vous allez sans doute vous dire : « J’aurais fait de même… Avant de partir, j’aurais lu le Routard ou le Lonely Planet, consulté les témoignages de voyageurs sur VoyageForum ou Trip Advisor… » Oui, c’est ce que nous ferions habituellement.

Internet est une terre aussi peu sûre que certaines contrées à risques de cette planète. S’y promener sans avoir pris ses précautions n’est simplement pas envisageable. Les arnaques, duperies et pièges abondent. Et leurs auteurs n’attendent que la naïveté de certains. Voilà pourquoi un guide tel que celui que vous avez entre les mains en ce moment est devenu nécessaire à qui veut pouvoir s’aventurer sur le Net sans péril.

Voici quelques exemples de faits réels, décrits dans divers chapitres de ce livre :

Selon une estimation de la Maison-Blanche, le maliciel (malware) NotPetya (apparu en 2017) aurait coûté dix milliards de dollars à des entreprises du monde entier parmi lesquelles figurent Auchan, Saint-Gobain et SNCF – cette dernière ayant toutefois réussi à le neutraliser sans en subir d’effets négatifs.

La ville de Riviera Beach en Floride a été prise en otage en mai 2019. Un pirate avait crypté ses données informatiques et réclamé une rançon. La municipalité a dû débourser plus de 600 000 $ pour récupérer ses données informatiques.

Sur le site Scamwatch.gov.au, Georgina raconte qu’elle a reçu un jour une demande d’ami d’un militaire en service pour la paix en Afghanistan nommé Jim, qui lui disait se sentir seul après avoir perdu son épouse. Il a ensuite expliqué qu’il avait été posté au Niger mais que son service était bientôt achevé et qu’il comptait les jours avant de la rencontrer. Jim a alors demandé à Georgina une aide financière pour l’aider à ouvrir une boutique de pierres précieuses. Il a ensuite prétendu qu’il avait été mis en prison et qu’il fallait payer sa caution. De fil en aiguille, Georgina a fini par payer plus de 100 000 $ avant que la police locale lui fasse comprendre qu’il s’agissait d’un scam et qu’elle ne reverrait jamais son argent…

Le virus I love you, qui s’est propagé en mai 2000 alors que des internautes croyaient ouvrir une lettre d’amour reçue par e-mail, a fait perdre environ cinq milliards de dollars à des entreprises ou particuliers, au niveau mondial.

En 2016, dans le cadre d’une émission de la RTBF, un spécialiste de la cybersécurité a tenté une expérience. Il s’est installé à l’intérieur d’un café du centre de Bruxelles et a inventé un nom de service d’accès Wi-Fi très proche de celui du café. Sept personnes se sont laissé berner en se connectant à ce faux compte. À partir de là, il lui a été possible de voir toute l’activité de ces internautes : les sites qu’ils visitaient, leurs recherches, mais aussi les mots de passe qu’ils tapaient…

À l’automne 2010, le conseil des prud’hommes de Boulogne-Billancourt a décrété qu’il était légal de licencier des employés pour des propos exprimés sur Facebook contre leur entreprise, même si ces propos n’étaient visibles que par un cercle d’amis fermé.

Au printemps 2013, l’université de Cambridge en Angleterre a passé au crible les pages de 8 000 utilisateurs de Facebook. Il en est ressorti que, même quand un internaute se montrait discret sur son profil, il révélait indirectement énormément d’informations personnelles : âge, race, préférences sexuelles…

En juillet 2019, la ville de Johannesburg en Afrique du Sud a été victime d’un rançongiciel (demande de rançon pour récupérer ses données) qui a privé des milliers d’habitants d’électricité durant plusieurs journées.

Louise, une adolescente namuroise de 16 ans, était harcelée sur son physique sur le réseau social Ask.fm. En septembre 2014, elle avait reçu tant de moqueries méchantes qu’elle a fini par se suicider.

En 2018, des courriels frauduleux ont circulé, promettant un remboursement d’impôts moyennant des informations bancaires à renseigner sur le site gouvernemental. Le lien menait vers un faux site, à partir duquel les fraudeurs ont récupéré les numéros et codes bancaires des utilisateurs et s’en sont servi pour effectuer des achats au détriment de ces derniers.

«  C’est notre anniversaire ! Répondez à quelques questions pour avoir la possibilité d’obtenir un coupon Lidl de 50 € avec notre tirage au sort.  » Ce message qui a circulé en juin 2019 était en réalité du phishing (un site imitant à la perfection celui d’une enseigne existante avec pour objectif de récupérer les données d’internautes crédules). Et comme il fallait partager le lien sur son profil Facebook, cette annonce s’est propagée à toute vitesse !

En octobre 2007, Kevin Colvin s’était absenté de son poste à l’Anglo Irish Bank sous prétexte d’une urgence familiale. Or, une photo postée par lui-même sur sa page Facebook l’a fait apparaître bien guilleret et éméché durant une soirée Halloween… ce qui a suffi pour que son entreprise le congédie.

Chaque année, la société Splashdata publie la liste des 100 mots de passe les plus utilisés dans le monde. Il en ressort qu’une majorité d’internautes utilisent des sésames ultra-faciles à repérer, comme 123456 (le premier du lot), 111111 ou encore football. Le code 123456 est même en tête du classement depuis sept années consécutives ! Il résulte de cette étude qu’il est théoriquement possible à des pirates d’accéder facilement à 98 % des comptes existants…

Suite à un test effectué par l’université du Michigan, il s’est avéré que 45 % de ceux qui retrouvaient une clé USB égarée l’introduisaient sans se poser de questions dans leur ordinateur et ouvraient les fichiers qui s’y trouvaient, notamment les photos de vacances.

Eh oui, ce genre de pratique est quotidien sur Internet… Si l’ordinateur est un outil de création, d’apprentissage ou de loisirs extraordinaire, c’est aussi une terre à haut risque. Il s’agit en effet d’un outil qui fonctionne grâce à une technique : la programmation. Cette dernière amène les composants de l’ordinateur (puces, circuits imprimés…) à combiner des 0 et des 1 à une vitesse fulgurante jusqu’à aboutir au final à un jeu vidéo comme Fortnite ou Minecraft, à une application qui donne la météo ou encore à un traitement de texte comme Word.

Toutefois, d’autres utilisent la programmation à des fins plus obscures. Leur œuvre se décline alors sous la forme de nuisances telles que les virus (infectant le disque dur), le phishing, les spams (pollution publicitaire de la messagerie) et bien d’autres joyeusetés.

Lorsque vous gérez une entreprise à l’aide d’un système informatique, vous ne pouvez pas vous permettre de découvrir un beau matin que les données comptables ou la gestion des stocks ont été altérées, ou pire, que plus aucun des ordinateurs de l’entreprise et de ses filiales ne sont accessibles. Fréquemment, lorsque sont évoqués de tels risques, la réponse d’un manager est la suivante : « Cette question relève de notre service informatique. Nous lui faisons confiance. » Si cette attitude était sans doute admissible il y a une vingtaine d’années, ce n’est plus le cas aujourd’hui. Plus les années passent et plus l’informatique s’introduit dans les moindres rouages d’une entreprise. Comme vous le constaterez dans ces pages, une intrusion dans un système informatique a souvent pour cause la mégarde d’une seule personne, mal informée des risques. Il est également arrivé qu’un grand groupe fasse l’objet d’une attaque en raison de la désinvolture d’un sous-traitant. Philippe Gaulier, de la société de sécurité informatique Cyberzen, résume cet état de fait en une phrase : « La vulnérabilité ne vient pas du système informatique, mais de l’humain. »

Selon le rapport Euler Hermes 2019 consacré à ce sujet, le coût moyen d’une cyberattaque serait de 10 000 € pour une TPE. Il s’est élevé à 100 000 € dans 6 % des cas. Pourtant, à en croire l’équipementier réseau Cisco, qui s’est diversifié dans la cybersécurité, 50 % des alertes ne seraient pas prises en compte. Or, lors d’une réunion au Medef organisée en octobre 2019 sur le thème de la cybersécurité, il est apparu de 40 % des entreprises consultées disaient avoir fait l’objet d’au moins une cyberattaque !

À un niveau privé, vous n’aimeriez pas du tout qu’un intrus puisse avoir accès à vos données bancaires ni utiliser un système de paiement que vous avez activé pour effectuer ses propres emplettes à votre insu… La messagerie, les réseaux sociaux et certaines applications peuvent être insuffisamment sécurisés et ouvrir la voie à des demandes de rançons ou autres nuisances. Qui plus est, nous sommes de plus en plus entourés d’objets connectés. Et, faute de prendre les mesures adéquates, ce sont autant de points d’accès à des menaces potentielles.

Voilà pourquoi nous avons écrit ce Guide d’autodéfense sur Internet. Car, fort heureusement, il est possible de voyager en sécurité sur le Web, d’utiliser sa messagerie l’esprit tranquille, de gérer son informatique sans avoir à craindre des lendemains sombres.

La sécurité absolue n’existe pas. Mais on peut s’en approcher de très près. Voici notamment ce que vous allez apprendre dans ce guide :

comment définir un mot de passe sécurisé ;

comment vous protéger des arnaques par e-mail et vous prémunir des rançongiciels ;

pourquoi, par principe, il ne faut jamais cliquer sur une pièce jointe si elle n’a pas été sollicitée par vous ;

pourquoi il est bon disposer de plusieurs sauvegardes de vos fichiers, et comment les effectuer ;

comment éviter que votre compte Facebook ne révèle d’innombrables informations privées à votre égard au tout-venant ;

comment protéger vos enfants de ceux qui voudraient abuser de leur crédulité sur le Net ;

comment protéger vos finances et votre vie privée.

Panorama des menaces

Tout au long de ce livre, nous allons vous montrer comment naviguer en toute sécurité dans cette jungle que semble être Internet. Car, pour chaque problème évoqué, il existe une solution.

Nous allons à présent examiner en détail les principaux ennemis de votre ordinateur. Nous vous indiquons aussi dans quel chapitre ces nuisances sont abordées, avec à chaque fois les parades adéquates.

Pour faire simple, nous avons opté pour une présentation des principales nuisances par ordre alphabétique…

Adware

Terme issu de la contraction de advertising (publicité) et de software (logiciel).

Les adwares sont des logiciels qui, durant leur fonctionnement, affichent de temps à autre des bannières publicitaires. Leurs auteurs justifient la présence de ces publicités ainsi : ils fournissent le programme gratuitement, mais récoltent en échange un revenu des publicités présentées.

Pourtant, les adwares font régulièrement l’objet de critiques : il leur est parfois reproché d’espionner l’utilisateur et de relayer les informations concernant ce dernier à d’autres – une pratique généralement dévolue aux spywares (ou mouchards), dont nous parlons plus bas.

Les adwares sont traités au Chapitre 9, dédié à la navigation Web.

Backdoor

Le mot signifie « porte dérobée » en anglais. Il vient de l’analogie avec certains établissements qui, en plus d’une entrée officielle surveillée, disposent d’un accès discret pour certains corps de métiers (pompiers, convoyeurs de fonds…).

Par analogie, une backdoor autorise un accès dans l’ordinateur d’une personne. Les programmeurs d’un logiciel se ménagent en effet une backdoor afin de pouvoir intervenir en urgence sur leur programme. Certains hackers (pirates informatiques) parviennent à exploiter ces backdoors pour s’introduire dans l’ordinateur d’un internaute, à son insu.

L’une des solutions pour se protéger contre une telle manipulation consiste à installer un pare-feu. Cette action est traitée au Chapitre 1.

Cheval de Troie

Programme semblable à un virus (voir plus bas) qui s’installe de manière discrète dans l’ordinateur pour exécuter une action tout aussi discrète. Celle-ci peut être bénigne ou nocive – comme ralentir fortement le PC hôte ou récupérer les données entrées sur des formulaires bancaires en ligne. À la différence d’un virus, le cheval de Troie n’a pas la capacité de se reproduire.

Les programmes antivirus, traités dans le Chapitre 1, éliminent les chevaux de Troie.

Cookie

Les cookies sont de petits fichiers résidant sur votre disque dur qui ont été créés lors de la visite d’un site Web. Ils permettent de personnaliser votre utilisation dudit site en fonction de vos habitudes ou préférences.

Ainsi, sur un site d’actualités, si seules les nouvelles liées au football vous intéressent, ce site stockera cette information dans un cookie sur votre disque dur. Lors d’une visite ultérieure de ce site, celui-ci consultera le cookie et affichera les informations sur le football à la une.

Les cookies sont des fichiers inoffensifs par nature. Toutefois, ils constituent une intrusion dans votre vie privée, et vous souhaiterez peut-être les éliminer, ce que chaque navigateur Web permet d’accomplir.

La façon de supprimer les cookies est indiquée au Chapitre 9, sur la navigation Web.

Harcèlement en ligne

Le harcèlement en ligne s’opère lorsqu’un autre internaute ne cesse de vous importuner, généralement sur un réseau social. Il peut vous inonder de messages, qu’il s’agisse de reproches, de demandes répétées ou d’autres communications désagréables. Le harcèlement en ligne peut prendre une forme plus gênante encore : insultes, dévalorisation physique ou morale… Il entraîne même parfois des conséquences dramatiques.

Ce sujet est traité dans les Chapitres 3 (sur les réseaux sociaux) et 10 (sur les enfants).

Phishing

Un message de votre banque arrive un matin dans votre boîte de courrier électronique. Le ton est alarmiste : votre agence menace de fermer votre compte si vous ne répondez pas illico en fournissant vos coordonnées détaillées, notamment votre numéro de carte de crédit.

Voici ce qu’est le phishing : un pirate informatique se fait passer pour une autorité en vue de soutirer une information confidentielle : données bancaires, mots de passe, etc. En français, on utilise parfois le terme de « hameçonnage » ou encore « usurpation d’identité numérique ».

Certaines actions de phishing sont particulièrement sophistiquées, comme lorsque vous voyez s’afficher un site Web qui est la copie conforme d’un site Web authentique que vous avez l’habitude de visiter.

Le phishing est évoqué au Chapitre 4 dédié au courrier électronique.

Ransomware ou rançongiciel

Vous recevez un jour un e-mail assorti de menaces. Un pirate affirme qu’il a pris le contrôle de votre ordinateur et qu’il a brouillé certains fichiers, ou encore qu’il est en mesure de le faire. Il vous demande de lui verser une forte somme d’argent. C’est ce que l’on appelle un ransomware, parfois traduit par « rançongiciel ».

Par exemple, Cryptolocker, apparu en 2003, brouillait le contenu de l’ordinateur à l’aide d’une « clé » (une suite de chiffres complexe) connue du seul pirate. Ce dernier demandait ensuite le paiement d’une rançon en bitcoins comme condition de restitution des données. Jigsaw avait un fonctionnement similaire, avec pour nuance que, passé un délai de semonce, des fichiers étaient supprimés toutes les heures.

Croyez-le ou non, ce type de fléau a touché de très grandes entreprises, même des multinationales, et des municipalités comme Johannesburg, la plus grande ville d’Afrique du Sud !

Ce thème est traité dans les Chapitres 4, dédié au courrier électronique, et 6, consacré aux fichiers.

Scam

Le terme scam signifie « escroquerie » en anglais. Il recouvre toutes sortes de tentatives de tromperie, généralement par le biais d’un e-mail ou d’un réseau social : un courrier de menace de votre banque affirmant que votre compte risque d’être fermé dans la journée si vous ne vous connectez pas immédiatement afin de fournir certaines informations, un message des impôts annonçant un remboursement inattendu…

Certains scams utilisent ce que l’on appelle l’« ingénierie sociale », c’est-à-dire l’usage de messages soi-disant amicaux pour développer une relation artificielle avec vous. Elle fonctionne généralement auprès des populations les plus vulnérables : hommes ou femmes se sentant délaissés, personnes âgées, enfants…

L’objectif à plus ou moins long terme d’une telle manœuvre est de vous amener à envoyer de l’argent à votre interlocuteur. Tôt ou tard, il explique qu’il traverse une mauvaise passe et vous implore de lui venir en aide. Parfois aussi, il peut faire croire qu’il détient une énorme quantité d’argent qu’il souhaiterait partager avec vous, mais qu’il faut au préalable lui envoyer une somme conséquente.

Le sujet du scam est traité en détail dans le Chapitre 4.

Spam

Le spam désigne l’envoi en nombre d’un message non sollicité sur la messagerie électronique.

C’est la version numérique des prospectus indésirables qui s’empilent dans les boîtes aux lettres. Le sujet de tels e-mails est habituellement engageant : « Lotion miracle assurant la repousse des cheveux ! », « Perdez du poids en dormant », « Déshabillez-moi en direct »…

Le sujet du spam et les moyens de s’en prémunir sont traités au Chapitre 4.

Spyware

Les spywares sont des logiciels qui espionnent le comportement des internautes. En français, on parle de « mouchards » ou de « logiciels espions ».

Intégrés à certains services disponibles sur le Web, les spywares rassemblent des données sur les utilisateurs (adresse e-mail, préférences, etc.) afin de les revendre à des sociétés de marketing. Ils sont parfois aussi l’œuvre de pirates cherchant à récupérer les informations confidentielles de l’utilisateur d’un ordinateur, comme ses mots de passe.

Le sujet des spywares est traité au Chapitre 9, sur la navigation Web.

Virus

Les virus sont de petits programmes infectant un ou plusieurs logiciels. Lorsqu’un virus entre en action, il peut freiner le fonctionnement de l’ordinateur, effacer ou brouiller le contenu de fichiers, et parfois même rendre le PC inopérant.

De tous les virus, c’est I love you qui a causé le plus de dégâts. Apparu en 2000, il prenait prétexte d’une déclaration d’amour envoyée par e-mail pour renommer tous les fichiers du disque dur. CIH (en 1998), pour sa part, rendait l’ordinateur totalement inutilisable. Certains virus ont été volontairement développés par des organisations d’espionnage. Cela a notamment été le cas de Regin, une création des renseignements américains (la NSA) et britanniques visant à dérober des mots de passe ou à prendre le contrôle de l’ordinateur.

La parade, un logiciel antivirus, est la toute première protection qu’il faut installer sur un PC.

Ce sujet est traité dans le Chapitre 1 de ce livre, consacré à votre ordinateur.

Bien d’autres aspects sont évoqués au fil des chapitres de ce livre :

comment acheter en toute sécurité, au Chapitre 8 ;

comment sécuriser son téléphone mobile, au Chapitre 7 ;

comment protéger ses enfants contre certains abus des réseaux sociaux et du Web, au Chapitre 10.

Le public visé par ce livre

Ce livre s’adresse aux simples particuliers, aux familles comme aux petites entreprises. Il a donc été écrit dans un langage que nous avons souhaité le plus clair possible, en évitant les termes techniques et informatiques. Toutefois, cet ouvrage ne saurait prétendre apporter une solution à tous les maux imaginables.

Si vous gérez une entreprise d’une certaine taille, ou plus encore, une multinationale, il serait risqué de vous passer d’une aide professionnelle d’envergure. Il est sans doute préférable de faire appel aux services d’une société spécialisée dans la cybersécurité. Les enjeux sont trop importants pour que la protection informatique soit prise à la légère.

Répétitions et redites

Lorsque nous avons écrit ce livre, nous avons parfois été embarrassés dans nos choix. Une arnaque commerciale envoyée par e-mail et qui vous amènerait à communiquer l’accès à votre compte bancaire doit-elle être classée dans le chapitre sur les finances ou dans celui sur le courrier ?

Faute de mieux, nous nous sommes quelquefois répétés. Cela veut dire que certains thèmes sont abordés plus d’une fois, dans divers chapitres, mais sous l’angle propre audit chapitre. Néanmoins, ce livre ne se lit pas forcément dans l’ordre, et vous choisirez peut-être de privilégier les chapitres dont les sujets vous concernent le plus. En revanche, si vous lisez l’intégralité de ce livre, vous trouverez probablement que nous nous répétons.

Mais qu’importe ! Plus le message est répété, plus il aura de chances de s’imprimer dans votre psyché. Alors si, au bout du compte, nous réussissons à protéger votre activité sur Internet, l’objectif sera atteint. Car, au sortir de ce livre, vous pourrez, nous l’espérons, bénéficier des avantages du Net sans risquer d’en subir les inconvénients !

Chapitre 1

Votre ordinateur

Tout au long de ce livre, vous allez apprendre à protéger votre messagerie, votre navigation sur le Web, votre compte Facebook ou votre profil Twitter, votre accès Wi-Fi, etc.. Mais commençons par l’objet qui trône couramment sur notre bureau et sur lequel certains d’entre nous passent l’essentiel de leur journée active : l’ordinateur !

Lorsque nous achetons un ordinateur, il est configuré avec un système d’exploitation (Windows, macOS ou Linux). Selon que cet appareil est neuf ou de seconde main, certains logiciels y sont déjà installés. Il se peut qu’il soit déjà équipé de tout ce qui est nécessaire pour le protéger, mais c’est plutôt rare. L’idéal est d’apprendre à identifier les menaces potentielles et de savoir comment y remédier.

Les virus

Un ordinateur est vulnérable… Ses logiciels et ses données peuvent être altérés par des virus écrits par des programmeurs de haut niveau.

Les virus sont des logiciels malveillants qui infectent les données d’un ordinateur ou qui en freinent le fonctionnement. Ce sont des programmes de petite taille. On les appelle « virus » car, comme leurs équivalents qui affectent le corps humain, ils se propagent d’un ordinateur à l’autre en se répliquant.

Les dizaines de milliers de virus en circulation constituent la plus grande menace pour les PC. Leur nuisance est variable : certains ralentissent les opérations de l’ordinateur, d’autres affichent des messages bénins, mais d’autres encore vont jusqu’à détruire les données du disque dur.

Ce qui n’est pas toujours évident à comprendre, c’est qu’un virus pourrait résider sur votre PC en ce moment même, sans avoir encore commis la moindre action nuisible. Eh oui : un virus peut rester un agent dormant durant une longue période, puis passer soudain à l’action.

De fait, l’action d’un virus s’effectue généralement en trois étapes :

1. Il contamine un logiciel particulier du disque dur.

2. Lorsque ce logiciel est lancé, il en contamine d’autres.

3. Lorsque survient un événement donné, le virus entreprend une action destructrice sur le disque dur (effacement, brouillage des données, etc.).

Les premiers virus étaient transmis par le biais d’une disquette ou d’une clé USB dans laquelle figurait un logiciel infecté. Puis Internet est arrivé dans les foyers et, à partir de là, le phénomène a changé d’ampleur. En 1999, Melissa a été le premier virus à utiliser le courrier électronique pour se propager à grande échelle, sous forme de pièce jointe sur laquelle il suffisait de cliquer pour le déclencher (voir l’encadré « Petite histoire des virus »).

Ne cliquez jamais sur une pièce jointe inattendue !

La toute première règle à adopter est de ne jamais, au grand jamais, cliquer sur une pièce jointe envoyée par e-mail si vous ne l’avez pas expressément sollicitée. Nous y reviendrons dans le Chapitre 4.

Quand l’un de vos proches vous envoie un message avec une pièce jointe non sollicitée, questionnez-le avant de cliquer sur cette dernière. Idéalement, appelez-le pour en avoir le cœur net. En effet, il est possible qu’il vous réponde d’un ton ahuri : « Mais non, je ne t’ai rien envoyé ! »…

S’il confirme vous avoir bien adressé cette pièce jointe, restez tout de même sur vos gardes. Il peut s’agir d’un fichier « amusant », « intéressant » ou « insolite » qu’il a lui-même reçu par e-mail, et il est souvent préférable de ne pas cliquer dessus. En effet, comment être sûr que cet ami n’a pas relayé, à son insu, un fichier infecté ?

Lorsque vous souhaitez échanger des fichiers avec une autre personne, il peut être bon d’utiliser un service Web de transfert de données sécurisé tel que WeTransfer, GrosFichiers, SwissTransfer, Firefox Send ou Smash.

Si le fichier que vous souhaitez envoyer est sensible, veillez à le crypter au préalable à l’aide d’un utilitaire comme 7-Zip (disponible à l’adresse https://www.7-zip.fr). Le cryptage est exposé plus en détail un peu plus loin dans ce chapitre. Une autre solution sûre est de passer par le navigateur Tor (présenté à la fin du Chapitre 9).

L’exemple de Melissa a fait école. De nos jours, la plupart des virus sont transmis par e-mail, et certains d’entre eux, comme I love you, ont eu des effets dévastateurs sur des centaines de milliers d’ordinateurs, dont les fichiers sont devenus inutilisables. Créé par un programmeur de Manille aux Philippines, I love you s’est répandu comme une traînée de poudre (voir l’encadré « Petite histoire des virus »). On estime qu’il aurait fait perdre cinq milliards de dollars à l’échelle mondiale.

Au fil des années, les virus sont devenus de plus en plus sophistiqués, employant des techniques toujours plus complexes pour se dissimuler. Toutefois, une véritable industrie s’est développée autour de la parade à ces ennemis discrets mais redoutables : celle des logiciels antivirus.

Petite histoire des virus

Tout a commencé par un jeu imaginé par l’ingénieur Alexander Keewatin Dewdney en 1984 dans un article de la revue Scientific American. Dewdney y décrivait une application ludique inspirée de l’univers des gladiateurs, Core War : deux programmes se combattaient, chacun infectant l’autre jusqu’à ce que l’un des deux « plante ».

Durant les années 1980, des programmeurs voulurent mettre en pratique le concept de Dewdney dans le monde réel. Deux Pakistanais, les frères Alvi, vendirent aux touristes américains des copies de logiciels à bas prix. Par ce biais, le virus Brain devint un habitué des campus universitaires et sonna la première alarme.

Fin 1988, la société IBM fut touchée à son tour. À Noël, chaque membre de la compagnie reçut un message accompagné d’un programme appelé CHRISTMAS (« Noël »), qui effaçait le contenu du disque dur aussitôt lancé !

Au début des années 1990, le Pentagone employa des virus en tant qu’armes pour déstabiliser l’ennemi. Peu avant qu’éclate la guerre du Golfe, un programme malveillant fut lâché en Irak, provoquant de sérieux dégâts dans les systèmes informatiques.

Le phénomène des virus devint médiatique au début de l’année 1992 avec le spectre de Michelangelo, qui entra en vigueur le 6 mars, date d’anniversaire du maître italien. Quinze millions d’ordinateurs furent menacés par cet intrus. Au final, ils ne furent que deux cent mille infectés, les éditeurs d’antivirus ayant multiplié les protections.

Le phénomène a toutefois pris un coup d’accélérateur avec Internet. Depuis 1998, le courrier élecronique est devenu le plus grand vecteur de diffusion de virus. Ainsi, en mars 1999 apparut Melissa, un virus dissimulé dans un message. Melissa accédait au carnet d’adresses de l’utilisateur et se réexpédiait à cinquante correspondants. Ceux-ci, croyant que l’e-mail provenait d’un ami, l’ouvraient et le renvoyaient à leur tour, provoquant une réaction en chaîne. En une semaine, six millions d’ordinateurs furent infectés !

Conçu sur le même modèle que Melissa, I love you (en mai 2000) est considéré comme le virus qui a causé le plus de dégâts de toute l’Histoire. Un internaute recevait une lettre d’amour qu’il fallait ouvrir en cliquant sur la pièce jointe. Aussitôt alors, ce virus explorait le carnet d’adresses de l’internaute piégé et s’expédiait à chacune des personnes y figurant. Les destinataires, croyant recevoir un message d’un proche, ouvraient eux-mêmes la pièce jointe I love you, et déclenchaient à leur tour l’envoi de ce même message à tous leurs correspondants.

C’est par ce biais que I love you a pu toucher des dizaines de milliers d’entreprises et des millions de particuliers, y compris des institutions comme la CIA et le FBI. Il aurait touché 10 % des ordinateurs connectés à Internet. Microsoft a même dû fermer ses serveurs à l’échelle mondiale durant plusieurs heures afin de tenter d’enrayer la propagation ! I love you causait de réels dégâts sur le disque dur, rendant des fichiers inutilisables, y compris des composants du système Windows. I love you aura au moins eu un effet positif : il a fait comprendre au monde la nécessité de protéger les ordinateurs à tout moment à l’aide d’un logiciel antivirus.

Pourtant, en 2004, un virus nommé Netsky fit monter d’un cran le niveau de protection souhaitable. En effet, il parvenait à désactiver l’antivirus présent sur le PC avant d’opérer son action de propagation sur le carnet d’adresses de l’utilisateur. Netsky se présentait ouvertement comme un défi aux développeurs de logiciels antivirus, car à peine une parade avait-elle été trouvée qu’il surgissait sous une version différente – il a ainsi été décliné en vingt-six moutures !

De tous les virus, NotPetya (en 2017) reste celui qui a coûté le plus cher à ce jour. On estime que la facture s’est globalement élevée à dix milliards de dollars. Dans les faits, il n’a pas touché autant d’entreprises que certains de ses prédécesseurs, mais partout où il a sévi, son impact a été fort. Il s’est notamment propagé via un logiciel financier, MeDoc : les utilisateurs de ce dernier ont été infectés par le biais d’une mise à jour.

De la nécessité absolue d’un antivirus à jour

S’il est un programme absolument indispensable à tout ordinateur, c’est un antivirus. Si vous ne deviez installer qu’un seul logiciel de protection, ce serait celui-là.

Figure 1.1

Un logiciel antivirus est indispensable sur tout PC.

Comment fonctionne un antivirus ? En analysant chaque nouveau fichier qui entre dans l’ordinateur – comme lors de l’installation d’un programme ou la réception d’un e-mail – afin de détecter s’il intègre le code d’un virus connu. Il se trouve qu’un grand nombre de virus peuvent être identifiés par une « signature » (un type de code précis).

Dès lors que l’antivirus a identifié une séquence de code propre à un virus, il élimine le fichier correspondant. Parfois aussi, faute de mieux, il le place en quarantaine, afin d’empêcher qu’il entre en action.

Étant donné que de nouveaux virus apparaissent chaque mois au minimum, les éditeurs de logiciels antivirus sont en permanence sur le qui-vive. Dès qu’un nouvel agresseur est identifié, ils s’acharnent à fournir au plus vite la parade adéquate. Pour cette raison, les logiciels antivirus sont mis à jour régulièrement via Internet.

Que devez-vous faire dans la pratique ?

Si votre PC a été acheté neuf récemment, il est quasiment sûr qu’un antivirus a été installé dans le système. Toutefois, il peut être bon de vérifier qu’il est actif. Habituellement, vous trouverez l’icône de l’antivirus dans la barre des tâches ou le menu Démarrer. En cliquant sur cette icône, vous pourrez vérifer s’il est actif et, à défaut, l’activer.

Si vous achetez un PC d’occasion, il se peut qu’un antivirus n’ait pas été installé, ou bien encore qu’il soit obsolète. Si vous ne voyez pas d’icône d’antivirus dans la barre des tâches ou le menu Démarrer, il faut immédiatement installer un antivirus, tel que Avast par exemple, disponible en version payante ou gratuite à l’adresse https://www.avast.com/.

Les Mac sont-ils à l’abri des virus ?

Si vous utilisez un Mac – ou un PC sous Linux –, le risque d’être infecté par un virus est bien moins élevé que sous Windows. La raison en est que ces systèmes reposent sur une base logicielle appelée Unix, conçue dès le départ pour empêcher l’infection par un virus et sa propagation – ce qui n’a pas été le cas avec Windows.

L’utilisateur d’un Mac ou d’un PC sous Linux peut donc généralement s’en sortir sans antivirus. Toutefois, certains programmeurs aiment à se lancer des défis, et quelques virus sont parfois apparus sur ces systèmes, comme Flashback Trojan, qui a infecté 600 000 ordinateurs sous macOS en 2012.

Donc, si vous gérez les données de votre entreprise sur un ordinateur sous Linux ou sous macOS, ne négligez pas l’option antivirus !

Mise à jour permanente

Votre logiciel antivirus doit être en mode « mise à jour permanente ou automatique », ce qui signifie qu’il est constamment actualisé afin de pouvoir gérer les derniers dangers apparus. Cette option est presque toujours active par défaut. Si vous voulez en avoir le cœur net, consultez le panneau de votre logiciel antivirus. Cette option est aisée à repérer ; et si nécessaire, activez-la.

Le risque lié aux clés USB

En avril 2015, l’université du Michigan s’est livrée à une expérience : 297 clés USB ont été abandonnées en divers emplacements du campus (parkings, entrées d’immeubles, cafétérias, couloirs, etc.). À l’intérieur de chacune de ces clés, l’université avait placé des codes permettant de savoir si quelqu’un l’avait connectée à son PC. Le résultat a été éloquent :

45 % de ceux qui ont trouvé l’une de ces clés, soit 135 personnes, l’ont non seulement insérée dans leur ordinateur, mais ont également ouvert un ou plusieurs de ses fichiers !

Parmi les fichiers présents sur chaque clé USB, l’un d’eux concernait des informations susceptibles d’aider à localiser son propriétaire afin de pouvoir la lui restituer. Pourtant, la moitié des utilisateurs ont commencé par regarder les photos de vacances placées sur la clé USB.

L’université a questionné certains de ceux qui avaient inséré ces clés USB dans leur ordinateur. Il s’est avéré qu’une majorité (68 %) avait pour motivation de restituer l’objet à son propriétaire. Toutefois, un cinquième des participants (18 %) a reconnu que leur seule motivation était la curiosité.

Seul un petit nombre a indiqué avoir soumis cette clé USB à une analyse antivirus avant d’en explorer le contenu.

Il est à noter qu’une majorité des participants était une population étudiante, censée être bien informée des risques informatiques.

En réalité, la clé USB est une énorme source potentielle d’infection. Par nature, ce type d’objet est couramment partagé et paraît anodin – il est si pratique d’utiliser une clé USB pour s’échanger des fichiers entre proches. Pourtant, il est fréquemment arrivé qu’un logiciel malveillant s’introduise dans un PC suite à l’insertion d’une telle clé.

À titre d’exemple, vous branchez votre clé USB sur un ordinateur public (comme dans un cybercafé), sans imaginer que le PC en question puisse être infecté. Le virus s’introduit alors dans la clé USB. Par la suite, lorsque vous la branchez sur votre ordinateur, l’infection gagne votre PC. De même, lorsqu’un proche vous transmet une copie « craquée » d’un jeu, il se peut que cette version du programme soit infectée.

Mais ce n’est pas tout. Certaines clés USB peuvent contenir un petit fichier spécial qui amène Windows à exécuter un programme à peine la clé est introduite dans le PC !

Il est même arrivé, mais c’est un cas rare, que des clés USB soient programmées pour, à peine insérées, anéantir un ordinateur, en le soumettant à une tension très forte qui détruit l’électronique interne. Ce n’est pas pour le plaisir que, dans certains laboratoires de recherche, l’usage des clés USB est totalement proscrit !

Le plus souvent, un logiciel qui s’exécute à partir d’une clé USB va se servir du fichier « Autorun » de la clé. Donc, adoptez les règles suivantes :

Vaccinez vos clés USB avant d’en faire un quelconque usage (c’est-à-dire installez sur vos clés un logiciel de vaccination tel que USBFIX qui empêchera les logiciels malveillants d’utiliser l’exécution automatique de la clé).

Si vous trouvez une clé USB que quelqu’un a égarée, ne l’insérez pas dans votre ordinateur.

Si vous avez désactivé l’exécution automatique (voir plus bas), vous pouvez y insérer une clé USB étrangère, mais soumettez-la en premier lieu à une analyse antivirus.

Si vous avez prêté votre clé USB à un proche, ou si vous l’avez insérée dans un autre ordinateur que le vôtre, là encore soumettez-la à une analyse antivirus lorsque vous l’introduisez à nouveau sur votre PC.

Les mémoires flash

Ce qui est indiqué ici pour les clés USB est valable pour d’autres types de mémoires amovibles, notamment les cartes flash. Les précautions d’usage concernant les clés USB valent donc pour les autres supports.

Désactiver l’exécution automatique dans Windows

Le souci avec certaines clés USB ou autres types de mémoires amovibles est qu’elles peuvent contenir un fichier autorun.inf, qui lance l’exécution automatique d’un programme présent sur la clé dès qu’elle est insérée dans un ordinateur. La toute première précaution à prendre est donc de désactiver une fois pour toutes l’option d’exécution automatique dans Windows.

Voici la marche à suivre sous Windows 10 :

1. Cliquez le bouton Paramètres dans le menu Démarrer de Windows.

2. Cliquez sur Périphériques.

3. Dans la colonne de gauche, cliquez sur l’option Exécution automatique.

4. Désactivez cette option si jamais elle est active (voir Figure 1.2).

Figure 1.2

Désactiver l’exécution automatique sous Windows 10.

Sous Windows 7 :

1. Dans le menu Démarrer, choisissez Panneau de configuration.

2. Sélectionnez l’affichage par Catégories.

3. Cliquez sur Matériel et audio.

4. Sélectionnez Exécution automatique.

5. Décochez la case Utiliser l’exécution automatique pour tous les médias et tous les périphériques (voir Figure 1.3).

6. Cliquez sur Enregistrer.

Figure 1.3

Désactiver l’exécution automatique sous Windows 7.

Analyser la clé USB avant d’ouvrir le moindre fichier

Si l’on introduit pour la première fois une clé USB dans un PC, il ne faut ouvrir aucun fichier avant de l’avoir soumise à une analyse antivirus. Pour ce faire :

1. Double-cliquez sur l’icône représentant votre ordinateur sur le Bureau.

2. Après avoir inséré la clé USB, faites un clic droit sur son icône.

3. Dans le menu qui apparaît, repérez l’analyse antivirus et effectuez-la. Si vous ne trouvez pas cette option dans le menu, ouvrez votre logiciel d’antivirus, et repérez la fonction d’analyse. Indiquez la lettre correspondant à la clé USB et lancez l’analyse (voir Figure 1.4).

Figure 1.4

Sélection de la lettre correspondant à la clé USB (ici, E:\) à des fins d’analyse par l’antivirus.

De l’importance des mises à jour du système, des logiciels et des pilotes

Si vous utilisez un PC sous Windows ou un Mac sous macOS, un smartphone ou une tablette Apple ou Android, il vous est régulièrement proposé d’effectuer des mises à jour du système. Parfois, vous n’en êtes pas informé : ces mises à jour sont effectuées de façon automatique. Tout dépend des paramètres actifs dans votre version du système. Ainsi, sur la Figure 1.5, nous avons l’exemple d’un PC où les mises à jour de Windows sont effectuées automatiquement : toutes les options ont été cochées.

Si la mise à jour n’est pas automatique et si le système vous propose de l’effectuer, il faut l’accepter. Les programmeurs d’un système tel que Windows se tiennent à l’affût de toute nouvelle vulnérabilité découverte et s’efforcent d’y remédier avec des patchs (ou correctifs). En les installant, vous réduisez les chances que votre système puisse être touché par une attaque – l’antivirus est censé apporter l’essentiel de la protection, et lui-même doit être en mode mise à jour automatique.

Pour programmer la mise à jour automatique sous Windows 10 :

1. Dans le menu Démarrer, cliquez sur l’icône Paramètres.

2. Cliquez sur Mise à jour et sécurité, puis sélectionnez Windows Update.

3. Dans la partie droite de l’option Windows Update, sélectionnez Options avancées.

4. Choisissez l’option de mise à jour automatique. Le texte affiché à l’écran dépend de la version de Windows 10.

Les mises à jour seront téléchargées à une certaine heure, ou bien lorsque vous quittez Windows, puis installées lorsque vous redémarrerez Windows.

Sous Windows 7 :

1. Dans le Panneau de Configuration, optez pour un affichage par Catégories.

2. Ouvrez Système et sécurité.

3. Dans la section Windows Update, sélectionnez Activer ou désactiver la mise à jour automatique.

4. Activez la fonction puis indiquez une option de mise à jour automatique, comme sur la Figure 1.5.

5. Cliquez enfin sur OK.

Remplacer Windows 7 par Windows 10

De nombreux utilisateurs de Windows rechignent à passer de la version 7 à la version 10, qui propose un environnement certes fort différent, et nécessite des PC plus puissants.

Néanmoins, en terme de cybersécurité, il est hautement recommandé d’effectuer cette mise à jour. Pour deux raisons principales.

Depuis le 14 janvier 2020, Microsoft n’assure plus de mises à jour de sécurité pour Windows 7.

Windows 10 intègre des mécanismes de sécurité avancés. Ainsi, le logiciel antivirus inclus avec ce système, Windows Defender, est censé protéger l’ordinateur contre la menace des rançongiciels – exposée au Chapitre 4.

Figure 1.5

Installation automatique des mises à jour sous Windows 7.

Mise à jour des logiciels et applications

Il en va de même pour de nombreux logiciels présents sur votre ordinateur ou sur votre smartphone. Régulièrement, des mises à jour apparaissent. Habituellement, elles améliorent les performances du logiciel. Si des vulnérabilités ont été repérées, la nouvelle version est supposée y remédier. Il est donc souvent judicieux d’effectuer les mises à jour proposées par les éditeurs de ces logiciels. Certains feront remarquer que le virus NotPetya a pu s’introduire dans des ordinateurs par le biais de la mise à jour d’un logiciel ! Conclusion : il peut être tentant d’attendre quelques jours avant de procéder à la mise à jour proposée.

Figure 1.6

Mise à jour des applications sur un iPhone.

Mise à jour des pilotes

Les pilotes (ou drivers) sont des logiciels qui gèrent les périphériques reliés au PC. Ils sont régulièrement mis à jour, et il est préférable, dans l’immense majorité des cas, de disposer de la toute dernière version disponible. D’une part, les performances sont la plupart du temps meilleures. D’autre part, si une vulnérabilité a été détectée, elle est le plus souvent corrigée avec la nouvelle version.

Toutefois, comment savoir si un nouveau pilote est disponible pour l’un des accessoires de votre ordinateur ? Il n’est pas facile de le déterminer. Il faut soit se rendre sur le site du fabricant de l’accessoire afin de voir s’il a publié une mise à jour, soit vérifier dans les paramètres du système, ce qui peut être fastidieux.

Heureusement, afin d’aider à la mise à jour des pilotes de votre PC, il existe des programmes qui procèdent à une analyse complète. Ils vous indiquent alors quels sont les pilotes obsolètes et proposent de les mettre à jour. L’un des logiciels qui effectuent cette tâche est Driver Booster, disponible à l’adresse https://www.iobit.com/fr/driver-booster.php. Il coûte un peu moins d’une vingtaine d’euros à l’année, et vous pouvez le tester gratuitement en version limitée – seuls trois drivers sont mis à jour à chaque analyse de cette version d’essai.

Figure 1.7

Driver Booster procède à une analyse du PC afin de vérifier si les pilotes des périphériques sont à jour.

Figure 1.8

Depuis l’interface de Driver Booster, il est aisé de mettre à jour les pilotes obsolètes.

Effacer efficacement ses données sur un ordinateur public

Lorsque vous consultez des informations sur un ordinateur public (dans un cybercafé, par exemple), vous vous exposez à certains risques. Dans le meilleur des cas, lorsque votre temps d’usage est écoulé, le service qui gère ces PC publics pratique un nettoyage de ce que vous avez consulté. Mais ce n’est pas toujours le cas…

Si vous avez copié un fichier sur le disque dur de l’ordinateur public afin de le modifier, il est probablement toujours là. Si vous vous êtes connecté à Facebook ou à Twitter, il y a de fortes chances que votre session soit toujours ouverte ou du moins accessible. Par ailleurs, certains services Web tels que Yahoo! Mail ne vous redemandent pas forcément votre mot de passe si vous l’avez indiqué récemment.

En conséquence, celui qui s’assoit à votre suite devant l’ordinateur que vous venez d’utiliser pourrait avoir accès à des données que vous avez modifiées ou consultées. S’il consulte votre page Facebook quelques minutes après votre départ, il pourrait fort bien se faire passer pour vous et placer des commentaires, poster un message… Il pourrait même, dans certains cas, changer le mot de passe de votre compte Facebook et donc vous priver de votre accès ! Si vous venez de faire des emplettes sur Amazon, il pourrait théoriquement passer des commandes en utilisant votre compte. Certes, un certain nombre de protections sont en place sur ce type de site marchand, mais un risque existe si jamais vous vous êtes connecté quelques minutes auparavant, sans avoir veillé à fermer la session.

Quelles sont les précautions à prendre lorsque vous utilisez un ordinateur public ?

Si possible, entrez le minimum de mots de passe durant votre session. Si vous souhaitez consulter votre compte Facebook ou Twitter, il est préférable de le faire depuis votre téléphone mobile.

Ne copiez pas de fichier sur le bureau de l’ordinateur public. Travaillez directement sur votre propre clé USB qu’il faudra toutefois par la suite soumettre à une analyse antivirus.

Évitez si possible d’utiliser des logiciels en ligne tels que Google Word sur l’ordinateur public.

À défaut, il conviendra d’éliminer vos traces une à une avant d’achever une session sur un ordinateur public :

1. Placez dans la Corbeille les fichiers que vous avez pu copier, puis videz-la.

2. Assurez-vous de fermer chaque session ouverte sur un navigateur Web.

3. Nettoyez l’historique du navigateur en question.

4. Vérifiez dans le programme de gestion des mots de passe du navigateur (dans l’onglet Options) qu’il n’a pas enregistré automatiquement l’un de vos mots de passe. Si c’est le cas, supprimez l’entrée.

Sur quels sites télécharger des logiciels en toute sécurité ?

Un grand nombre de sites Web proposent le téléchargement de logiciels. Pourtant, certains ne sont pas totalement sûrs. C’est le cas pour certains sites de téléchargement d’origine russe ou ceux proposant des logiciels « craqués » ; mais cela peut également arriver sur des sites d’apparence tout à fait honorable.

Il arrive que certains de ces services installent des adwares (affichage de publicités), des logiciels espions visant à surveiller votre activité, ou encore un cheval de Troie.

Qu’est ce qu’un cheval de Troie ?

Un cheval de Troie est un programme analogue à un virus, qui s’installe de manière discrète dans l’ordinateur pour exécuter une action non demandée par l’utilisateur. L’action peut être bénigne ou nocive selon le cas, mais certains peuvent être agaçants : la souris se met à réagir bizarrement, le navigateur Web charge une page que vous n’avez pas demandée, etc. À la différence des virus, un cheval de Troie n’a pas la capacité de se reproduire.

Pour se prémunir de telles nuisances, suivez ces quelques règles :

Lorsque vous souhaitez obtenir un logiciel, il est préférable de le télécharger directement depuis le site de son éditeur, en particulier s’il s’agit d’un éditeur bénéficiant – même à petite échelle – d’une certaine renommée.

L’autre solution est d’utiliser des sites de téléchargement reconnus, avec une réputation sans faille : Softpedia, FileHippo, 01net, CommentÇaMarche, CNET France…

Lors de l’installation, prenez votre temps et vérifiez bien, sur chaque panneau, s’il ne vous propose pas d’installer un autre logiciel. Décochez toutes les cases proposant une telle installation supplémentaire.

Une fois qu’un nouveau logiciel a été téléchargé ou installé, commencez par lancer une analyse antivirus spécifique à son égard avant de l’utiliser.

Crypter des fichiers ou des dossiers

Sur le disque dur de votre ordinateur figurent probablement des données sensibles ou confidentielles : informations bancaires, contrats, photographies personnelles, documents comptables, etc. Windows comme macOS proposent par défaut d’utiliser un sésame pour accéder au contenu de l’ordinateur : un mot de passe d’ouverture de session. Toutefois, il s’agit d’une protection fragile aux yeux d’un hacker expérimenté… Il nous arrive également de laisser l’ordinateur allumé dans un lieu public tandis que l’on s’absente quelques minutes : ne serait-il pas fâcheux qu’un inconnu puisse alors accéder à son contenu ?

Alors, que faire pour protéger les données sensibles ? La solution la plus adéquate consiste à recourir à la cryptographie. Lorsqu’un fichier ou un dossier est soumis à un « chiffrage » (ou cryptage), les suites de 0 et de 1 qui le constituent font l’objet d’un calcul savant qui métamorphose ces données. Ce calcul fait intervenir un code particulier appelé clé de chiffrage.

Faute de connaître une telle clé de chiffrage, il est quasi impossible à un intrus d’accéder à vos données. De même, il n’est pas envisageable depuis les données chiffrées de découvrir la clé qui a servi au chiffrage – la méthode utilisée pour brouiller les données est juste trop complexe. Dans l’absolu, il serait possible d’y parvenir, mais la probabilité est très proche de zéro.

La clé de chiffrage doit à tout prix rester secrète puisqu’elle seule permet l’accès aux informations ainsi protégées. Le revers étant que si vous perdez cette clé de chiffrage, vous-même ne pourrez plus récupérer vos données. Il est donc nécessaire de la stocker dans un emplacement sûr et accessible de vous seul. Ce pourrait être une clé USB particulière, un autre support amovible que vous réservez à ce seul usage. Certains conservent leur clé de chiffrage sur une feuille de papier. D’autres choisissent une formule secrète qu’ils mémorisent et qu’ils sont seuls à connaître. Quelle que soit la solution, il vous faut être sûr :

de ne jamais perdre cette clé de chiffrage ;

d’être le seul à y avoir accès (à la rigueur, avec des proches dans lesquels vous avez une confiance absolue).

Une fois ces conditions posées, comment opère-t-on le chiffrement de ses fichiers ou dossiers sensibles ? À l’aide d’un logiciel approprié. Sous Windows, cette fonction est accessible grâce à une solution baptisée EFS et intégrée au système, ou encore de façon plus globale avec la fonction Bitlocker accessible sur les versions professionnelles, mais elles peuvent être complexes à mettre en œuvre. Nous vous recommandons plutôt de télécharger un utilitaire comme AxCrypt, dont la version de base est gratuite (disponible à l’adresse https://www.axcrypt.net/fr). Il fonctionne sur Mac et PC, et même sur téléphone mobile. Toutefois, sur un Mac, il existe une solution fort bien pensée intégrée au système, FileVault (voir l’encadré « L’utilitaire FileVault sur Mac »).

Une fois que vous avez téléchargé AxCrypt (ce qui suppose d’ouvrir un compte via une adresse email), installez-le et veillez à indiquer un mot de passe complexe mais mémorisable, car il sera votre sésame pour les documents chiffrés.

Voici comment crypter un fichier ou un dossier AxCrypt :

1. Sélectionnez un fichier ou un dossier, puis cliquez dessus avec le bouton droit de la souris.

2. Dans le menu déroulant, pointez sur AxCrypt, puis cliquez sur Crypter (voir Figure 1.9).

Figure 1.9

Une fois AxCrypt installé, la sélection d’un fichier avec un clic droit fait apparaître la mention « AxCrypt » dans le menu. Il faut alors cliquer sur Crypter.

1. Lors de la toute première utilisation, une adresse e-mail vous est demandée. Indiquez celle que vous avez utilisée pour ouvrir un compte. AxCrypt vous demande alors de taper le mot de passe que vous avez choisi lors de votre inscription. Lors des essais ultérieurs, seul ce mot de passe sera demandé.

2. Et voilà : le fichier est crypté ! Personne d’autre que vous ne pourra désormais le lire… À présent, redémarrez votre ordinateur et tentez d’ouvrir le fichier crypté. Le mot de passe que vous avez défini vous sera demandé. Faute de l’indiquer, impossible d’accéder à ce document !

Figure 1.10

Si quelqu’un tente de lire ce fichier, le mot de passe que vous avez enregistré sur AxCrypt lui est demandé. À défaut de le donner, il se retrouve avec un document dont il est impossible de déchiffrer le contenu.

L’utilitaire FileVault sur Mac

Sur macOS, il est possible d’empêcher l’accès à vos données en utilisant un utilitaire appelé FileVault. Celui-ci s’active très simplement depuis les Préférences Système à la rubrique Sécurité. À partir du moment où vous activez FileVault, les données de votre disque dur principal sont chiffrées ou déchiffrées en permanence en fonction d’un mot de passe que vous indiquez.

Si vous emportez fréquemment votre MacBook en déplacement, la protection par FileVault devient pertinente.

L’un des avantages de FileVault, c’est qu’il peut être paramétré de façon que votre compte iCloud ait l’autorisation de débloquer l’accès à vos données au cas où vous auriez oublié votre mot de passe. C’est donc un atout indéniable. Vous avez également la possibilité de définir un second mot de passe propre à FileVault, qui servira si vous avez oublié le premier.

Par le passé, FileVault s’est vu décrié car, lorsqu’il était activé, les performances du Mac déclinaient notablement. Ce n’est plus le cas sur les Mac récents.

Attention : la toute première fois que vous lancez FileVault, il se peut que le système passe un grand nombre d’heures à chiffrer un par un tous les fichiers de l’ordinateur. Il vaut donc mieux activer cette option la veille d’un jour férié. Par ailleurs, durant les heures où se produit ce chiffrement, s’il devait survenir un problème – par exemple, la batterie se décharge et vous avez oublié de brancher l’ordinateur –, il est possible que les données ne soient plus récupérables. Le plus sage consiste donc à effectuer une sauvegarde complète du disque avant de le soumettre à FileVault.

Figure 1.11

FileVault, l’utilitaire de chiffrage présent sur les Mac. Jadis décrié car il ralentissait notablement l’ordinateur, il est aujourd’hui très rapide et sa conception judicieuse permet une récupération sécurisée des données, même en cas d’oubli du mot de passe.

Vérifiez que le pare-feu de votre système est activé

Il est courant de protéger un ordinateur à l’aide de ce qu’on appelle un pare-feu (ou firewall). Il s’agit d’un dispositif, soit matériel soit logiciel, qui filtre les communications échangées entre un ordinateur et l’extérieur. Il empêche certains programmes nocifs d’entrer dans votre système, bloque l’accès à des sites douteux, etc. C’est une protection qui vient s’ajouter à celle de l’antivirus. Voici comment fonctionne un pare-feu :

Il établit une barrière entre l’ordinateur et le monde extérieur.

Il vérifie si les informations échangées avec Internet répondent à certaines règles de sécurité prédéfinies, et ne laisse passer ces données que si elles satisfont à ces conditions.

Il bloque l’accès à certains « ports » (points) d’entrée de l’ordinateur, comme le port 23, qui n’est absolument pas sécurisé.

Par défaut, votre système dispose d’un pare-feu. C’est le cas de Windows et de macOS. La « box » que vous utilisez pour vous connecter à Internet comprend elle-même un pare-feu. Il n’est pas gênant de cumuler ces deux pare-feu.

Voici comment vérifier que votre pare-feu est actif sous Windows :

1. Ouvrez le Panneau de configuration.

2. Sélectionnez Système et sécurité.

3. Repérez la section Pare-feu Windows Defender.

4. Cliquez sur Vérifier l’état du pare-feu (voir Figure 1.12). Vérifiez s’il est actif, en particulier pour ce qui est des réseaux publics. Si vous devez l’activer, vous pouvez choisir les paramètres par défaut.

Figure 1.12

Pour vérifier l’état du pare-feu sous Windows.

Sous macOS 10, le pare-feu n’est pas actif par défaut. Il est souhaitable néanmoins de l’activer :

1. Dans la section Sécurité des Préférences Système, ouvrez l’onglet Coupe-feu.

2. Cliquez sur l’icône de cadenas dans le coin inférieur gauche, puis entrez votre mot de passe administrateur (si vous en avez défini un).

3. Selon la version du système, cliquez sur Activer le pare-feu ou sur Démarrer.

Qu’est-ce qu’un keylogger ?

Un keylogger est un dispositif informatique qui enregistre les suites de touches tapées sur un clavier, ainsi que les événements déclenchés par ces frappes. Avec un tel logiciel, récupérer l’identifiant et le mot de passe d’accès à un site devient un jeu d’enfant. Ce n’est pas un virus, puisqu’il ne modifie rien dans l’ordinateur et ne fait qu’enregistrer les informations. En revanche, c’est clairement un espion. Il peut être installé par un cheval de Troie ou directement sur un ordinateur accessible. Dans de rares cas, c’est un matériel en forme de boîtier ou de câble intercalé entre le clavier et l’ordinateur. Ces derniers sont facilement détectables.

Le keylogger, une fois la machine lancée, envoie discrètement les données sous la forme d’un fichier crypté à un serveur Internet distant ou à une adresse e-mail. Le cryptage du keylogger permet au pirate d’être le seul à pouvoir lire les informations récoltées. Ainsi, même si vous trouviez le fichier incriminé, vous ne sauriez reconnaître sa nature malveillante. Le keylogger peut même avoir une fonction d’« autodestruction » afin qu’il soit impossible de remonter jusqu’au pirate.

Surveillance en entreprise

Les keyloggers sont parfois utilisés comme outils de surveillance dans certaines entreprises dont les données sont « sensibles ». Ils permettent de suivre les activités réalisées sur ordinateur par les salariés, afin de se prémunir contre les « fuites » et l’espionnage industriel. L’utilisation d’un keylogger n’est légale que si le salarié en est informé et qu’il ait donné son consentement à un tel procédé.

Se prémunir d’un keylogger

De quoi faire frissonner ! Comment alors se prémunir contre un tel fléau ?

Le keylogger est susceptible d’être installé directement sur la machine. C’est pourquoi la première précaution, lorsque vous quittez votre poste dans un lieu public, est de verrouiller votre écran d’ordinateur, dont le mot de passe de session doit être connu de vous seul – le Chapitre 5 explique comment créer un mot de passe sécurisé. Pour verrouiller, c’est simple : tapez simultanément sur les touches Ctl, Alt et Suppr, puis cliquez sur Verrouiller cet ordinateur.

N’installez pas de logiciels dont vous ne connaissez pas la provenance ou qui émanent de sites peu recommandables. Maintenez constamment à jour vos logiciels et votre système d’exploitation. Modifiez régulièrement vos mots de passe et ne les conservez pas sur votre ordinateur. Et suivez attentivement les recommandations indiquées au Chapitre 2 pour ce qui est du Wi-Fi, notamment dans les points d’accès publics. En deux mots : restez vigilant !

Vous ne repérerez pas un keylogger avec une simple combinaison des touches Ctrl, Alt et Suppr – laquelle permet d’inspecter les tâches en train d’être exécutées sur un PC. Un keylogger est précisément invisible, sauf par un programme approprié, qui le repérera s’il est présent.

Un grand nombre d’éditeurs d’antivirus proposent des services de détection et de suppression des keyloggers : Avast, Norton (avec Power Eraser), Kapersky (avec Security Scan AntiKeylogger) ou McAfee (avec Rootkit Remover). Il existe aussi des logiciels spécifiquement dédiés à la détection et à la neutralisation des keyloggers tels que KeyScrambler, MalwareFox, ProcDump et SpyShelter. Ce dernier opère une surveillance permanente de ce qui est saisi avec votre clavier et analyse la mémoire vive de l’ordinateur afin de traquer toute intrusion suspecte. Il effectue aussi un brouillage de ce que vous saisissez au clavier. Donc, si une application malicieuse parvenait tout de même à s’immiscer sur votre PC, celui qui a installé le keylogger ne récupérerait pas d’informations exploitables. Au passage, SpyShelter vérifie aussi que personne n’est en train de détourner votre webcam ! Il sera peut-être nécessaire, si les fuites de données sont importantes, de sauvegarder tous vos fichiers et de reformater votre disque dur.

Les indices qui pourraient révéler la présence d’un keylogger

Comme un keylogger s’exécute au démarrage de l’ordinateur, tout ralentissement au lancement du système devrait être considéré comme suspect (bien qu’il ne soit pas évident de remarquer un tel changement).

N’hésitez pas à aller faire un tour dans le dossier temp de votre PC (c:/windows/temp). Sur Mac, dans la barre de menus du Finder, cliquez sur Aller puis, en bas de liste, sur Aller au dossier… et, dans la zone de saisie, tapez : /var/tmp.

Les fichiers de récupération n’ont pas de noms vraiment parlants, mais il suffit d’une petite manipulation pour en apprendre parfois un peu plus. Placez votre souris sur l’un des fichiers, puis appuyez en même temps sur la touche Maj de votre clavier et sur le bouton droit de votre souris. Dans la fenêtre qui s’ouvre, sélectionnez Ouvrir avec et choisissez comme programme le Bloc-Notes (ou NotePad). L’un ou l’autre ouvrira le fichier en mode texte seulement. Regardez dans ce fichier si quelque chose est décryptable et vous paraît suspect.

Si c’est le cas, coupez toute connexion Internet pour stopper l’envoi de données. Déconnectez-vous de votre réseau. Si le problème se trouve sur un ordinateur d’entreprise, prévenez votre administrateur, qui tentera de retrouver l’adresse du destinataire.

Le risque zéro

Le risque zéro n’existe pas. Par exemple, se déconnecter du Wi-Fi en cliquant simplement sur l’option de déconnexion réseau de l’ordinateur ne nous met pas à l’abri du pirate qui pourrait trouver le moyen d’activer à distance ladite connexion. La solution efficace pour réellement désactiver le Wi-Fi consiste à appuyer sur le bouton correspondant de la box.

Un compromis existe : déconnecter tous les ordinateurs du réseau Internet central la nuit afin de sauvegarder tranquillement les données. Certes, les sociétés qui travaillent à l’international seront gênées durant une telle sauvegarde, puisque plus personne n’aura accès durant ce temps à son courrier professionnel, mais elles y gagneront en termes de sécurité interne.

Le mieux que vous puissiez faire est de sécuriser au maximum vos outils connectés avec les outils à disposition et d’assurer une veille permanente afin de vous tenir au courant des dernières attaques orchestrées et de leurs parades.

Chapitre 2

Le Wi-Fi

« Une chaîne est aussi solide que son maillon le plus faible », dit un adage. Or, le Wi-Fi constitue le maillon faible de la connexion Internet. Cette liaison est établie sans fil, par le biais d’ondes radio. Et il est relativement aisé pour un hacker d’intercepter ces ondes radio.

Où se situe le problème ? Avant tout, dans les nombreux accès Wi-Fi gratuits qui se sont développés un peu partout. Lorsque vous vous trouvez dans une gare, un aéroport ou tout autre lieu public, vous êtes régulièrement aguiché par des annonces de Wi-Fi gratuit. Hélas, assez souvent, cet accès Wi-Fi gratuit soit n’est pas du tout sécurisé, soit est faiblement sécurisé par un mot de passe très facile à trouver.

En mai 2017, Symantec (l’éditeur de l’antivirus Norton) a mené une enquête sur la question auprès de 15 532 utilisateurs dans divers pays. Il en est ressorti les points suivants :

43 % des personnes interrogées cherchaient à se connecter à peine arrivées dans un restaurant, un café ou tout autre lieu public. Elles n’étaient pas disposées à attendre plus de quelques minutes.

Pour obtenir une bonne connexion Internet, 55 % des sondés se disaient prêts à fournir en contrepartie leur adresse e-mail, à s’inscrire sur la page Facebook de l’établissement, etc.

Parmi les principaux usages de ce Wi-Fi gratuit, 47 % étaient dévolus à réceptionner les e-mails ou messages d’un contact, 46 % à effectuer une recherche sur Google Maps ou une autre application d’itinéraire, 24 % à partager des informations et des photos sur les réseaux sociaux, 26 % à garder le contact avec ses collègues de travail.

69 % des Français estimaient leurs informations personnelles en sécurité lorsqu’ils se connectaient à un réseau Wi-Fi public.

Voici le commentaire de Nicholas Shaw, vice-président chez Symantec à l’origine de cette enquête : « Il existe un décalage énorme entre ce que les gens pensent être un comportement sûr ou confidentiel sur un réseau Wi-Fi public et la réalité. Ce que l’on croit privé sur son appareil personnel est facilement accessible par des hackers. »

Un cryptage faillible

Vous le savez peut-être : les données qui circulent sur une connexion Wi-Fi ne sont pas transmises « en clair ». Elles sont cryptées (ou « chiffrées »).

Jusqu’en 2003, les informations transmises par Wi-Fi étaient chiffrées selon le codage WEP. Or, il est apparu dès 2001 que ce dernier était vulnérable. En moins de cinq minutes, un pirate pouvait en effet identifier cette clé de chiffrement.

Deux normes ont donc été proposées pour renforcer la sécurité du Wi-Fi : WPA et son évolution en WPA2. La clé WPA2 vous est fournie par le fabricant d’une box Internet, et c’est celle que vous devez indiquer pour connecter l’un de vos appareils à ce point d’accès Wi-Fi. Elle a habituellement cette allure :

227J3XH763HB626F4384917GA1

Soit une suite de 26 caractères, ce qui constitue une clé de chiffrement solide.

Pourtant, même le WPA2 n’est pas d’une sécurité absolue. En octobre 2017, le chercheur en sécurité Mathy Vanhoef a détecté une vulnérabilité dans le standard WPA2, qu’il a baptisée « KRACK ». Il a toutefois ajouté que cette faille ne pouvait fonctionner que si l’attaquant se trouvait à proximité du point de connexion Wi-Fi. Donc, à moins d’avoir pour voisin de palier un hacker, les risques restent relativement limités.

Le danger augmente avec une connexion depuis un lieu public. Afin de rendre l’accès à la box plus facile, le gérant d’un établissement va souvent simplifier la clé WPA2, en la remplaçant par une expression comme « bonjour », « internet-cafe », « restau-92 », etc. Dans un tel contexte, un pirate peut aisément décoder la clé de chiffrement. Encore plus simple : il lui suffit d’être venu une seule fois prendre une consommation dans l’établissement pour connaître la clé d’accès !

Un accès au Wi-Fi qui n’est pas celui que l’on croit

Imaginons la situation suivante. Vous vous trouvez dans un café de la chaîne Starbucks et tentez de vous connecter au Wi-Fi de ce dernier. Vous voyez alors s’afficher deux options : « Starbucks » et « Strbcks haut débit – accès libre ». Ne seriez-vous pas attiré par la seconde ? Or, celle-ci peut fort bien être un leurre : le pirate a baptisé sa connexion Wi-Fi de cette façon pour vous attirer vers sa propre box. Il a alors la main sur toute votre activité Internet.

Sans le savoir, vous vous êtes donc connecté à la box d’un pirate, et celui-ci peut désormais intercepter ce que vous tapez sur votre ordinateur. Il peut avoir accès à toutes sortes d’informations : les sites Web que vous visitez, votre numéro de carte bancaire si jamais vous le saisissez durant cette session, etc. Il a même la possibilité de détourner votre activité Internet. Par exemple, vous adressez un message à un contact, mais en réalité, celui-ci reçoit un autre message, écrit par le pirate !

Comme nous allons le voir, il existe diverses façons de se prémunir contre ces risques. Nous pourrions les résumer ainsi :

limiter l’usage du Wi-Fi à domicile ;

faire preuve d’une vigilance extrême avec les Wi-Fi publics.

Aucun système n’est imprenable

En 2014, Hugo, un ancien pirate repenti, s’est longuement entretenu sur FranceTV.info1 sur l’activité qu’il menait auparavant. Il a notamment énoncé la grande règle des hackers : aucun système n’est imprenable ; c’est juste une question de temps.

Selon ce témoignage, une clé de cryptage WEP peut être « craquée » en trois à cinq minutes, alors qu’il faut entre onze et seize heures pour une clé WPA2. Heureusement, une connexion à un réseau Wi-Fi public dure rarement plus d’une trentaine de minutes.

Comment protéger l’accès du Wi-Fi de la maison

Idéalement, n’utilisez pas le Wi-Fi sur l’ordinateur de la maison !

Si vous avez une box, reliez-la à votre ordinateur par un câble Ethernet – qui vous est fourni lorsque vous recevez l’appareil. Vous rendrez ainsi extrêmement difficile pour un intrus de s’immiscer dans votre connexion. Qui plus est, vous allez bénéficier d’une connexion bien plus rapide qu’avec le Wi-Fi.

Bien évidemment, si vous avez plusieurs ordinateurs à la maison, il faudra connecter ces autres machines à la box. Il existe des prises que l’on peut acheter auprès de son fournisseur d’accès et qui répartissent la connexion Ethernet dans divers points de la maison.

Pour ce qui est des smartphones, si votre connexion 3G ou 4G est bonne, utilisez ce mode de connexion à la place du Wi-Fi.

Vérifiez le niveau de sécurité de votre connexion

Si vous activez le Wi-Fi, il faut alors élever au maximum la sécurité. Nous l’avons vu précédemment, la protection d’une connexion Wi-Fi est effectuée par deux types de cryptages des données : WEP ou WPA/WPA2.

La première chose à faire est de vérifier que le Wi-Fi de votre box est bien protégé avec le système de chiffrage WPA2. Dans la barre d’adresses de votre navigateur, tapez la séquence (ou adresse IP) qui donne accès aux paramètres de ladite box, généralement 192.168.1.1. Cette combinaison fonctionne sur presque toutes les box. À défaut, consultez la documentation qu’a remise le fournisseur de votre box.

Entrez vos identifiant et mot de passe de connexion (présents sur le courrier envoyé par le fournisseur de la box). Consultez ensuite l’option proposant de mettre à jour les paramètres Wi-Fi (voir Figure 2.1).

Figure 2.1

Vérifiez que le type de sécurité est bien à la norme WPA ou WPA2.

Si le type de sécurité n’est pas WPA2, sélectionnez cette option. Si elle n’est pas disponible, c’est simple : il vous faut changer de box afin d’en obtenir une plus récente. Habituellement, il vous suffit de la rapporter dans un centre agréé pour que l’échange soit effectué dans l’heure.

Si vous ne disposez pas d’un centre agréé dans votre ville, connectez-vous sur le site Web de votre fournisseur d’accès afin de réclamer un nouveau modèle. Elle sera livrée dans un point de livraison et remise en échange de votre box actuelle. Vous y gagnerez à plus d’un titre, car plus une box est récente, plus elle bénéficie de technologies avancées. Elle sera donc plus sûre mais aussi plus rapide.

Modifiez la clé de cryptage de votre Wi-Fi

Quand votre accès Wi-Fi est protégé par une clé de cryptage WPA2, il est bon de modifier la clé de sécurité qui a été fournie par défaut pour votre box (telle qu’on la voit sur la Figure 2.1). Choisissez la combinaison de chiffres la plus longue possible – vous pouvez utiliser jusqu’à soixante-trois caractères. Plus la clé est longue et plus elle sera difficile à pirater.

Vous pouvez aussi télécharger le logiciel Wi-Fi Password Key Generator accessible sur des sites tels que 01Net et générer une nouvelle clé. Il est bon de renouveler cette opération régulièrement. Bien évidemment, le problème, lorsque vous créez une nouvelle clé, c’est qu’il faudra l’entrer dans tous vous appareils connectés en Wi-Fi (PC, téléphone mobile, tablette…).

Changez le nom de votre box (SSID)

Votre box a un identifiant précis, baptisé SSID (voir Figure 2.1). Or sachez-le : les hackers disposent de sites Web bien à eux, où ils se partagent leurs trouvailles. Ils indiquent ainsi à leurs comparses quelle technique fonctionne le mieux pour craquer les protections d’une famille de box. En changeant le nom de votre box par une appellation obscure, vous leur rendez la tâche moins aisée :

1. Changez le nom indiqué en face de Nom du réseau (SSID) par un nom qui soit le plus obscur possible.

2. Juste au-dessous de ce nom, vous avez une option Diffuser le nom. Sur certaines box, l’option est Diffusion SSID ou encore Invisibilité. L’option de diffusion du nom est cochée (valide) par défaut. C’est en raison de cette option que, lorsque vous vous connectez, vous pouvez voir les noms des box de vos voisins. Désactiver la diffusion du nom rendra la vôtre invisible : seuls ceux qui connaissent le nom exact du réseau pourront se connecter à votre box – si la protection WPA2 est activée.

Éteignez le Wi-Fi en cas d’absence ou la nuit

Durant la nuit, lorsque vous dormez, vous n’utilisez pas le Wi-Fi. Alors, autant l’éteindre durant cette tranche horaire : vous réduirez d’autant les risques de voir votre box piratée.

Vous avez la possibilité de le faire manuellement, un grand nombre de box ayant un bouton « Wi-Fi » sur lequel il suffit d’appuyer pour désactiver cette fonction. C’est la solution la plus sûre. L’alternative consiste à programmer des plages horaires durant lesquelles le Wi-Fi sera inopérant – les opérateurs proposent généralement un tel service avec leur box. Vous en avez un exemple sur la Figure 2.2.

Figure 2-2

Dans cet exemple, le Wi-Fi est désactivé automatiquement entre minuit et 6 h.

Se connecter depuis un point d’accès public

Dans la majorité des cas, les problèmes de sécurité du Wi-Fi ne sont pas liés à votre box. La protection WPA2 est en effet de haut niveau. Si, de plus, vous avez mis en pratique certains des conseils énoncés plus haut, vous devriez bénéficier d’un niveau de sécurité correct.

Le danger survient lorsque vous vous déplacez et vous connectez régulièrement à des hotspots (points d’accès) Wi-Fi externes, notamment ceux qui sont publics. C’est le cas pour les réseaux Wi-Fi proposés par les hôtels. Il faut se montrer particulièrement méfiant lorsque le point d’accès en question ne requiert aucun mot de passe d’accès !

Il existe une autre faille que nous avons évoquée plus haut : certains hackers proposent des noms d’accès Wi-Fi qui ressemblent à un nom véritable alors qu’il s’agit en réalité d’un point d’accès volontairement non sécurisé. Un exemple : vous voulez vous connecter au Wi-Fi du restaurant LaPizza et voyez apparaître une deuxième option engageante, LaPizza – haut débit, qui a pourtant été créée par un hacker pour espionner votre connexion. Vous pensez néanmoins être protégé par le fait que vous disposez de mots de passe d’accès aux divers sites que vous visitez ? Hélas, il est possible que le hacker ait installé un keylogger, dispositif informatique qui enregistre les caractères saisis au clavier. Il est alors en mesure de savoir tout ce que vous tapez et ce que la frappe exécute comme fonction : visite de sites Web, etc.

Le piège des noms de service Wi-Fi similaires

L’émission On n’est pas des pigeons diffusée par la RTBF (société de radio-télévision belge francophone) a mené une drôle d’enquête en 2016, à l’aide d’un complice spécialiste de la cybersécurité. Ce spécialiste s’est installé dans un café du centre de Bruxelles disposant d’une connexion Wi-Fi pour ses clients2 et a créé un nom de service d’accès très proche de celui du café.

La manœuvre a réussi : sept personnes se sont laissé tromper. Elles se sont connectées au service d’accès que l’expert avait mis en place. À partir de là, il lui a été possible de voir toute l’activité de ces internautes : les sites qu’ils visitaient, leurs recherches, mais aussi les mots de passe qu’ils saisissaient…

Comment se prémunir

Il est fort possible que votre logiciel antivirus dispose d’une option de protection du Wi-Fi (voir Figure 2.3). Activez-la : vous serez prévenu lors d’une tentative de connexion à un accès Wi-Fi peu fiable.

Figure 2-3

De nombreux logiciels d’antivirus disposent d’une option de contrôle de la sécurité des points d’accès Wi-Fi.

Dans le cas contraire, il existe plusieurs solutions qui vous aideront à naviguer en sécurité lorsque vous êtes à l’extérieur :

Demandez quel est le nom exact du réseau Wi-Fi de l’établissement afin d’éviter de vous connecter à un réseau artificiel dont le nom imite celui de cet établissement.

Lorsque vous vous connectez à un réseau extérieur, il vous est généralement demandé si vous souhaitez que la connexion s’établisse automatiquement par la suite. Or, certains fournisseurs d’accès publics ne disposent pas du même niveau de sécurité selon la ville où l’on se trouve. Il est donc préférable de ne pas activer cette option.

Nous avons évoqué les pare-feu au Chapitre 1. Si vous utilisez votre ordinateur dans un lieu public, il est essentiel que le pare-feu soit actif pour ce qui est des réseaux publics – la marche à suivre est indiquée à la fin du Chapitre 1.

À domicile, vous utilisez peut-être le Wi-Fi pour partager aisément des fichiers entre utilisateurs. Dans un lieu public, il est préférable de désactiver cette option : un pirate pourrait s’en servir pour installer des programmes infectés sur votre PC. Dans le Panneau de configuration, à la section Réseau, modifiez les options de partage. Vérifiez que le partage de fichiers est désactivé.

Si vous utilisez un ordinateur doté d’un système récent tel que Windows 10, macOS 10.9 ou une version plus récente, vous avez normalement accès à l’option Hotspot 2.0 (tapez cette option dans l’Aide de votre système pour découvrir la marche à suivre). Vous pourrez ainsi vous connecter partout dans le monde à des points d’accès certifiés.

Une solution très efficace mais payante est le logiciel Hotspot Shield VPN (https://www.hotspotshield.com/fr). Ce service établit une barrière (ce que l’on appelle techniquement un VPN, une notion abordée au Chapitre 9) entre votre ordinateur et l’extérieur. Il crypte également vos données en temps réel afin qu’elles ne puissent être interceptées. Si vous utilisez un PC pour des besoins professionnels, un tel service est hautement recommandé. L’abonnement est de 12 € environ par mois.

Si vous n’avez pas activé plusieurs des options indiquées plus haut, la vigilance est de mise. Lorsque le réseau public est en accès libre – non sécurisé –, ne vous y connectez pas ! Utilisez plutôt votre téléphone mobile et sa connexion 4G/3G comme point d’accès Wi-Fi. Sur iPhone comme sur appareil mobile Android, vous avez la possibilité d’activer l’option Partage de connexion.

Vous trouverez davantage d’informations sur la question dans le Chapitre 9, à la rubrique« Des risques d’accéder à ses comptes Web depuis l’ordinateur d’un proche ou un ordinateur public ».

Protéger sa connexion : une obligation légale

Saviez-vous que vous avez une obligation légale de protéger votre connexion Internet ?

Autrement dit, dans la pratique, vous êtes responsable d’éviter tout détournement de votre connexion Internet pour des usages peu recommandables. L’article L.335 7-1 du Code de la propriété intellectuelle évoque en effet une potentielle contravention pour « négligence caractérisée ». En d’autres termes, si votre connexion Internet est utilisée à des fins illégales, vous devez prendre les mesures adéquates pour rétablir la sécurité d’accès.

Rassurez-vous : si jamais un jour cela devait se produire, vous recevriez un avis officiel vous invitant à prendre les mesures nécessaires pour protéger votre accès, et disposeriez d’un an pour vous y conformer.

1. https://www.francetvinfo.fr/internet/securite-sur-internet/cinq-conseils-d-un-hacker-repenti-pour-vous-proteger-de-la-cybercriminalite_635599.html

2. Pour plus de détails sur cette expérimentation : https://www.rtbf.be/info/societe/onpdp/on-a-teste/detail_un-Wi-Fi-public-peut-en-cacher-un-autre-une-experience-sociale-surprenante?id=9276151

Chapitre 3

Réseaux sociaux

Lorsque nous abordons le sujet des réseaux sociaux, nous nous retrouvons face à une énigme. La plupart de nos concitoyens s’enflamment dès qu’à la télévision est évoquée une volonté, même lointaine, de la part du gouvernement d’établir un nouveau fichier sur les individus. Pourtant, ce sont parfois les mêmes qui « postent » allègrement, de façon directe ou indirecte, des détails de leur vie quotidienne sur Facebook, Twitter ou Instagram.

Depuis mars 2018 et l’affaire Cambridge Analytica, le nom de Facebook est couramment associé à une violation de la vie privée. Pourtant, le public a souvent mal compris ce qui s’était passé : les internautes concernés par cette affaire étaient en partie responsables de cette utilisation de leurs données personnelles, puisqu’ils avaient eux-mêmes autorisé cet usage.

L’affaire Cambridge Analytica aurait dû alerter le public de Facebook sur notre propre négligence, notre propre laisser-aller vis-à-vis de ces plateformes de lien social.

En réalité, Facebook n’est pas directement responsable du détournement de données par Cambridge Analytica. Si Facebook a failli, c’est pour n’avoir pas su prédire qu’une telle situation pourrait se produire.

Là où Cambridge Analytica a péché, c’est en détournant les informations recueillies par une application de test de personnalité. Des internautes ont volontairement fourni des données personnelles à cette application Facebook. Elle a par la suite été utilisée à des fins d’influence du vote dans l’élection présidentielle américaine.

Ceux qui se sont inscrits à l’application de test de personnalité ont eux-mêmes autorisé l’application à accéder à leurs données personnelles.

En s’inscrivant à cette application, dans la plupart des cas, ils l’ont également autorisée à accéder aux données de leurs amis Facebook. Ils l’ont fait sans réfléchir, comme nous le faisons souvent lorsque nous installons une application, sans prêter attention à ce qui est pourtant indiqué noir sur blanc, sous nos yeux.

L’on peut se demander pourquoi il a fallu tant d’années pour que le public prenne la mesure des risques pesant sur ses données personnelles. Bien des signes avant-coureurs étaient pourtant apparus :

En septembre 2005, le journaliste chinois Shi Tao a pu être arrêté par la police et incarcéré grâce à la collaboration active de Yahoo!. Des messages électroniques d’autres dissidents ont pareillement été communiqués au gouvernement de Chine. À l’époque, l’affaire avait suscité un choc médiatique important aux États-Unis. Elle était même remontée jusqu’au Congrès américain, et Yahoo! avait été tenue d’indemniser les familles des dissidents chinois.

Au début du mois de juin 2007, Privacy International, au sortir d’une enquête de six mois, a dénoncé diverses violations de la vie privée de la part de Google. Privacy International reprochait alors à Google de rassembler d’immenses quantités de données sur ses utilisateurs et leurs activités. Marissa Mayer, alors vice-présidente de Google, s’en était justifiée ainsi : « Nous accumulons des données personnelles parce que, si nous vous connaissons, nous vous apporterons de meilleurs résultats de recherche. Nous voulons personnaliser nos réponses, être plus proches de vos besoins. Or, nous ne pouvons améliorer notre outil que si vous renoncez à une partie de votre vie privée. »

En juin 2013, suite aux révélations du lanceur d’alerte Edward Snowden, les géants du Web, ont été pris la main dans le sac. Snowden a révélé que des services quotidiennement utilisés, comme ceux de Facebook, Google ou Yahoo!, relayaient nos informations, nos photos, nos échanges de messages à la NSA, l’agence qui veille à la sécurité nationale américaine.

Il aura donc fallu attendre 2018 pour que la prise de conscience devienne majeure. Au moins, le public sait désormais qu’il doit se protéger dès lors qu’il s’aventure sur le Web et sur les réseaux sociaux.

De fait, sur Facebook ou ailleurs, nous ne cessons de laisser des traces « publiques », consultables par tout un chacun : situation professionnelle, situation amoureuse, goûts et affinités, causes qui nous tiennent à cœur… du pain béni pour les sociétés de marketing, mais aussi pour les services de renseignement.

Éviter de s’épancher sur les réseaux sociaux

Nous n’en sommes plus aux tout débuts des réseaux sociaux. Régulièrement, un média nous informe qu’un individu a été condamné en justice ou sanctionné dans son entreprise suite à certains propos tenus sur Twitter, Facebook ou ailleurs. Il est donc plus que temps de prendre la mesure d’une telle activité. Elle n’est pas sans conséquence.

Comment mettre sa famille en danger par ses indiscrétions

En 2012, alors qu’elle n’avait que 18 ans, Alexa Dell, la fille du magnat de l’informatique Michael Dell, avait posté sur Instagram une photographie de son jeune frère Zachary dans le jet privé familial, devant une montagne de victuailles, avec pour légende : « En route pour les îles Fidji ! »

Ce cliché a été repris sur une page du réseau Tumblr et, à partir de là, l’image a commencé à circuler et a suscité un tollé. Alexa Dell a réalisé, mais un peu tard, qu’elle avait mis sa famille en danger. Son compte Twitter a été fermé : elle y mettait en ligne le moindre de ses mouvements !

Avant tout, il est essentiel de se poser la question : est-il opportun de raconter sa vie sur un réseau social ? Avez-vous réfléchi aux possibles retombées ? Il importe de se restreindre d’exposer ses états d’âme, de réagir à une actualité ou à un événement sans se donner le temps de la réflexion.

Ce qui est placé sur Twitter, Facebook, LinkedIn ou ailleurs est potentiellement visible de n’importe qui. Clairement, certaines choses que vous postez pourraient même être retournées contre vous. En d’autres termes, un tweet ou un post malencontreux peut fort bien un jour être brandi à votre encontre et peser négativement sur vos chances dans une situation donnée.

Les réseaux sociaux sont parfois utilisés de façon biaisée pour vous inciter à partager des pages Web controversées ou douteuses. Avant de partager une pétition ou une information polémique, prenez-vous la peine de vérifier si les informations véhiculées sont véridiques ?

Un grand nombre de gens partagent de tels posts sans même consulter la page Web de référence. Prenez l’habitude de ne rien poster sans avoir vérifié par vous-même la source. Vous découvrirez souvent que certaines informations sont mensongères, ou que leur auteur ne cite aucune source fiable.

Dans ce chapitre, nous allons vous montrer comment vous prémunir de telles situations.

Licenciées pour avoir dénigré leur entreprise sur le fil d’actualité de Facebook

À l’automne 2010, le conseil de prud’hommes de Boulogne-Billancourt a fait acte de jurisprudence en décrétant qu’il était légal de licencier des employés pour des propos exprimés sur Facebook contre leur entreprise, même si ces propos n’étaient accessibles que par un cercle d’amis fermé.

L’affaire concernait trois salariées de la société de conseil en informatique Alten. Sur leur mur Facebook, elles avaient désavoué leur direction et le responsable des ressources humaines, s’estimant protégées par le fait que cette page était à publication restreinte. Pas de chance, l’un de leurs « amis » sur Facebook, également collègue de ces trois personnes, a effectué une capture d’écran et l’a transmise à sa direction. Le trio a été accusé d’incitation à la rébellion et de dénigrement de leur entreprise.

« Les propos publiés sur le mur d’une des salariées étaient publics, car accessibles aux amis d’amis. Ces propos ont perdu leur caractère privé du fait qu’ils étaient accessibles à des personnes non concernées par la discussion », a estimé le conseil de prud’hommes.

Restreindre l’accès à ses informations personnelles sur Facebook

Le souci avec Facebook, c’est que les réglages par défaut ont tendance à exposer un grand nombre de vos informations à d’autres, y compris des inconnus qui se contentent de visiter votre page et votre profil Facebook.

Il existe une profession nommée data broker aux États-Unis – ou « courtier en données » en France –, dont le travail consiste à revendre à d’autres des informations personnelles. Ces experts exploitent de nombreux outils pour en savoir davantage sur la cible de leurs enquêtes. Bien évidemment, ils passent au crible les réseaux sociaux des intéressés.

Si l’on veut pouvoir utiliser ce réseau social dans une relative quiétude, il est essentiel d’aller faire un tour dans les paramétrages et de limiter l’accès à ses données. Voyons ce qu’il en est.

Nous allons faire le test avec le profil d’un inconnu. Nous consultons ici les informations disponibles sur une personne que nous ne connaissons pas du tout. Dans l’exemple qui suit, nous avons juste consulté le profil de l’ami d’un ami Facebook. Vous pouvez faire de même. La Figure 3.1 nous montre que nous avons immédiatement recueilli pas mal d’informations…

Figure 3.1

Ici, nous consultons le profil d’un inconnu et pouvons savoir dans quelle ville il habite, ses emplois actuel et précédent…

Nous découvrons dans quelle société travaille cet individu, la ville où il réside, ainsi que quatre sites Web qu’il a indiqués pour en dévoiler un peu plus sur lui. Dans la section Emploi et scolarité, il a précisé chacune des activités qu’il a exercées depuis 1982. Nous sommes également informés sur les études qu’il a suivies. Dans la section Famille et relations, il a donné les noms de son frère et de sa sœur. Et ce n’est pas tout. Si nous cliquons sur Photos dans le menu horizontal plus haut, nous avons libre accès à des dizaines de photographies, et pouvons enregistrer n’importe laquelle d’entre elles sur notre ordinateur.

Le « journal » de cet inconnu est pareillement accessible. Il est donc possible, rien qu’à partir de ses posts, de reconstituer une chronologie réduite de ce qu’il a vécu au cours des dernières années. Dans le cas présent, nous découvrons à quel concert il a assisté le 13 juillet 2019. Nous pouvons aussi faire apparaître la liste complète de ses amis.

D’autres profils exposent la situation maritale, les orientations politiques, la religion de la personne.

Certains d’entre vous vont peut-être rétorquer qu’ils n’ont rien à craindre. C’est vrai, en théorie. Pourtant, à certaines périodes « sombres » de l’Histoire, des individus ont vu leur vie menacée pour le simple fait qu’ils appartenaient à une certaine communauté ou qu’ils avaient pu soutenir une cause politique donnée durant leur jeunesse.

Donc la question que vous devez vous poser est la suivante : quelles informations personnelles souhaitez-vous exposer à grande échelle ? Quelles informations se doivent d’être restreintes à vos proches – sachant que sur Facebook, la notion d’ami inclut de nombreuses personnes que vous ne qualifieriez aucunement de « proches » dans la vie réelle.

Voici comment restreindre l’accès à votre profil :

1. Cliquez sur votre nom en haut de la page Facebook afin d’afficher votre page personnelle.

2. Choisissez À propos.

3. Abordons en premier lieu la rubrique Emploi et scolarité.

Figure 3.2

Il est possible restreindre l’affichage d’éléments de votre profil à certaines personnes.

4. Par défaut, il est probable que tous les éléments que vous avez pu indiquer soient en mode Public. Si tel est le cas, vous vous retrouvez dans la situation de l’inconnu évoquée plus haut. Toutes vos informations sont visibles à n’importe qui voudrait en savoir plus sur vous. Si vous cliquez sur le menu déroulant en bas d’une section (avec l’image d’un globe), vous pouvez ajuster ce facteur. Le choix recommandé est Amis spécifiques ou encore Amis sauf…. Un autre choix intéressant est Personnalisé. Si vous avez défini des listes d’amis précises dans Facebook (il suffit pour cela de cliquer sur Listes d’amis dans la colonne de gauche du fil d’actualités), par exemple Amis proches, Famille, Collègues de bureau, vous pouvez faire en sorte que seuls ceux-ci aient accès à ces données de votre profil. Pour certaines informations très personnelles, il est avisé de sélectionner Moi uniquement.

5. Procédez ainsi pour chaque élément de votre profil que vous avez pu renseigner : Lieux où vous avez habité, Famille et relations… (Libre à vous également de ne pas renseigner ces informations !)

Le fil d’actualité en dit long sur nous

Au printemps 2013, l’université de Cambridge (en Angleterre) a passé au crible les pages de huit mille utilisateurs de Facebook. Il en est ressorti que, même quand un internaute se montrait fort discret sur son profil, il révélait une très grande quantité d’informations de manière indirecte.

En analysant les messages, les clics sur les bouton « J’aime » et les diverses prises de position, l’université de Cambridge a pu déduire des informations qui, après vérification, se sont révélées justes : âge, race, préférences sexuelles, niveau d’intelligence… Dans 82 % des cas, l’analyse a permis de déduire avec véracité si la religion d’appartenance était le catholicisme ou l’islam.

Activer l’authentification à deux facteurs pour protéger son compte Facebook

En septembre 2018, Facebook a été forcé de reconnaître qu’une faille de sécurité avait compromis cinquante millions de comptes au niveau mondial. Sur la France seule, 200 000 comptes auraient été concernés.

Dès qu’ils l’ont appris, de nombreux internautes ont changé leur mot de passe d’accès à Facebook. Pourtant, imaginez qu’une telle situation se soit produite pendant que vous étiez en vacances (bien décidé à ne pas céder à la tentation des réseaux sociaux) ou non connecté pour une raison ou pour une autre. Dans ce cas, un pirate aurait pu changer le mot de passe d’accès à votre compte Facebook et vous n’y auriez plus eu accès.

Si quelqu’un pirate votre compte Facebook, il a toute latitude pour publier des messages qui n’ont rien à voir avec les valeurs que vous défendez, « liker » des posts que vous n’auriez jamais « likés », etc. Cette situation est arrivée à l’éditeur d’un blog musical français : durant deux jours, il n’a pu accéder à son site. Il a fallu l’intervention de Facebook France pour corriger la situation.

Le plus simple est donc d’empêcher, une fois pour toutes, un intrus d’entrer dans votre compte Facebook et de se l’approprier. La solution consiste à paramétrer votre compte de façon que, chaque fois qu’une nouvelle connexion a lieu (depuis un appareil inhabituel), un SMS de validation vous soit envoyé avec un code d’autorisation.

1. En haut et à droite de votre profil Facebook se trouve une flèche vers le bas. Elle donne accès à un menu déroulant. Sélectionnez l’option Paramètres.

2. Dans la colonne de gauche des paramètres, sélectionnez Sécurité et connexion.

3. Repérez la section Utiliser l’authentification à deux facteurs.

Figure 3.3

Accès aux paramètres de votre compte.

4. Cliquez sur Modifier et choisissez d’utiliser ce système. Vous devriez voir apparaître l’écran reproduit sur la Figure 3.4.

Figure 3.4

L’authentification à deux facteurs.

5. Cliquez sur Démarrer.

6. Deux options vous sont proposées. L’envoi d’un Texto (le choix situé sur la droite) est le plus simple. L’autre choix (Application d’authentification) suppose de scanner un code QR ou d’entrer un code fort long. Choisissez Texto.

7. Indiquez votre numéro de mobile. Un code de validation vous est envoyé par SMS. Entrez-le à l’écran. Et voilà, le tour est joué !

8. Connectez-vous depuis un ordinateur que vous n’avez pas l’habitude d’utiliser et tentez d’ouvrir Facebook. Un message vous informe qu’un code vient de vous être envoyé sur votre téléphone mobile. Consultez vos SMS. Vous devriez avoir un message analogue à celui de la Figure 3.5, qui vous indique un code à six chiffres.

Figure 3.5

Lorsque vous vous connectez à Facebook depuis un ordinateur inhabituel, un code de vérification est envoyé sur votre téléphone mobile.

9. Il ne reste plus qu’à entrer ce code sur l’ordinateur, et l’accès à Facebook est alors ouvert !

Figure 3.6

Saisie du code reçu par SMS.

Les faux comptes

En novembre 2017, dès lors qu’il a semblé que de faux comptes avaient été créés depuis la Russie pour influencer l’élection présidentielle américaine, Facebook a mené l’enquête en interne. Cette société californienne a alors trouvé qu’il existait 270 millions de faux comptes sur les 2,1 milliards d’utilisateurs qu’elle recensait alors. Facebook a pris des mesures pour clore la majorité de ces comptes. 10 % de ces comptes fallacieux étaient des copies de comptes d’utilisateurs existants.

Limiter l’accès de ses données aux applications

Nous l’avons vu : dans l’affaire Cambridge Analytica, une partie de l’abus a été due au fait que les utilisateurs avaient eux-mêmes autorisé cette application à accéder à leurs données personnelles.

Qu’en est-il maintenant des applications que vous utilisez ? Il est simple d’en avoir le cœur net et d’ajuster les réglages correspondants :

1. Dans les paramètres de Facebook, la colonne de gauche propose une section Apps et sites Web.

2. Dans cette section (voir Figure 3.7), vous voyez apparaître toutes les applications « actives » sur votre compte Facebook.

Figure 3.7

Les applications et sites Web auxquels vous avez souscrit sont susceptibles d’accéder à certaines de vos informations.

3. Si vous cliquez sur Voir et modifier, vous avez accès à l’étendue des informations que vous partagez avec une application donnée. Par exemple, à la Figure 3.8, nous pouvons voir que l’application Airbnb a accès à la ville où l’on se trouve à un moment donné, ce qui se comprend. Toutefois, elle a aussi accès à d’autres informations, comme la liste de vos amis utilisant Airbnb et qui ont partagé leurs listes d’amis, avec la date de votre anniversaire et – ce que l’on ne voit pas sur cette capture d’écran – aux mentions « J’aime ». Le mieux est de désactiver un à un tous les éléments que vous ne souhaitez pas partager, en cliquant sur le bouton bleu en face de chaque option.

Figure 3.8

La liste des informations auxquelles a accès par défaut une application donnée.

4. Plus bas, dans la même fenêtre, vous avez le choix entre autoriser ou non d’autres internautes à savoir que vous utilisez cette application, ainsi qu’autoriser ou non l’envoi de notifications.

5. Enfin, si vous voyez qu’une application ne vous est plus utile à un moment donné, le mieux est de la supprimer : il ne sert à rien de lui laisser l’opportunité de capter vos données personnelles. Sachez qu’elle pourra toutefois conserver les données qu’elle a engrangées auparavant à votre égard.

Figure 3.9

Une application que vous supprimez continue d’avoir accès aux informations partagées auparavant.

Dissimuler la liste de ses amis Facebook

Par défaut, nous l’avons vu, n’importe qui peut savoir qui sont vos amis. En réalité, le réseau social sait également à quelles pages vous êtes abonné et qui est abonné à votre « journal ». Afin de restreindre la portée de ces informations, voici la marche à suivre :

1. Sur votre compte Facebook, cliquez sur Amis.

2. À droite de la mention Retrouver des amis, vous voyez apparaître un crayon. Il donne accès à la fonction Modifier la confidentialité.

3. Trois sections vous sont proposées (voir Figure 3.11). Pour chacune d’elles, choisissez qui aura accès à ces informations. Le choix est similaire à ce que nous avons vu plus haut pour ce qui est des informations À propos : Amis, Moi uniquement…

Figure 3.10

Il est possible de modifier la confidentialité relative à ses amis.

Figure 3.11

Ici, vous pouvez restreindre l’accès à votre liste d’amis.

4. Quid de l’option Amis sauf connaissances ? Pour information, Facebook considère comme « connaissances » des personnes avec qui vous partagez peu d’informations. C’est donc une option qui peut avoir sa raison d’être.

Empêcher les publications sur son journal Facebook

Il est pour le moins contrariant de découvrir un matin que quelqu’un a publié un post sur votre journal que vous n’auriez pas souhaité voir apparaître. C’est pourtant ce qui arrive à bien des internautes…

Pour y remédier :

1. Dans les paramètres de Facebook, sélectionnez Journal et identification.

2. Dans la section Journal, à la question Qui peut publier sur votre journal ?, choisissez Moi uniquement.

Figure 3.12

Empêcher que n’importe qui puisse publier quelque chose à votre place sur votre journal.

Savoir ce que d’autres publient sur soi sur Facebook

Il n’est pas inutile de vérifier de temps à autre si vous êtes cité dans des publications externes. Si vous estimez que vous n’avez pas lieu d’être identifié dans une publication donnée, vous pouvez retirer votre identification. Voici comment procéder :

1. Dans le menu de la barre du haut, sélectionnez Historique personnel (sur la droite par rapport à votre nom).

2. Dans la colonne de gauche, choisissez Publications où vous apparaissez (voir Figure 3.13).

Figure 3.13

L’affichage des publications où vous apparaissez.

3. Une publication vous semble inopportune ou présente peu d’intérêt ? Cliquez sur le crayon puis sur Signaler/retirer l’identification. Facebook vous demandera d’en énoncer la raison et exécutera votre demande.

Profitez-en pour vérifier les anciennes publications sur votre journal : dans la même colonne de gauche, choisissez cette fois-ci Publications d’autres personnes sur votre Journal. À droite de la photo sur laquelle vous ne souhaitez pas être identifié, cliquez sur le crayon et choisissez Invisible dans le Journal, puis Signaler/retirer l’identification.

Empêcher toute identification sur une photo Facebook à son insu

Vous ne pouvez pas empêcher quelqu’un de vous « taguer » (identifier) sur une de ses photographies. Et cela a causé bien des soucis à certains – voir l’encadré ci-après.

Pour savoir si vous avez été « tagué » dans un cliché :

1. Sur la page de votre profil, sélectionnez Historique personnel (sur la droite par rapport à votre nom).

2. Dans la page Historique personnel abordée auparavant, ouvrez la mention Photos et vidéos.

3. Choisissez Photos dans lesquelles vous êtes identifié.

4. Vous pouvez alors déterminer si cette photographie peut apparaître sur votre journal et faire retirer l’identification.

Figure 3.14

Comment savoir si vous avez été identifié sur une photographie à votre insu.

Gare aux photographies déposées sur le fil d’actualité !

Un employé de l’Anglo Irish Bank nommé Kevin Colvin s’était absenté de son poste en prétextant une urgence familiale. Or, durant cette absence, il a eu la maladresse de poster sur sa page Facebook une photo de lui-même déguisé en fée, bien guilleret et éméché, au cours d’une soirée d’Halloween. Il a été aussitôt congédié par son entreprise.

Limiter la visibilité d’anciennes publications Facebook

Que fait un employeur lorsqu’il reçoit votre candidature pour un poste ? Il cherche des informations vous concernant, et la tentation est forte d’aller consulter votre journal Facebook. Parfois, s’il remonte loin dans le temps, il peut tomber sur des publications que vous avez postées dix ans plus tôt, et qui ne reflètent pas forcément votre situation actuelle…

Voici comment limiter l’accès à vos anciennes publications :

1. Dans Paramètres, choisissez Confidentialité.

2. Dans la section Votre activité, sélectionnez Limiter l’audience des anciennes publications.

Figure 3.15

Le droit à l’oubli version Facebook.

Attention : cela signifie seulement que vos publications publiques/partagées avec les amis (et leurs amis) ne seront dorénavant partagées qu’avec vos amis ; mais également que toute personne identifiée avec vous sur les publications continuera de les voir.

Si vous voulez aller de l’avant, Facebook précise clairement que la restriction d’audience ne pourra pas être annulée sur toutes les publications avec un seul clic. Si vous souhaitez rendre à nouveau publiques certaines anciennes publications, il faudra modifier leur affichage une à une.

Limiter l’usage de Facebook à son travail

Au travail, de temps à autre, vous prenez une pause en partageant sur Facebook des images ou vidéos, en répondant à des publications polémiques sur un réseau social ? Fort bien, mais savez-vous que le responsable informatique de votre entreprise peut connaître le temps que vous avez passé à une telle activité en ligne ? Et dans certains cas, il peut aussi avoir accès de façon précise à ce que avez posté ou partagé.

Trahie par ce qu’elle avait posté sur Facebook !

Au début de l’année 2013, Gina Kensington, hôtesse de l’air de la compagnie Air New Zealand, a posé deux jours d’arrêt maladie, officiellement pour aller prendre soin de sa sœur qui venait, disait-elle, de donner naissance à son bébé. À son retour, son employeur, estimant qu’elle avait usé de ces deux jours à d’autres fins, l’a licenciée. Quand elle a demandé sa réintégration via l’équivalent néo-zélandais de nos prud’hommes, Air New Zealand lui a prié, pour prouver son innocence, de produire une copie de l’activité qu’elle avait indiqué ce jour-là sur son profil Facebook ! Elle a protesté, arguant qu’il s’agissait de sa vie privée, mais le juge prud’homal n’a pas jugé valide cet axe de défense.

Limiter le rayon d’action de ses tweets à ses proches

Depuis le printemps 2019, Twitter a durci sa politique en matière de protection de la vie privée. Sur la page consacrée à sa politique en matière d’informations privées1, il est indiqué ceci : « Il est interdit de publier ou de poster des informations privées d’une tierce personne sans son autorisation ni son consentement exprès. Nous interdisons également de menacer de dévoiler des informations privées ou d’inciter d’autres personnes à le faire. »

Cela étant dit, sur Twitter, à l’instar de Facebook, vos tweets sont par défaut en mode public et donc visibles par tous. Si vous ne souhaitez pas qu’il en soit ainsi, voici comment procéder :

1. Sur la colonne de gauche de votre profil Twitter, sélectionnez Paramètres et confidentialité (voir Figure 3.16).

Figure 3.16

La fonction Paramètres et confidentialité de Twitter.

2. Sélectionnez Confidentialité et sécurité.

3. Si vous activez la première option Protéger mes tweets, seuls vos followers verront vos contributions s’afficher sur le fil d’actualité.

Figure 3-17

Cette option permet de restreindre l’accès de vos followers à vos tweets.

4. La deuxième option vous permet de vérifier si la localisation par Twitter est activée. Il est préférable qu’elle ne le soit pas.

5. La troisième option permet d’empêcher qui que ce soit de vous identifier sur une photographie ou de restreindre cette fonction à vos followers.

Un tweet malencontreux peut contribuer à briser une carrière

En 2011, le député démocrate américain Anthony Weiner pensait avoir envoyé sous la forme d’un message privé sur Twitter des photos explicites à sa petite amie. En réalité, il les avait postées sous la forme d’un message public. Weiner a nié être l’auteur de ce message, qu’il a attribué à des hackers. Pourtant, le site d’information Breitbart News a obtenu la preuve qu’il était bel et bien l’auteur de ce tweet. Il a été obligé de démissionner de son mandat au Congrès.

Pourtant, ce n’était que le début d’une descente aux enfers… Deux ans plus tard, en effet, une jeune femme nommée Sydney Leathers a rendu publics des messages intimes envoyés par Anthony Weiner, et a ainsi saboté sa campagne pour briguer la mairie de New York. Le coup de grâce a été donné en 2016, lorsque le New York Post a publié des messages compromettants de l’ex-député démocrate, échangés cette fois-ci avec une mineure. Il a alors été condamné à dix-huit mois de prison.

Savoir ce que Twitter a stocké comme informations sur soi

La section Préférences relatives au contenu de Twitter propose plusieurs options. Vous pouvez notamment décocher, dans Personnalisation et données, l’option Partager vos données avec les partenaires commerciaux de Twitter.

Tout en bas de cette fenêtre, une autre option, Voir vos données Twitter, devrait vous intéresser. Elle vous permet de demander à Twitter de vous envoyer toutes les données stockées à votre sujet. Il peut être bon de l’activer.

Des conséquences d’un tweet irréfléchi

Au début de l’année 2010, une étudiante avait postulé pour un emploi chez l’équipementier Cisco. Au sortir du rendez-vous, elle a cru opportun d’évoquer ses états d’âme sur Twitter : « Je dois évaluer l’avantage d’un gros salaire par rapport au fait qu’il s’agit d’un travail que je déteste et que le trajet quotidien vers le siège sera long. »

La candidate a alors reçu ce message d’un responsable de l’entreprise : « Qui donc vous a recruté ? Je suis sûr qu’il sera heureux d’apprendre que vous détestez l’emploi proposé ! »

Coïncidence ou non, l’imprudente n’a pas décroché le job en question.

Protéger son compte Twitter avec l’authentification à deux facteurs

Tout comme pour Facebook, vous pouvez avoir une authentification à double facteur sur Twitter. Une fois cette option activée, là encore, il ne sera possible d’accéder à votre compte Twitter que suite à l’entrée d’un code envoyé sur votre mobile. Voici comment bénéficier de cette option :

1. Sélectionnez Compte, Sécurité (voir Figure 3.18).

Figure 3.18

Comment empêcher que l’on pirate votre compte Twitter.

2. Deux options vous sont proposées. La seconde, Protection de la réinitialisation du mot de passe, n’est pas négligeable : elle empêche un internaute de s’emparer de votre compte et de vous en bloquer l’accès en changeant votre mot de passe. Une fois cette option activée, si quelqu’un tentait de modifier votre mot de passe, vous recevriez un message sur votre téléphone mobile pour vous en prévenir. Il vous suffirait alors de bloquer cette manœuvre et de changer votre mot de passe – modification que vous autoriseriez dans ce cas-là – pour que l’intrus n’ait pas accès à votre compte Twitter.

3. La première option, Vérification de connexion, amène Twitter à activer l’authentification à deux facteurs.

Les faux comptes Twitter

En juillet 2018, Twitter a révélé avoir recensé des dizaines de millions de faux comptes et s’attacher à les supprimer.

Activer l’authentification à deux facteurs sur Instagram

Les risques de vous faire pirater votre compte Instagram sont moins élevés que pour Twitter ou Facebook puisque l’accès à cette application est effectué depuis votre téléphone mobile. Il est possible d’afficher vos images depuis le site Web d’Instagram (https://instagram.com) mais pas d’en poster. Cependant, certains logiciels externes autorisent la publication de photographies sur Instagram depuis un ordinateur.

Voici comment activer l’authentification à deux facteurs :

1. Depuis votre téléphone mobile, sélectionnez le menu (l’icône avec trois lignes horizontales).

2. Au bas de l’écran, vous pouvez voir une roue dentée suivie de la mention Paramètres.

3. Choisissez Sécurité puis Authentification à deux facteurs (voir Figure 3.19).

Figure 3.19

L’authentification à deux facteurs sur Instagram.

4. Sélectionnez Démarrer.

5. Deux options vous sont offertes. Dans le cadre d’Instagram, choisissez de préférence Application d’authentification. Il existe diverses applications d’authentification auxquelles vous pouvez vous inscrire, notamment Google Authenticator.

6. À partir de là, si une connexion à votre compte Instagram est effectuée depuis un appareil inhabituel, l’application d’authentification enverra un code sur le téléphone de votre choix, à taper avant de pouvoir utiliser votre compte Instagram.

Seize millions de faux comptes d’influenceurs sur Instagram ?

En juillet 2019, la société suédoise A Good Company a estimé que seize millions de comptes Instagram censés être ceux d’influenceurs seraient en fait « bidon » – ce réseau compte un milliard d’utilisateurs au total.

Google Authenticator

Si vous souhaitez protéger l’accès à votre compte Google (ce qui inclut YouTube, Gmail et des dizaines d’autres services), il est hautement recommandé d’installer sur votre smartphone Google Authenticator. L’avantage de cette application est que vous bénéficiez d’une double protection sans avoir à taper de code. Lorsque vous vous connectez par exemple à votre messagerie Gmail depuis un ordinateur inhabituel, vous devez lancer cette application sur votre smartphone. Un message vous demande si vous essayez de vous connecter, avec mention de l’ordinateur concerné. Il suffit alors d’appuyer sur le bouton Oui. Un autre atout de Google Authenticator est qu’il est possible d’utiliser ce service pour s’authentifier avec d’autres applications que celles de Google.

Se protéger contre le harcèlement en ligne

Tôt ou tard, lorsque vous êtes sur un réseau social, vous risquez de tomber sur des trolls, un type d’internautes qui aiment à déposer des commentaires haineux, dévalorisants à l’égard des autres. D’expérience, il ne sert à rien de leur répondre (ou de les « nourrir ») : cela ne fait qu’attiser leur hargne. Ces tristes sires prennent un malin plaisir à déprécier les autres ou à les faire sortir de leurs gonds. Il arrive aussi qu’ils expriment des propos extrémistes et intolérants.

Entamer une discussion avec un troll ne mène à rien, puisque son but consiste à semer la zizanie. Quel que soit votre argument, aussi raisonnable soit-il, le troll vous en opposera un autre. Ce qu’il cherche, c’est à entretenir la polémique, et chacune de vos réponses sera le prétexte à une nouvelle provocation. Par ailleurs, effacer ses messages le fera revenir à la charge : il trouvera là un motif pour vous dévaloriser encore et encore. Il faut qu’il ait raison envers et contre tout. Certains passent le plus clair de leur temps à pratiquer cette activité.

Des conséquences dramatiques

Louise, une adolescente namuroise de 16 ans, s’est suicidée en septembre 2014 après avoir subi un harcèlement en ligne. Inscrite sur le réseau social Ask, elle avait reçu quantité de moqueries et, de la part de certains, le conseil de mettre fin à ses jours.

Vous pouvez également vous trouver en butte à des personnes qui n’ont de cesse de réclamer de l’attention et de vous accabler de reproches si vous ne prenez pas en compte leurs contributions.

Quelle est donc la solution ? Elle est simple : bannir purement et simplement ces individus. Toute autre manœuvre aboutit à une perte de temps.

1. Sur Facebook, dans les paramètres, choisissez Blocage.

2. Saisissez le nom de la personne puis cliquez sur Bloquer. Si vous n’êtes pas sûr de son nom, tapez son prénom ou le début de son prénom.

3. Une liste apparaît. Cliquez sur Bloquer lorsque vous repérez le nom du troll.

Sur Twitter, vous pouvez directement bloquer une personne à partir de l’un de ses tweets (en cliquant sur la flèche vers le bas). À défaut, allez sur le profil de la personne ou du groupe, cliquez sur le symbole constitué de trois points à droite de sa photo, puis sélectionnez l’avant-dernière option, Bloquer (voir Figure 3.20).

Figure 3.20

Bloquer une personne sur Twitter.

Signaler un troll

Si les propos du troll font apparaître une menace claire, le mieux est de donner son signalement sur le site gouvernemental https://www.internet-signalement.gouv.fr.

Figure 3.21

Signalement d’un internaute sur le site gouvernemental prévu à cet effet.

Sur les pages de ce site, il vous est possible d’indiquer précisément la catégorie de l’abus.

Pour information, la loi française punit le harcèlement en ligne (loi no 2014-873) d’amendes sévères allant de 15 000 à 45 000 euros. Donc, si cette situation est réellement difficile à vivre, n’hésitez pas à dénoncer l’importun sur ce site.

1. https://help.twitter.com/fr/rules-and-policies/personal-information

Chapitre 4

Votre courrier

De nos jours, la messagerie électronique est devenue uune manière naturelle de communiquer. Selon une étude de Médiamétrie (société spécialisée dans la mesure d’audience et l’étude des usages des médias audiovisuels et numériques en France) datant de janvier 20191, nous sommes quelque 42,2 millions de Français à nous connecter chaque mois à une messagerie électronique. Et chaque jour, nous sommes 22,7 millions à nous connecter à au moins un compte e-mail.

Cette nouvelle forme de communication est bien séduisante. Hélas, elle n’a pas manqué d’attirer les arnaqueurs en tout genre. Il est donc vital de savoir se protéger.

Les ransomwares (ou rançongiciels)

Les ransomwares sont aujourd’hui la plus grande menace pesant sur les entreprises. Généralement, ils entrent en action par le biais de virus informatiques contenus dans des pièces jointes. Comme le message semble provenir d’une connaissance, vous ne vous méfiez pas et ouvrez la pièce jointe. Le virus s’installe alors sur votre ordinateur et s’applique à crypter tous les fichiers de l’entreprise – ou les vôtres –, les rendant impossibles à déchiffrer. Le ransomware infecte également toute clé USB ou tout disque dur externe branché sur votre appareil et se propage sur les appareils en réseau, allant jusqu’à atteindre certains clouds moins sécurisés que d’autres. Et les Mac ne sont pas épargnés, même si statistiquement les attaques y sont rares. Le pirate se manifeste ensuite en vous demandant une rançon, le plus souvent en bitcoins, en échange de la clé de déchiffrement.

D’autres attaques bloquent votre ordinateur et vous obligent à cliquer sur des publicités, dont les pirates tirent des revenus.

De très grandes entreprises françaises ont été touchées par des rançongiciels, et parfois par le biais de filiales éloignées. Ainsi, Wannacry s’est propagé dans plus de 150 pays. Il a frappé une entreprise comme Renault par le biais d’une filiale basée en Slovénie. La société Saint-Gobain a été pareillement touchée à partir d’une filiale en Ukraine, et Fleury-Michon a vu son système informatique bloqué durant cinq jours.

Si de grands groupes tels que ceux susmentionnés ont les moyens de se sortir relativement indemnes d’une telle attaque, il n’en va pas forcément de même pour de petites sociétés. Ainsi, une PME de Clermont qui vendait des pièces détachées et n’avait pas mis en place de système de sauvegarde de ses fichiers a dû mettre la clé sous la porte après une attaque par ransomware.

Si, en 2019, à en croire le World Economic Forum, le cyberrisque est perçu comme le plus important pour les entreprises, c’est en grande partie du fait des rançongiciels. Ces derniers sont difficiles à détecter par les antivirus car ils changent fréquemment de signature, ce qui leur donne d’ordinaire un temps d’avance sur les solutions trouvées. Prévention et vigilance restent le mot d’ordre pour éviter d’être rançonné.

Certains pirates se contentent de miser sur la peur qu’ils génèrent : vous recevez un courriel assurant que des photos de vous en mauvaise posture seront diffusées sur Internet si vous ne payez pas, ou alors on vous informe que votre mot de passe a été décrypté et que vous serez hacké si vous n’envoyez pas la rançon demandée, etc. Bien sûr, il ne faut pas ouvrir la pièce jointe censée vous montrer dans le plus simple appareil ou en train de commettre quelque chose de répréhensible : ce ne sont que des leurres destinés à infecter votre ordinateur ou votre téléphone mobile.

Comment se prémunir d’un rançongiciel

Effectuez des sauvegardes régulières de tous vos fichiers, mais avant de lancer l’opération, déconnectez-vous d’Internet, que ce soit par Wi-Fi ou par câble Ethernet. Copiez vos fichiers sur un disque dur externe depuis un ordinateur totalement déconnecté d’Internet (idéalement, un disque dur qui n’a jamais été relié à Internet et qui ne le sera jamais) ; ou bien encore sur un cloud ultra-sécurisé – voir Chapitre 6 à ce sujet.

Mieux encore – pour les entreprises surtout –, copiez vos fichiers chaque jour sur un disque dur externe différent. Par exemple, effectuez une telle sauvegarde sur quatre jours consécutifs, puis le cinquième jour, sauvegardez à nouveau sur le premier disque dur externe, et ainsi de suite. Ainsi, si l’une ou même deux de vos sauvegardes venaient à être infectées par un virus ou un ransomware, vous disposerez de deux autres sauvegardes antérieures « propres » que vous pourrez réinstaller sur votre ordinateur une fois le rançongiciel éradiqué (toujours en vous assurant d’être déconnecté d’Internet avant le transfert). La perte de données occasionnée ainsi ne dépassera pas un ou deux jours. Nous supposons ici que tous vos outils de sécurisation sont à jour et que les personnes concernées restent vigilantes vis-à-vis des courriels suspects et des faux sites. Car une cyberattaque met parfois du temps à être détectée.

La protection anti-ransomware de Windows 10

Windows 10 propose une protection anti-ransomware au sein de son outil intégré Windows Defender, qui vise à protéger vos documents de modifications provenant de menaces extérieures. Pour l’activer :

1. Cliquez sur l’icône de Windows Defender en bas à droite dans la zone de notification de Windows.

2. Dans le Centre de sécurité qui s’ouvre, cliquez sur le bouton Protection contre les virus et menaces.

3. En bas de la page, cliquez sur Gérer la protection contre les ransomwares puis activez l’option Dispositif d’accès contrôlé aux dossiers.

4. Lorsque la protection est activée, deux options s’offrent à vous : Dossiers protégés et Autoriser une application via un dispositif d’accès contrôlé aux dossiers. Pourquoi cette seconde option ? Parce que, dans un souci de garantir la sécurité, il arrive que Windows identifie à tort comme dangereuse une application fiable. Vous pouvez ainsi autoriser l’application en question à modifier des dossiers ou fichiers sensibles.

Comment réagir à une attaque par rançongiciel

Si vous venez de vous faire pirater et que vos fichiers deviennent inutilisables, débranchez aussitôt votre ordinateur du réseau de votre entreprise (prise Ethernet ou Wi-Fi) et éteignez-le. Vos données récentes seront perdues, mais comme vous avez été prévoyant, votre copie de sauvegarde sur un autre support limitera les dégâts. Si la copie de vos fichiers se trouve sur un cloud ultra-sécurisé, vous pouvez récupérer vos données depuis un ordinateur jugé sûr, comme celui d’un autre utilisateur ou d’une autre entreprise, notamment une société de cybersécurité.

Le plus raisonnable serait de ne payer aucune rançon, pour ne pas encourager cette pratique. Dans le cas contraire, rien ne certifie que vous récupérerez vos fichiers et que vous ne ferez pas l’objet d’une nouvelle demande de rançon.

Ensuite, faites réaliser un audit de votre infrastructure informatique par des sociétés spécialisées dans le domaine, qui vous conseilleront ce qu’il convient de faire.

Il existe des outils de déchiffrement de ransomwares qui correspondent peut-être à l’attaque dont vous avez été victime et permettraient (sans garantie) de restaurer vos fichiers. Avast en propose quelques-uns sur la page https://www.avast.com/ransomware-decryption-tools.

Forcé de payer ?

Certaines sociétés infectées par un ransomware préfèrent payer la rançon demandée, car le délai de remise en état serait trop long et les pertes potentielles, trop élevées.

La ville de Riviera Beach en Floride a été ainsi prise en otage en mai 2019 parce qu’elle n’avait pas fait de sauvegardes sécurisées et que son personnel n’était pas assez vigilant : elle a dû débourser plus de 600 000 dollars pour récupérer ses données informatiques.

CityPower, un des principaux fournisseurs d’électricité de la ville de Johannesbourg en Afrique du Sud, a fait l’objet d’un ransomware en juillet 2019 qui a privé d’électricité plusieurs centaines de milliers d’habitants le premier jour de l’attaque. (voir Figure 4.1).

Enfin, prenez le temps de signaler l’attaque aux autorités, pour qu’au moins une plainte soit enregistrée et la police mise au courant.

Figure 4.1

Le tweet envoyé par CityPower Jhb pour informer ses consommateurs de l’attaque par un rançongiciel.

Subir une cyberattaque n’est pas anodin. À en croire l’un des spécialistes intervenus lors d’une conférence sur la cybersécurité organisée par le Medef en octobre 2019, l’image d’une entreprise s’en trouve souvent atteinte : a priori, 64 % des clients ne souhaitent pas acheter de nouveau sur le site d’une entreprise qui a été récemment victime d’une telle attaque.

Les scams

Le mot scam signifie en anglais « escroquerie ». Dans le domaine informatique, ce terme désigne tout type d’arnaque organisée via des services ou des logiciels, le but étant de vous soutirer des informations, de l’argent « par amitié », ou de vous vendre un produit que vous ne recevrez jamais. Ce genre d’abus est courant par courriel et sur les sites de petites annonces.

Ce sujet n’est pas une mince affaire. En 2019, un rapport du Sénat américain a estimé que ce type d’attaques représentait un montant en pertes de trois milliards de dollars. Le scam se manifeste sous diverses formes (liste non exhaustive) :

personnes se faisant passer pour des représentants du fisc ;

messages affirmant que vous avez gagné à une loterie ;

messages venant soi-disant du service technique d’une société de haute technologie, affirmant qu’ils ont détecté un virus sur votre ordinateur et demandant l’accès à votre compte bancaire afin de réaliser le nettoyage de votre système ;

arnaque aux sentiments (exposée plus bas) ;

messages accusant la personne ciblée d’un méfait et réclamant un paiement immédiat pour lui épargner un procès ou une arrestation ;

personne se faisant passer pour un proche dans le but de lui extorquer de l’argent.

Arnaque aux sentiments (romance scam)

Les arnaques aux sentiments sont un type de sollicitations qui fait appel à votre générosité et votre empathie : quelqu’un vous contacte par courriel, lie des liens avec vous, puis vous supplie de lui envoyer de l’argent pour régler une situation dramatique dans laquelle il dit se trouver. Cette dernière est totalement fausse, mais la personne étant devenue « réelle » à vos yeux puisque vous avez échangé des messages, vous baissez la garde et laissez parler votre cœur. Les arnaqueurs se servent de sujets de société actuels pour renforcer leur crédibilité : migrants qui n’ont pas de quoi subsister, victimes d’un pays dictatorial corrompu qui les empêche de toucher l’héritage qui leur revient, etc. Nous avons tant entendu sur les situations désespérées de divers pays et peuples que certains y voient une occasion rêvée d’offrir leur aide.

L’escroquerie peut également émaner de quelqu’un endossant le rôle du dirigeant d’une société d’outre-mer souhaitant vous engager, et qui vous demande un dépôt d’argent pour payer votre permis de travail.

Les adeptes les plus zélés du scam parviennent même à se faire passer pour l’une de vos connaissances, ce qui les rend plus difficiles à détecter au premier abord. Certains réussissent même à faire croire qu’ils sont un ancien partenaire amoureux tombé dans la panade et qui appelle à l’aide ! C’est dire si les auteurs de telles arnaques peuvent parfois aller loin dans la sophistication de leur approche. Il est vrai aussi – et c’est le sujet du Chapitre 3 – que nous avons tendance à indiquer un peu trop d’informations personnelles sur les réseaux sociaux.

Quoi qu’il en soit, le meilleur conseil ici est de ne jamais effectuer de paiement à un inconnu qui vous sollicite de façon inhabituelle.

100 000 dollars dérobés à une femme crédule

Sur le site Scamwatch.gov.au, Georgina a raconté qu’elle a reçu un jour une demande d’ami d’un dénommé Jim, militaire en service pour la paix en Afghanistan. Elle s’est laissé attendrir par le sort de ce dernier, qui déclarait se sentir seul après avoir perdu son épouse. Il lui a également expliqué avoir été posté au Niger, où son service était bientôt achevé, et qu’il comptait les jours avant de la rencontrer. Jim prétendait vouloir ouvrir une boutique de pierres précieuses, de préférence au Niger, en raison de la proximité des carrières d’extraction, et qu’il allait lui en apporter. Seul problème : sa carte bancaire était bloquée au Niger. Il a donc demandé une faveur à Georgina : lui transférer 15 000 dollars afin de régler les frais d’exportation de ces diamants (soit 2 % de leur prix réel). Et elle est tombée dans le panneau ! Jim a ensuite relaté qu’une fois en Malaisie, les joyaux ont été saisis par les douaniers. Cette fois, il lui fallait 20 000 dollars pour les débloquer. Georgina a envoyé l’argent après l’avoir emprunté sur le crédit de sa maison. Elle a ensuite appris que Jim avait été « mis en prison pour contrebande » en Malaisie. Le prétendu avocat de Jim réclamait 15 000 autres dollars pour le faire libérer de prison et pour son jugement.

Les demandes d’argent n’ont cessé de s’enchaîner, au point que Georgina, animée par la volonté d’aider Jim et persuadée qu’il la rembourserait par la suite, aura versé à ce dernier plus de 100 000 dollars ! Il a fallu qu’elle contacte la police locale pour enfin comprendre qu’il s’agissait d’un scam et qu’elle ne reverrait pas son argent.

Les e-mails dont il faut se méfier

Cadeaux, remboursement d’impôts, loterie gagnante à laquelle vous n’avez jamais joué… : tous ces messages merveilleux qui vous donnent l’impression que la chance vous sourit sont à remiser dans la case « À ne pas ouvrir/Ne pas y répondre ».

Voici quelques exemples de demandes frauduleuses :

Quelqu’un vous demande d’ouvrir un compte bancaire pour lui, parce qu’il est dans l’impossibilité de le faire dans son pays (ou pour toute autre raison fallacieuse).

Si vous travaillez dans un service de comptabilité, il convient de traiter avec suspicion les e-mails d’un prestataire qui déclare avoir changé de domiciliation bancaire et vous donne un nouveau RIB en remplacement du précédent. Il est arrivé qu’à partir de là, les sommes dues soient versées à un tiers qui n’avait rien à voir avec le prestataire d’origine. Le mieux est d’appeler immédiatement le prestataire pour vérifier que le message provient bel et bien de lui.

Vous devez payer de soi-disant frais bancaires ou de dossier pour encaisser une grosse somme d’argent (un don généreux du fraudeur qui accepte de partager avec vous son héritage en échange de quelques clics) ; et l’on vous dirige vers un faux site chargé de récupérer vos données bancaires.

Une personne a été arrêtée à la douane d’un pays à régime autoritaire avec un paquet de marijuana dans ses bagages dont elle assure qu’il ne lui appartient pas. Elle vous supplie de lui envoyer une certaine somme, qu’elle reversera aux douaniers afin qu’ils la relâchent.

Un(e) bel(le) inconnu(e) entre en contact avec vous via Facebook ou tout autre lieu d’échanges sur Internet. Il (ou elle) tisse des liens avec vous, vous séduit, vous flatte, et affirme même être tombé amoureux(se) de vous. Après de nombreux échanges toujours plus chaleureux, cette personne affirme rêver vous rejoindre afin de concrétiser cette relation (sachant qu’elle habite bien sûr un pays lointain). Seulement, voilà : il lui manque les moyens de s’offrir un billet d’avion pour venir vous rejoindre… et il lui faut payer les frais nécessaires pour faire envoyer quelques meubles et autres biens en Europe. Cet individu vous demande donc d’effectuer un transfert d’argent ou de lui donner vos informations bancaires afin de pouvoir régler ces montants souvent très élevés.

« Vous venez de gagner un iPhone à un euro ! Vite, allez sur ce site pour confirmer l’achat avant que le stock ne soit épuisé ! » Un euro, ce n’est pas grand-chose pour vous, mais multiplié par le nombre de personnes qui se sont laissé ainsi berner, c’est autre chose… En outre, vous avez donné vos informations bancaires et devez maintenant faire opposition auprès de votre banque. Cet iPhone finit par vous coûter cher, d’autant que vous ne le recevrez jamais.

Un message, qui n’émane pas de votre antivirus, signale que votre ordinateur est infecté et vous propose un antivirus (frauduleux) pour le nettoyer.

Si jamais vous avez déjà eu le malheur de vous faire piéger, ne pensez pas que c’est fini… Un faux avocat ou toute autre personne d’une soi-disant haute autorité peut très bien vous contacter en vous signalant que vous avez fait l’objet d’une arnaque mais que, moyennant finance, vous serez rapidement remboursé, avec des dommages et intérêts.

L’imagination des pirates est sans limite : faites-en autant preuve pour traquer les fraudes !

Chantage direct à la webcam

Une personne vous demande de communiquer avec elle via votre webcam, afin de rendre votre conversation plus sympathique ou pratique. Ce peut être quelqu’un avec qui vous avez noué des liens récemment, ou un(e) ami(e). Mais en êtes-vous sûr ?

Le chantage direct à la webcam vise à filmer une victime par sa webcam, lors d’une conversation où le pirate encourage la personne à révéler des secrets sur soi ou à dévoiler des parties intimes de son anatomie. Il ne lui reste plus ensuite qu’à la faire chanter, en la menaçant de révéler sur le Web ladite vidéo enregistrée.

Nous ne saurions que trop conseiller de ne jamais accéder à des demandes susceptibles de mettre en danger votre image ou votre réputation. C’est le meilleur moyen de vous rendre la cible de maîtres-chanteurs ou de personnes cherchant à se venger de vous. La meilleure chose à faire, face à une telle sollication, est de couper votre connexion, tout simplement.

Si vous vous êtes fait piéger – ce que nous ne vous souhaitons pas –, le mieux est de porter plainte auprès de la police, avec le maximum d’informations que vous aurez récupérées.

Il faut également savoir qu’une webcam peut être allumée à distance de n’importe où si vous avez été au préalable piraté par le biais d’un cheval de Troie. Ce qui nous amène à la précaution suivante, pour éviter qu’un pirate ne vous filme à votre insu : outre les précautions habituelles décrites dans ce livre, masquez votre webcam tant que vous n’en avez pas besoin.

Figure 4.2

Comment Mark Zuckerberg se protège des indiscrétions, comme le révèle son ordinateur portable à l’arrière-plan de cette photo : « caméra recouverte de ruban adhésif, micro recouvert de ruban adhésif ».

Chantage indirect à la webcam

Les tentatives de chantage à la webcam prennent parfois la forme d’un courriel menaçant : « Vous ne me connaissez pas et vous demandez pourquoi vous recevez cet e-mail. J’ai mis un virus sur votre ordinateur et vous ai filmé via votre webcam en train de regarder des vidéos pornographiques. Si vous ne me payez pas [telle somme] en bitcoins, je diffuserai la vidéo sur Internet. » Sont parfois intégrés dans l’e-mail un de vos anciens mots de passe et une pièce jointe renfermant un soi-disant enregistrement de vous, afin de vous prouver que la menace est bien réelle. Ne paniquez pas, ce n’est qu’un leurre destiné à vous faire payer. Vous pouvez sans état d’âme supprimer cet e-mail, après en avoir réalisé une capture d’écran pour les autorités spécialisées dans ce type de menace à qui vous signalerez l’arnaque. Pensez à prévenir vos proches, car le pirate s’attaquera peut-être à eux par le biais des informations disponibles sur vos réseaux sociaux. Et profitez-en pour changer quelques mots de passe un peu trop anciens.

Se protéger du spam

Les spams, ce sont ces courriels non sollicités, à caractère commercial, que nous recevons dans nos messageries virtuelles. Ces messages écrits proposent un nouveau produit, une offre alléchante, une promotion qui ne dure qu’une journée ou même une heure, dans le but de vous faire cliquer sur un lien et acheter ledit produit. Parfois, cliquer sur le lien proposé peut contaminer votre ordinateur.

Le spam est illégal

Depuis le vote de la loi française pour la confiance dans l’économie numérique (LCEN) en 2004, toute société ou tout individu qui vous adresse une publicité sans avoir requis au préalable votre consentement est dans l’illégalité.

L’Europe a également adopté plusieurs mesures visant à rendre le spam illégal. En cas de mauvaise volonté manifeste de votre interlocuteur, vous pouvez toujours dénoncer ce dernier à la Cnil (Commission nationale de l’informatique et des libertés).

Comment les spammeurs récoltent vos coordonnées

À l’origine du spam se trouvent des sociétés qui rassemblent le plus grand nombre possible d’adresses e-mail afin de les revendre à des entités désireuses de promouvoir un produit ou une cause. Mais comment récupèrent-elles ces coordonnées ?

à partir de formulaires que vous avez remplis en ligne et qui ont récupéré votre adresse e-mail ;

à partir de services que vous avez achetés sans avoir réalisé que vous aviez également transmis vos coordonnées à des entreprises partenaires ;

à partir d’aspirateurs d’adresses, c’est-à-dire des logiciels qui récupèrent des adresses e-mail sur les forums que vous avez consultés, vos réseaux sociaux ou vos sites ou blogs ;

depuis certains sites sur lesquels vous avez navigué et qui ont déposé des cookies sur votre ordinateur.

Si vous avez le malheur de cliquer sur certains messages aguichants (« Tiens, cette petite robe ou cette offre de vacances n’est pas mal du tout ! »), vous devenez des hot prospects, c’est-à-dire des clients potentiels de valeur, et recevez alors régulièrement des e-mails commerciaux du site que vous avez consulté et de ses sociétés partenaires.

Figure 4.3

Exemples de spams dans Yahoo! Mail.

L’une des précautions pour se prémunir des spams est déjà de ne pas écrire en toutes lettres votre adresse e-mail sur votre site ou votre blog, mais d’indiquer une adresse sous une forme telle que contact(at)[votresite].com. Mieux encore, préférez un formulaire de contact (demandez à votre webmaster d’en concevoir un), qui passera par un serveur non accessible aux robots des spammeurs avant de vous envoyer vos messages.

Les filtres antispams

Toutes les messageries électroniques offrent des filtres antispams qui font le tri – avec plus ou moins de bonheur – entre les « bons » courriels et les spams. Ces derniers messages filent directement dans un dossier appelé Spam, Courrier indésirable ou Junk e-mail. Cependant, certains parviennent à passer à travers les mailles du filet.

Il arrive que des messages soient classés comme indésirables alors qu’ils émanent de votre patron ou de votre meilleur(e) ami(e). En effet, les filtres antispams n’aiment pas les envois trop rapprochés destinés à une ou plusieurs personnes, qu’ils finissent par considérer comme des envois commerciaux en nombre.

Avec les progrès de l’intelligence artificielle, ces filtres devraient être de plus en plus performants. Pour le moment, ils nécessitent que nous allions vérifier de temps en temps dans notre dossier Spam si nous n’avons pas laissé passer un courriel légitime.

Le service Loveyouremails

Pour protéger efficacement votre courrier contre le spam, il est fortement conseillé d’inscrire votre adresse sur le service Loveyouremails, accessible à l’adresse https://www.loveyouremails.fr. Celui-ci opère alors une surveillance permanente de votre messagerie.

Loveyouremails classe les e-mails douteux dans l’un des quatre dossiers ajoutés à votre logiciel de messagerie : Commerciaux, Désabonnez-moi, Réseaux sociaux et Spams. Vous gardez cependant la main pour reclasser un message licite dans la boîte de réception et en placer d’autres, qui auraient déjoué le filtre, dans la boîte appropriée.

Comment se comporter face à un spam ?

N’ouvrez pas un courriel de type spam ! Dans votre messagerie locale, Outlook par exemple, désactivez le mode prévisualisation des messages. Transférez le message directement dans le dossier Spams ou Courrier indésirable. En effet, le fait d’ouvrir l’un de ces courriels et de cliquer sur un lien contenu dans celui-ci prévient le spammeur que vous utilisez bien l’adresse e-mail à laquelle il a écrit, et il vous inondera alors de courriers commerciaux. Ne répondez pas non plus à ces courriels pour la même raison. Certains spammeurs, hélas, ne respecteront pas forcément votre volonté de vous désabonner de leurs listes.

Sur les formulaires de sites Web, décochez toute case autorisant des sociétés tierces à vous envoyer des offres promotionnelles. Et lorsque vous avez terminé votre navigation sur un site commercial, effacez les cookies pour ne pas recevoir de messages commerciaux de la part de ce dernier.

Créez des adresses secondaires dédiées à certaines activités

Créez des adresses e-mail pour chacune de vos activités, si possible en ne mettant que vos initiales et un objet plutôt que votre nom complet (par exemple : BLdivers@yahoo.fr). Ainsi, si un courriel n’arrive pas dans la « bonne » boîte, vous saurez que vous avez affaire à un spam ou à un courriel frauduleux.

De nombreux internautes possèdent plusieurs comptes de messagerie, ce qui est une bonne chose pour détecter d’éventuelles anomalies liées au spamming et à d’autres tentatives d’accès à vos informations.

Séparez vos échanges professionnels de vos échanges privés. Si vous exercez plusieurs activités, dont une pour une association par exemple, créez une adresse mail dont vous vous servirez pour cette activité seulement. Une telle répartition vous aidera non seulement à reconnaître les messages indésirables, mais également à faire le tri dans vos courriels.

Dédier une adresse de messagerie uniquement à votre navigation sur le Web est une bonne façon de limiter les spams. Sur la messagerie Yahoo! Mail, vous avez la possibilité de créer des adresses e-mail secondaires à partir de votre adresse racine, ce qui est bien utile. Si, malgré tous vos efforts et vos parades, l’une de vos boîtes reçoit un tir croisé de spams qui ne s’arrête plus, supprimez-la et recréez-en une autre.

Les envois multidestinataires

Refusez que votre adresse e-mail apparaisse en clair dans un message à multidestinataires émanant d’un ami ou d’un membre de votre famille. Tout d’abord, elle pourrait être récupérée par des personnes à qui vous n’avez pas forcément envie de laisser vos coordonnées. Ensuite, votre adresse court le risque d’être volée par des logiciels aspirateurs pour être revendue à des sociétés de marketing. Et à partir de là, les spams affluent…

Prévenez donc les auteurs de courriels multidestinataires qu’ils doivent taper les adresses e-mail dans le champ « Copie carbone invisible » (Cci) de leur message.

Fermez vos anciens comptes de messagerie

Même si les fournisseurs d’accès assurent que les comptes de messagerie inactifs sont supprimés au bout de quelques mois (le nombre de mois variant selon l’opérateur), ne vous privez pas d’aller faire un tour sur vos anciens comptes pour vous assurer qu’ils sont bien fermés. C’est une façon de vous protéger d’un potentiel hacking du compte et de ses contacts enregistrés. Profitez-en d’ailleurs pour supprimer ces derniers. Il serait gênant que vos connaissances, collègues ou employeurs reçoivent des spams ou des courriels frauduleux avec l’une de vos anciennes adresses e-mail. Vous deviendriez alors un spammeur, à votre insu !

Vérifier l’adresse de l’émetteur avant de cliquer sur un lien

Un conseil qui vaut autant pour les spams que pour les courriels douteux : tapez la véritable adresse (URL) d’un site dans la barre de votre moteur de recherche plutôt que de cliquer sur un lien de courriel. Au moindre doute, tapez plutôt le nom du site dans un moteur de recherche et cliquez sur le lien officiel proposé par Google, Bing ou autre service de recherche.

Si le nom de l’expéditeur vous est connu, mais que l’objet du message ou le fait même que la personne vous contacte vous semble étrange (par exemple, si elle vous contacte sur une adresse de messagerie que vous ne lui avez pas transmise), passez votre souris sur ce nom, sans cliquer, pour afficher la véritable adresse e-mail. Si jamais l’adresse ne s’affiche pas ainsi, cliquez sur le nom avec le bouton droit de votre souris et sélectionnez Propriétés : vous trouverez ce que vous cherchez. Vous découvrirez que l’adresse se compose le plus souvent d’une suite de caractères sans queue ni tête et/ou d’une extension inhabituelle.

Figure 4.4

L’adresse e-mail correspondant à l’identifiant est pour le moins douteuse.

Le phishing et comment s’en prémunir

Comme cela est décrit dans le Chapitre 9, le phishing (ou hameçonnage), est l’opération par laquelle un fraudeur tente de vous soutirer des informations confidentielles, principalement vos coordonnées bancaires. Le phishing arrive majoritairement par le biais de courriels alarmistes censés vous pousser (entre autres) à rectifier des erreurs, à mettre à jour votre compte ou à vérifier votre identification. Le message contient un lien vous envoyant vers un faux site Web qui reproduit presque à l’identique le véritable site. Voilà pourquoi il est plus prudent de saisir manuellement l’adresse du site que vous voulez visiter plutôt que de cliquer sur un lien.

Sachez qu’aucun organisme administratif ne vous demandera vos identifiants, numéros IBAN et mots de passe dans un courriel.

Figure 4.5

Exemple de phishing.

Tests de contrôle

Vérifiez dans un premier temps l’orthographe de l’adresse du site. Est-elle exactement la même que celle du site que vous connaissez ? Est-ce que l’extension (.fr, .com ou autre) est la bonne ? Portez une attention soutenue aux lettres de l’adresse, car un des caractères a pu être remplacé par une lettre spéciale, comme un ę par exemple (notez la cédille inversée sous le e).

Si vous avez tout de même cliqué sur un lien et êtes arrivé sur un site, vérifiez si la connexion est sécurisée (présence d’un cadenas vert ou noir à gauche de la barre d’adresses et adresse commençant par https://), ainsi que son certificat de sécurité. Pour cela, cliquez sur le cadenas : une fenêtre apparaît avec plusieurs lignes d’informations.

Figure 4.6

Vérification de la certification d’un site.

Cliquez sur la flèche à droite de Connexion. Vous arrivez alors dans une seconde fenêtre, qui montre par quel organisme a été vérifié le site. Assurez-vous que cet organisme est fiable en faisant une recherche dessus dans un autre onglet.

Figure 4.7

Qui a certifié le site ?

Scrutez le site si vous avez encore des doutes. Un logo officiel n’est pas l’assurance que le site est légitime. Les hameçonneurs sont de plus en plus doués pour reproduire les sites légaux. Chassez les fautes d’orthographe et le français approximatif.

Un soupçon persiste ? Tapez l’adresse de l’expéditeur du courriel dans votre moteur de recherche pour vérifier s’il n’a pas été blacklisté par des internautes. Si des anomalies existent à une quelconque étape de votre inspection, il est plus que probable que vous soyez en présence d’un site-leurre.

Arnaque aux impôts

Remarquez dans l’exemple de fraude (voir Figure 4.8) que le logo de gauche avec le drapeau français ne renferme pas les mêmes informations que dans le véritable logo de la Figure 4.9. De plus, le véritable site administratif intègre en bas le bandeau obligatoire de la politique sur les cookies.

Figure 4.8

Courrier émanant faussement de la Direction générale des finances publiques.

Figure 4.9

Le véritable site des impôts.

Un site administratif ne vous enverra pas de message fleuri du style « Nous avons le plaisir de vous informer… », ne vous demandera pas d’installer d’application et ne vous demandera jamais de fournir vos informations bancaires pour vous rembourser – et pour cause : il les a déjà !

En cas de doute, il est préférable de contacter directement votre centre des finances publiques.

Le faux site des impôts sur le revenu

En 2018 ont circulé des courriels frauduleux promettant un remboursement d’impôts moyennant des informations bancaires à renseigner sur le site (voir Figure 4.10). Puisqu’il était question de l’année 2018, « blanche » pour la mise en place des impôts prélevés à la source de 2019, il était facile de se laisser berner par un tel message. Le lien menait vers un faux site, à partir duquel les fraudeurs récupéraient les numéros et codes bancaires, et s’en servaient pour effectuer des achats, au grand dam des victimes.

Figure 4.10

Courrier frauduleux de remboursement d’impôts.

Les hoax

Les hoax sont des informations chocs créées de toute pièce par des personnes tentant de les propager à grande échelle via des lettres-chaînes ou de fausses pétitions. À l’inverse du spam, qui se diffuse de façon automatique, un hoax doit sa propagation à son destinataire, qui le renvoie à sa liste de contacts pour prévenir ces derniers de telle affaire scandaleuse, pour retrouver une personne supposée disparue, etc. Ces informations sont de fausses rumeurs ou informations, des canulars censés tromper les destinataires, pour des motivations qui restent obscures. Les hoax peuvent être de véritables campagnes de dénigrement d’une personne ou d’une entreprise. Il convient d’être vigilant avant d’inonder vos contacts avec ce genre de message alarmiste ou outragé. Quelques indications devraient vous mettre la puce à l’oreille, comme le manque de références, ou au contraire des ficelles trop grosses (par exemple, « Bill Gates lègue toute sa fortune aux 10 000 premières personnes qui le contacteront »), des sources inexistantes. Voici quelques sites traqueurs de hoax qui vous éclaireront sur la nature de tels contenus : Hoaxbuster, Snopes, Hoax-Net, Hoaxkiller.

Comment sécuriser sa messagerie

Voici une liste d’actions préventives qu’il est bon de mettre en œuvre :

Comme pour contrer n’importe quel virus, maintenez à jour vos logiciels et votre antivirus ; gardez votre pare-feu actif ; supprimez de vos ordinateurs d’anciens programmes dont vous ne vous servez plus (car ce sont des failles potentielles) ; et modifiez fréquemment vos mots de passe.

Vous recevez une pièce jointe inattendue d’un de vos contacts ? Le premier réflexe à adopter est d’appeler cette personne pour lui demander si elle est bien à l’origine de cet envoi, et où elle a récupéré ce fichier. Si la provenance de la pièce jointe semble douteuse, si l’extension du fichier n’est pas habituelle ou, bien sûr, si votre connaissance assure ne vous avoir jamais envoyé ce message, ne l’ouvrez pas.

Par ailleurs, ne décochez pas l’option Toujours demander avant d’ouvrir ce type de fichier lorsque vous double-cliquez sur la pièce jointe d’un courriel : cela vous fera réfléchir sur la provenance du message avant de valider l’ouverture du fichier.

Figure 4.11

Par défaut, Windows n’ouvre pas automatiquement des fichiers d’un certain type, mais vous demande si vous souhaitez le faire. Assurez-vous que cette option soit toujours activée.

Et encouragez votre entourage à adopter les mêmes pratiques en matière de sécurité : chacun y gagnera en paix de l’esprit.

Figure 4.12

Exemple d’arnaque proposant de l’argent.

1. https://www.arobase.org/actu/chiffres-email.htm

Chapitre 5

Mots de passe

« Il m’est impossible de mémoriser tous mes mots de passe… » : cette pensée vous est probablement venue à l’esprit à un moment ou à un autre. Elle a pu être accompagnée de réflexions secondaires telles que celles-ci :

« J’ai un mot de passe suffisamment complexe pour que je puisse l’utiliser sur tous les sites où je me connecte. »

« J’ai un mot de passe principal et je crée des variations au fur et à mesure, en intégrant le nom du site principal. » Par exemple : si le mot de passe principal est shabada#, il devient amazonshabada# sur Amazon, ubershabada# sur Uber, fnacshabada# sur le site de la Fnac.

« Je ne suis pas assez important pour qu’un pirate s’intéresse à moi, donc je n’ai rien à craindre. »

Etc.

Autant de façons d’opérer qui, hélas, ne sont pas d’une sûreté totale sur le long terme. Nos mots de passe sont stockés quelque part. Il le faut bien, car sinon, comment le site que nous visitons nous donnerait accès à notre compte ? Ces mots de passe sont généralement enregistrés sous forme cryptée, et donc a priori impossibles à déchiffrer de manière simple. Toutefois, un hacker particulièrement doué pourrait parvenir à trouver la faille. C’est rare, mais c’est déjà arrivé, et même à des sociétés de grande envergure.

Est-ce à dire qu’il serait impossible de protéger ses comptes sur Internet ? Pas du tout ! Il existe maintes solutions fiables que nous allons exposer ici. Retenons qu’il faut faire preuve de haute vigilance avec les mots de passe. Quelques exemples vont illustrer ce propos.

En 2016, il a été révélé que le service de stockage en ligne Dropbox avait fait l’objet d’un piratage quatre ans plus tôt : 68 millions d’adresses e-mail avec leurs mots de passe associés avaient été dérobées et mises en vente sur des sites spéciaux. Si l’on en croit un porte-parole de Dropbox, aucun dommage particulier n’aurait été constaté. Dropbox a immédiatement prévenu les utilisateurs en question de la nécessité de changer leur mot de passe sur ce site et de ne pas utiliser ce même sésame sur d’autres sites. Ainsi donc, toujours selon Dropbox, le risque aurait vite été écarté.

Pourtant, le plus incroyable, c’est que cette intrusion dans les comptes Dropbox avait pour origine une faille sur LinkedIn qui a rendu possible pour un pirate d’accéder à 6,8 millions de comptes sur ce réseau social. Ceux qui avaient réussi à pénétrer ces comptes LinkedIn ont ensuite testé ces mêmes mots de passe sur des comptes Dropbox. Or, l’un des comptes Dropbox était celui d’un employé de Dropbox qui y stockait les coordonnées de 68 millions de comptes d’utilisateurs !

Le cas de Dropbox n’est pas isolé. En décembre 2016, Yahoo! a rendu public le vol de données d’un milliard de ses utilisateurs. Avec une précision : cette intrusion avait eu lieu deux à trois ans auparavant (en août 2013, puis à la fin 2014). Ce retard a t-il été dû à une volonté de Yahoo! de cacher la défaillance ? On ne peut l’affirmer : selon le Ponemon Institute, il n’est pas rare qu’il faille des centaines de jours à une entreprise pour découvrir qu’elle a fait l’objet d’une cyberattaque.

Parmi les autres sociétés d’envergure qui ont fait l’objet de piratages similaires figurent Sony, Adobe, Snapchat, Orange et même Apple, pourtant réputée pour la qualité de sa protection, qui a fait l’objet d’une attaque en 2014. Pour les personnes touchées, les conséquences sont sinon dramatiques, tout au moins très ennuyeuses (comme lorsque des photos intimes sont volées et diffusées publiquement).

Donc oui, les mots de passe que vous utilisez sont stockés quelque part sur un ordinateur extérieur, la plupart du temps ultra-cryptés. Mais comment être sûr qu’un employé ne va pas commettre un impair comme ce fut le cas chez Dropbox ?

Le risque zéro est probablement impossible, mais nous pouvons nous en approcher. Autant appliquer les solutions adéquates. C’est ce que nous allons voir dans ce chapitre.

Les mots de passe sont stockés sous forme cryptée

La plupart des sites qui stockent des mots de passe les conservent sous une forme « chiffrée » (cryptée). Si des pirates s’emparent d’une telle base, ils doivent donc s’appliquer à déchiffrer ces données.

Si les mots de passe ont été chiffrés à l’aide d’un algorithme de très haut niveau, le travail des pirates va être particulièrement ardu. Selon le niveau de cryptage mis en œuvre, le décodage peut prendre un jour, plusieurs semaines, mois ou années, ou même s’avérer quasiment impossible à l’échelle d’une vie humaine.

Généralement, lorsque les pirates ont réussi à décoder des mots de passe, ils mettent en vente les listes obtenues sur des sites spécialisés.

Techniques pour récupérer un mot de passe

S’il est si difficile de dérober une base de données et de déchiffrer un mot de passe crypté, les pirates savent qu’ils peuvent compter sur une faille : la faiblesse de certains face aux annonces promettant de l’argent facile, un cadeau extraordinaire, un remboursement inespéré et autres promesses dorées. Donc le plus simple pour un pirate – et de loin – est de vous inciter à saisir vous-même votre mot de passe dans un contexte engageant. Quelques exemples :

Le pirate affiche un site de phishing, qui imite l’interface d’un site connu comme Amazon ou eBay (voir le Chapitre 9), dans le but de vous faire saisir vos identifiant et mot de passe afin de les récupérer. Mieux encore, comme il va vous refuser l’accès au soi-disant site, vous allez probablement taper les diverses variations de votre mot de passe, que le pirate va se faire un plaisir de récupérer.

Le pirate affiche un panneau tel que celui de la Figure 5.1 vous faisant croire que, ô miracle, vous avez gagné un cadeau substantiel et qu’il ne vous reste qu’à vous connecter avec votre mot de passe.

Parfois, le pirate n’a même pas besoin d’exciter la curiosité de certains. Il lui suffit d’essayer divers mots de passe fort répandus. Sachez par exemple que le mot de passe le plus utilisé au monde est 123456 ! L’encadré « Les 25 mots de passe les plus utilisés en 2019 » vous donne d’autres exemples de ces codes évidents mais couramment employés.

Votre profil Facebook ou celui d’une autre de vos plateformes sociales est une mine d’informations pour un pirate : nom de votre chienne, hobbies, jeu vidéo favori, date de naissance… Avec cela, il essaye des mots de passe tels que Titus, pokemon ou arnold101278 (autant d’exemples inspirés de cas réels).

Un grand nombre d’internautes utilisent comme mots de passe des termes présents dans le dictionnaire (comme football, flegmatique, mozart, etc.). Celui qui cherche à percer l’accès à votre compte le sait : il va donc tester un à un (avec un programme informatique) les mots d’un grand dictionnaire.

Un pirate parvient à installer dans le système un keylogger, soit un programme qui enregistre ce que l’utilisateur tape sur son clavier et qui réalise des captures de son écran. Vous aurez beau avoir défini un mot de passe ultra-sécurisé, le pirate en prendra connaissance dès que vous le saisirez.

Figure 5.1

Des annonces telles que celle-ci sont l’un des moyens trouvés pour tenter de vous faire entrer vos identifiant et mot de passe.

Les 25 mots de passe les plus utilisés en 2019

Chaque année, la société Splashdata publie la liste des 100 mots de passe les plus utilisés. En la parcourant, vous aurez du mal à y croire, mais la réalité est là : une majorité d’internautes utilisent des sésames ultra-faciles à deviner, tels que les no 1 et 5 du lot, 12345 et password (qui signifie « mot de passe » en anglais) ! Ces deux mots de passe sont en tête du classement depuis sept ans, ce qui montre que l’importance de la cybersécurité n’a pas encore été bien comprise. Il en résulte qu’il est théoriquement possible d’accéder à 98 % des comptes existants !

112345

2123456

3123456789

4test1

5password

612345678

7zinch

8g_czechout

9asdf

10qwerty

111234567890

121234567

13Aa123456

14iloveyou

151234

16abc123

17111111

18123123

19dubsmash

20test

21princess

22qwertyuiop

23sunshine

24BvtTest123

2511111

Comment créer un mot de passe ultra-sécurisé ?

Quelles sont les règles pour définir un mot de passe qui soit le plus sûr possible ?

Plus il est long, mieux c’est. Il est généralement possible de l’étendre sur douze caractères ou plus. Alors, autant tous les utiliser.

Ne pas utiliser d’éléments de votre identité ou de l’identité de vos proches dans votre mot de passe. Un choix classique pour certains est d’intégrer leur date de naissance ou celle de leur enfant dans le mot de passe. Un exemple de mot de passe relativement facile à craquer serait composé de la ville et de la date de naissance, comme montlucon040882.

Il est préférable de ne pas prendre de mots du dictionnaire. Nous l’avons dit, certains programmes qui tentent de trouver votre sésame intègrent l’usage de ces mots dans leur analyse. Ne leur facilitons pas la tâche. Une solution consiste à mal orthographier, de façon volontaire un ou plusieurs mots du dictionnaire : shat au lieu de « chat », tryin plutôt que « train », etc.

Il vaut mieux ne pas intégrer dans le mot de passe de noms ou surnoms de personnes proches. Un exemple : votre chat s’appelle Mistigri, et vous postez régulièrement sur Facebook des photos de cet animal irrésistible en indiquant son nom. Voilà quelque chose que les programmes de « craquage » de mots de passe peuvent tout à fait intégrer dans leur analyse.

Il va de soi que les suites de chiffres ou de lettres logiques telles que le champion du lot 123456 sont à bannir. Mais 3456789, abcdefghijkl ou qrstuvw ne sont guère mieux.

L’idéal est de combiner des chiffres, des lettres minuscules et majuscules et des caractères spéciaux. Quelques exemples : 3,f59wBA}t$X, {^68sFuX8Bdh)5, iWv8.3xD)nJ_53.

Si vous manquez d’inspiration pour votre mot de passe

Si vous manquez d’inspiration, sachez qu’il existe divers services qui se chargent de générer des mots de passe sécurisés, c’est-à-dire constitués d’une combinaison complexe de lettres minuscules et majuscules et de caractères spéciaux, et dénuée de toute logique qui puisse faire l’objet d’une analyse. Voici quelques adresses de générateurs de mots de passe :

Dashlane (voir Figure 5.2) : https://www.dashlane.com/fr/features/password-generator

Mot de passe.xyz : https://www.motdepasse.xyz/

Générateur de mots de passe : http://www.generateur-motdepasse.com/

Figure 5.2

Le générateur de mots de passe proposé par Dashlane.

Un mot de passe sécurisé qui soit mémorisable

Vous pouvez toutefois rétorquer qu’il n’est pas facile de mémoriser des mots de passe aussi complexes. Certains choisissent de les noter sur une feuille de papier, mais encore faut-il – notamment si cette feuille se trouve au bureau – qu’elle soit à l’abri de tout regard indiscret.

Il existe une technique, appelée leet, permettant de s’en sortir. Prenez une expression simple qui vous soit familière sans l’être trop pour autrui, par exemple, « 2 poussins contre 1 ». Supprimez les espaces et adoptez ensuite quelques règles propres à vous :

Remplacez les « e » par le signe « @ ».

Remplacez les « o » par des « 8 ».

Remplacez les « s » par des « ! ».

Mettez les « U » en majuscules.

En appliquant ces règles, vous obtenez 2p8U!!in!c8ntr@1.

Il vous suffit donc de mémoriser les règles que vous avez définies pour retrouver aisément votre mot de passe. Une autre solution consiste à trouver une phrase qui puisse s’énoncer par une combinaison de chiffres, de lettres et de caractères spéciaux. En voici un exemple avec la phrase : « Elle livre des ciseaux cassés à des pépés au dos large. » Ce qui peut donner le mot de passe L£d6oKcadPpo$j. Voici une autre combinaison à partir de la phrase « Très énervée, elle l’apostrophe. » : 13Nrv,l’.

La règle à retenir : plus la phrase d’origine est méconnue, plus le mot de passe a des chances d’être « incraquable ».

L’authentification à double facteur

Certains sites tels que Facebook, Amazon, Yahoo! ou Instagram et un grand nombre de banques proposent l’authentification à deux facteurs – décrite au Chapitre 3. Chaque fois qu’un site propose une telle protection, il faut l’activer.

Rappelons que cette option oblige à renseigner un code envoyé sur votre téléphone pour pouvoir accéder au site en question ou, dans le cadre d’une transaction bancaire, pour valider un paiement. Si vous avez activé cette option, il sera impossible à un pirate d’entrer sur votre compte ou d’effectuer des transactions financières.

Qui plus est, le fait de recevoir un code vous demandant l’accès à votre compte Facebook ou Amazon suffira à vous alerter que quelqu’un a piraté votre mot de passe. Vous saurez alors qu’il est indispensable de le changer au plus vite.

Un mot de passe différent pour chaque site

Disposer d’un mot de passe ultra-sécurisé est optimal ; mais utiliser le même pour accéder à plusieurs sites différents n’est pas sans risque. Si d’aventure un pirate parvenait à trouver votre mot de passe sur un seul de ces sites, il serait en mesure de compromettre plusieurs sites auxquels vous avez couramment accès.

Avant tout, s’il est une règle à respecter et à faire respecter de façon absolue (voir l’encadré ci-dessous), c’est la suivante : ne jamais se servir du même mot de passe pour le travail et pour l’ordinateur domestique.

Ne pas utiliser le même mot de passe pour le privé et le professionnel

Une entreprise de stockage de fichiers en ligne qu’il n’est pas possible de citer ici avait parmi ses employés une dénommée Sarah. Dans le cadre de son travail, Sarah devait accéder à des centaines de fonctions précises, lesquelles nécessitaient autant de mots de passe différents. Elle a donc eu l’idée, brillante en apparence, d’utiliser au travail le mot de passe ultra-sécurisé qu’elle avait créé pour son ordinateur à domicile.

Quelques mois plus tard, Sarah a appris qu’une faille avait été détectée sur l’un des réseaux sociaux auxquels elle se connectait à domicile. Elle ne s’en est pas souciée sur le moment, espérant juste qu’elle n’avait pas été ciblée par cette attaque.

Et puis, un matin, elle a été convoquée dans le bureau de son directeur, qui lui a dit ceci :

« Notre équipe de sécurité nous a appris que votre compte avait subi une intrusion.

— Comment cela a-t-il pu se produire ? a demandé Sarah, passablement mal à l’aise.

— Les pirates se sont servis de mots de passe qu’ils avaient récoltés lors d’une faille sur un réseau social et les ont essayés sur le site de notre entreprise. Est-ce que vous avez utilisé le même mot de passe au travail et à domicile ?

— Oui… 

Comme nous le voyons, disposer d’un mot de passe différent pour chaque site majeur visité est le mieux à faire. Ce n’est pas facile, direz-vous… Nous vous proposons une solution pratique dans la deuxième partie de ce chapitre : les gestionnaires de mots de passe.

Les variations sur un même mot de passe

Certains internautes adoptent comme solution d’avoir un mot de passe principal et de créer des variations à partir de cette expression. Un exemple :

mot de passe principal : Gloup##4B

1er mot de passe alternatif : Gloup !!4B

2e mot de passe alternatif : Gloup\\4B

etc.

Avec cette approche (qui n’est pas la meilleure, puisque le mot de passe de base est facilement repérable), il est possible d’entrer dans un site donné même si on a oublié son mot de passe, même si on ne se souvient plus de la forme précise : il suffit de tester diverses variations. Néanmoins, les logiciels utilisés par certains pirates sont habitués à tester automatiquement des variations mineures d’un mot de passe principal s’ils se voient refuser l’accès d’un site particulier. La méthode n’est donc pas infaillible.

Enregistrez votre mot de passe sur le navigateur

Une solution simple consiste à avoir des mots de passe différents pour chaque site visité et à demander au navigateur Web d’enregistrer ces mots de passe. De cette façon, vous n’avez pas à les retenir, l’accès est effectué automatiquement.

Utilisez un grand nombre d’adresses e-mail

Il existe une autre solution exploitable : utiliser des adresses e-mail différentes. Sur des systèmes comme Gmail, mail.com, Yahoo! et bien d’autres, la création d’adresses est à volonté. Un bon réflexe, donc, avant de vous inscrire à un service majeur, est de créer une nouvelle adresse e-mail avec un préfixe différent avant le @. Un exemple : votre adresse e-mail normale est dimitri.zaopolous@gmail.com. La deuxième adresse serait bouquinovore@yahoo.com. Utiliser le même mot de passe pour ces divers services ne devrait pas poser de problème. En effet, celui qui aurait piraté un compte sur un service particulier exploitera la combinaison « adresse email sur ce service - mot de passe », et ne sera pas au courant que l’utilisateur exploite d’autres adresses e-mail pour accéder à d’autres services.

Retrouver un mot de passe oublié

Que faire si vous avez oublié vos identifiant et mot de passe d’accès à un site donné ? Certains sites, par sécurité, vous redemandent de temps à autre de taper l’adresse e-mail et/ou le mot de passe utilisé. En cas d’oubli, vous pouvez utiliser l’option « J’ai oublié mon mot de passe », présente sur presque tous les sites.

À défaut, sachez qu’il est fort probable que ces informations sont stockées – sous forme cryptée, rassurez-vous – sur votre navigateur Web. Voici comment y accéder.

Sous Chrome

1. Dans le menu de Chrome, sélectionnez Paramètres.

2. Cliquez sur la rubrique Saisie automatique à gauche.

3. Cliquez sur la sous-rubrique Mots de passe.

4. Au milieu de l’écran, vous allez trouver la liste Mots de passe enregistrés.

5. Cliquez sur l’icône d’œil en face de chaque site Web pour afficher votre mot de passe. Si jamais vous avez indiqué un mot de passe d’accès à votre PC, celui-ci vous sera demandé avant d’autoriser cet affichage.

Figure 5.3

Accès à ses identifiants et mots de passe sous Chrome.

Sous Firefox

1. Dans le menu du navigateur, sélectionnez Identifiants et mots de passe.

2. Une fenêtre s’ouvre, appelée Firefox Lockwise, avec les divers sites sur lesquels vous vous êtes inscrit.

3. Cliquez sur l’icône d’œil en face de chaque mot de passe pour l’afficher.

4. Cliquez sur Copier à la droite d’un mot de passe. Il ne vous reste plus qu’à le coller dans la fenêtre demandée sur le site en question.

Notons que, dans un cas comme dans l’autre, vous avez la possibilité de supprimer certains accès. Si vous repérez certains sites que vous n’avez pas visités depuis des années, il est bon d’en éliminer l’accès.

Savoir si l’un de ses accès au Web a été compromis

Les deux principaux navigateurs Web, Google Chrome et Mozilla Firefox proposent des services de vérification de mots de passe. Il est essentiel de savoir les utiliser.

Sous Chrome

L’extension Password Checkup vérifie chaque mot de passe entré sur un site Web. Si tout va bien, l’icône correspondante est affichée en vert. Dès lors qu’un risque existe, l’icône apparaît en rouge. Il faut alors impérativement changer le mot de passe correspondant.

1. Dans le moteur de recherche de Google, tapez Password Checkup.

2. Sélectionnez le résultat Password Checkup extension – Google Chrome. C’est normalement le premier résultat affiché.

3. Cliquez sur Ajouter à Chrome et confirmez ce choix.

4. L’icône de Password Checkup apparaît en haut et à droite.

5. Naviguez sur le Web comme d’habitude. Tant que l’icône est verte, tout va bien (voir Figure 5.4).

6. Si elle s’allume en rouge, il faut changer le mot de passe correspondant. Créez un mot de passe sécurisé comme nous l’avons décrit précédemment (voir Figure 5.5).

Figure 5.4

Si vous installez l’extension Password Checkup de Chrome, celle-ci surveille les mots de passe d’accès aux divers sites consultés. En temps normal, l’icône de l’extension est verte.

Figure 5.5

L’icône Password Checkup de Chrome s’affiche en rouge dès lors qu’il détecte un mot de passe à risque, qu’il faudrait donc modifier immédiatement.

Sous Firefox

Firefox, pour sa part, propose un service qui vérifie si votre adresse e-mail est enregistrée sur un site ayant fait l’objet d’une attaque. Pour opérer cette vérification :

1. Tapez https://monitor.firefox.com dans la barre d’adresses du navigateur.

2. Indiquez votre adresse e-mail dans la fenêtre de dialogue.

3. Firefox analyse alors sa base et vous signale si une fuite de données a déjà eu lieu sur un site particulier (voir Figure 5.6). Lorsque c’est le cas, le même principe de précaution s’impose : changer son mot de passe sur ce site, ou même son adresse e-mail.

Figure 5.6

Firefox Monitor vous indique si l’une de vos adresses est enregistrée sur un site qui a fait l’objet d’une fuite de données.

Si vous remarquez que vous ne visitez plus du tout un site auquel vous étiez inscrit, le plus sûr est de supprimer votre compte. À quoi bon laisser des informations vous concernant sur le Web si vous n’en avez pas usage ?

La fin des mots de passe

Le système des mots de passe a vécu. Il présente trop de déficiences sur le long terme pour pouvoir offrir une sécurité absolue. De nombreux acteurs ont donc réfléchi à des solutions alternatives ou complémentaires. L’authentification à deux facteurs est l’une d’entre elles. Elle est certes efficace, mais d’autres solutions ont toutefois été développées.

Si vous avez un iPhone, vous savez qu’Apple a opté, depuis quelques années déjà, pour la biométrie (la reconnaissance d’attributs physiques) comme sésame de votre appareil : tout d’abord les empreintes digitales, et plus récemment l’identification du visage.

De leur côté, Google, Microsoft, PayPal, Mozilla, Visa, Mastercard, Samsung et d’autres sociétés ont planché sur un nouveau système d’identification, appelé du curieux nom de WebAuthn (contraction de Web authentification). Plutôt que d’entrer un mot de passe, l’utilisateur sera reconnu par divers attributs biométriques, comme l’empreinte digitale ou la rétine, mais aussi par d’autres signaux propres à chacun de nous et qui, une fois combinés, permettront une identification a priori inviolable : forme du visage, caractéristiques de la voix, rapidité de frappe au clavier, etc. Il résultera de l’analyse de ces signaux complémentaires un score de sécurité garantissant une identification sans faille.

Cinq règles qu’il est bon de suivre

Avant de cliquer sur un lien dans un e-mail, regardez quelle est l’adresse du lien en question. Par exemple, un message semblant provenir d’Apple vous demande de confirmer un achat que vous avez effectué sur sa boutique. Vérifiez clairement le lien en question. Vous verrez parfois qu’il ne s’agit pas du site d’Apple mais d’une contrefaçon habile du type magasin-apple.com ou store-apple.fr.

Il peut paraître superflu de vous le signaler, mais dès lors que vous apprenez qu’un site auquel vous êtes inscrit a subi une attaque, changez aussitôt votre mot de passe.

Certains systèmes permettent de récupérer son mot de passe en répondant à des questions simples telles que « Quel est le prénom de votre mère, », « Quel était le nom de votre premier animal domestique ? »… Toutefois, une analyse de certains comptes Facebook pourrait fort bien permettre à un pirate zélé de trouver ces informations. Il vaut mieux choisir volontairement des réponses illogiques. Par exemple, pour le prénom de votre mère, le nom d’un personnage de film masculin que vous adorez – qu’il faudra bien évidemment mémoriser.

Évitez si possible d’utiliser des plug-in tels que Adobe Flash, réputés pour leurs failles de sécurité – il a été désactivé sur le système iOS d’Apple pour cette raison depuis 2010.

Sauf en cas d’urgence, n’accédez pas à des sites sensibles (tels que celui de votre compte bancaire) depuis un autre ordinateur que le vôtre. Généralement, vous n’êtes pas en mesure de savoir si l’ordinateur utilisé chez un ami bénéficie d’un niveau de sécurité élevé.

Les gestionnaires de mots de passe

Jusqu’à présent, nous avons abordé diverses façons de créer un mot de passe sécurisé tout en soulignant quels étaient, à chaque fois, les inconvénients, notamment la difficulté de mémorisation et la nécessité d’avoir, idéalement, autant de mots de passe que de sites visités. Pas facile, tout cela, direz-vous… En effet, si nous résumons les inconvénients à agir de la manière la plus sécurisée qui soit, il faudrait :

Pour chaque site visité, créer un mot de passe différent et complexe – que vous êtes susceptible d’oublier.

Définir un identifiant unique pour chacun d’eux – que, là encore, vous êtes susceptible d’oublier.

Si cette option est proposée, activer l’authentification à double facteur. Et donc, si l’on consulte ces sites depuis un ordinateur autre que l’habituel, entrer les codes complémentaires reçus par SMS.

Il résulte de ces divers niveaux de sécurité une certaine perte de temps. Et si tout cela pouvait être accompli de manière automatique ? C’est ce que permettent les outils logiciels de gestion de mots de passe. L’idée est simple : vos mots de passe sont générés – automatiquement si nécessaire – et sauvegardés au sein d’une base de données externe ultra-sécurisée. Le mot de passe adéquat est ensuite envoyé au site que vous visitez à un moment donné. Parmi les logiciels proposant un tel service figurent 1Password, Dashlane, KeePass et LastPass (voir Figures 5.7 et 5.8).

Figure 5.7

Le site du gestionnaire de mots de passe LastPass. La version gratuite dispose de caractéristiques suffisantes pour satisfaire bien des particuliers.

Figure 5.8

Le site du service 1Password. Il est possible d’effectuer un essai gratuit durant un mois.

Examinons plus en détail l’un d’eux, Dashlane, afin de passer en revue les fonctions habituellement proposées par un gestionnaire de mots de passe.

Dashlane

Dashlane est un gestionnaire de mot de passe sophistiqué. Son action consiste à sécuriser l’accès à vos sites favoris en conservant les mots de passe de chacun dans une base de données chiffrée (cryptée). Le chiffrage en question, variante du système AES 256, est d’une telle complexité qu’il faudrait en théorie environ 1 750 ans pour le « craquer ».

Dashlane invite des spécialistes à tenter de « craquer » son accès

Un aspect rassurant quant à la protection offerte par Dashlane est que cette société emploie en permanence des spécialistes informatiques avec pour mission de tenter de « craquer » l’accès à ses serveurs.

Tout cela est bien beau, allez-vous dire, mais comment se connecte-t-on à Dashlane ? Eh bien… par un identifiant et un mot de passe ! Aurions-nous là le maillon faible du système ? Pas vraiment, si tant est que :

Vous utilisez pour vous connecter à Dashlane un mot de passe sécurisé selon le modèle présenté plus haut.

Vous activez sur Dashlane l’authentification à deux facteurs. Elle est disponible en option mais hautement recommandée. Si quiconque tentait de se connecter à votre compte Dashlane, en admettant qu’il aurait pu découvrir votre mot de passe d’accès à ce service, vous recevriez un code par SMS ou par tout autre système choisi par vous (une adresse e-mail ou une clé USB de sécurité – voir plus bas).

Sur des appareils comme l’iPhone ou l’iPad, vous avez la possibilité de vous connecter à Dashlane avec votre empreinte digitale ou votre visage, ce qui, là encore, assure l’inviolabilité du système.

Coffre-fort numérique

Là n’est pas tout. Dashlane, à l’instar d’autres services du même type, se présente comme un « coffre-fort numérique ». En effet, il œuvre à accélérer les procédures d’inscription comme de connexion aux sites Web de votre choix. Par exemple, si vous devez entrer des informations comme votre adresse complète, votre numéro de téléphone, votre numéro de carte de crédit, votre adresse e-mail, Dashlane se chargera lui-même de remplir les divers formulaires que présentent certains sites Web.

Ce logiciel fonctionne sur PC sous Windows ou Linux, sur Mac, sur smartphones et sur tablettes. Ainsi, avec un seul compte Dashlane, l’usager peut se connecter à ses divers sites Web depuis une multitude d’appareils.

Comment cela se passe-t-il dans la pratique ?

Observons les diverses possibilités :

1. Vous vous connectez à un site sur lequel vous vous êtes déjà inscrit par le passé. Au moment où vous entrez votre mot de passe, une petite fenêtre Dashlane apparaît pour vous demander si vous souhaitez enregistrer ce mot de passe.

2. Lors de votre prochaine visite sur ce même site Web, il ne sera plus nécessaire de vous identifier à nouveau. Le mot de passe sera renseigné par Dashlane – sur certains sites, la connexion est même automatique.

3. Si vous vous inscrivez pour la première fois sur un site visité, Dashlane propose de générer lui-même un mot de passe ultra-sécurisé. Notons au passage que vous ne connaissez pas ce mot de passe ; vous n’avez pas besoin de le connaître.

4. Si un formulaire vous est proposé, les données sont remplies automatiquement.

Alertes et analyse

D’autres fonctions d’un gestionnaire de mots de passe sont extrêmement utiles. Ainsi, Dashlane analyse vos divers identifiants et mots de passe d’accès aux sites enregistrés sur sa base.

Suite à cette analyse, il vous prévient si un mot de passe donné a été utilisé sur plusieurs sites et vous alerte si l’un d’eux présente un risque – par exemple, le site correspondant vient de faire l’objet d’une attaque. Vous avez alors la possibilité de changer le mot de passe incriminé depuis Dashlane (voir Figures 5.9 et 5.10).

Figure 5.9

Dashlane sous Android. Ce service fait remarquer à un usager que, sur trois sites différents, un utilisateur se sert du même mot de passe.

Figure 5.10

Dashlane a analysé les mots de passe d’un utilisateur et a estimé que cinquante-sept d’entre eux sont sécurisés, et que deux sont compromis (les sites en question ont fait l’objet d’une attaque). Un mot de passe particulier a été utilisé sur trois sites différents. Et cinq mots de passe sont considérés comme faibles.

Les clés de protection USB à la norme U2F/Fido

Le système de protection par clé USB de sécurité est une autre forme de protection sûre. Elle fonctionne un peu comme le système d’authentification à deux facteurs présenté au Chapitre 3 dans le cadre de Facebook, mais aussi évoqué ailleurs dans ce livre, comme avec l’application Google Authenticator que vous pouvez charger sur votre smartphone.

Figure 5.11

L’une des clés USB de sécurité les plus répandues – la YubiKey de Yubico. Notez la présence d’un bouton sur lequel il faut appuyer pour s’identifier sur un site Web. Cela engendre l’envoi d’un code secret complexe et suffit à rendre l’accès impossible par une tierce personne.

Une clé USB de sécurité a le même aspect qu’une clé USB classique. Toutefois, au lieu de contenir des données, elle renferme un code de protection chiffré avec un algorithme ultra-sécurisé. Elle est également munie d’un bouton sur lequel vous devez appuyer à un moment donné.

Authentification à deux facteurs

Le système de protection par clé USB de sécurité repose sur un standard baptisé U2F (pour Universal Second Factor, « système universel d’authentification à deux facteurs »). Comment cela se passe-t-il dans la pratique ?

1. Vous vous connectez à un site qui reconnaît le système U2F/Fido.

2. Vous entrez votre identifiant et votre mot de passe, comme à l’accoutumée.

3. Vous insérez la clé USB de sécurité (vous pouvez aussi la laisser branchée en permanence).

4. Vous appuyez sur le bouton de cette clé USB : votre code de sécurité est alors communiqué au site Web en question, et il vous donne alors l’accès.

Il est également possible d’utiliser une clé de forme miniature insérée dans un port USB de l’ordinateur pour protéger l’accès de ce dernier en permanence. Que dire ? Ce système est en mesure de mettre fin au piratage. Il a en effet bien des avantages. Si vous utilisez une telle clé, vous pourriez théoriquement utiliser un mot de passe aussi banal que 123456 sur tous les sites visités, puisque personne ne pourra visiter votre compte ! L’autre avantage, c’est que vous n’avez pas de code à taper comme dans le cas d’une authentification à deux facteurs faisant intervenir le téléphone mobile. Le code de sécurité est transmis par la clé USB – et d’ailleurs, vous ne le connaissez pas !

Un inconvénient toutefois : il faut toujours avoir avec soi cette clé de sécurité. Si vous oubliez d’emporter la clé USB de sécurité lors d’un déplacement, vous ne pourrez plus accéder aux sites Web sur lesquels vous êtes inscrit. Une solution serait de l’accrocher à l’anneau de vos clés de domicile.

Certains poseront la question : « Et si je perds ma clé USB de sécurité » ? Pour vous en sortir dans une telle situation, il faut prévoir un système alternatif d’accès sécurisé à vos données tel que Google Authenticator. Un grand nombre de sites ont heureusement prévu d’autres portes d’entrée, comme le code secret envoyé sur mobile.

Qu’est-ce que le standard U2F/Fido ?

Le standard U2F résulte d’une initiative prise par la société Google, en premier lieu pour ses besoins personnels. Depuis qu’elle a mis à contribution ce système, aucune faille de sécurité n’a été observée.

U2F a reçu le soutien d’acteurs tels que Microsoft, Amazon, Intel, PayPal, Samsung et bien d’autres dans le cadre d’une alliance du nom de Fido. L’importance de ces acteurs est un signe de l’intérêt porté à cette solution. En effet, tous souhaitent pallier la faiblesse du mécanisme des mots de passe.

En dépit de l’envergure de tels parrains, ce système n’a encore été adopté – à l’heure où sont écrites ces lignes – que par un nombre restreint de sites Web d’envergure. Microsoft, Google, Apple et Amazon sont au rendez-vous, ainsi que la plupart des grands réseaux sociaux : Facebook, Twitter, Reddit, Snapchat… Par ailleurs, il est pris en compte par les gestionnaires de mots de passe tels que Dashlane ou LastPass. En revanche, aucune grande banque ne l’avait encore rejoint en août 2019 ; des plateformes musicales célèbres comme SoundCloud ou Spotify n’y étaient pas présentes ; et hormis Electronic Arts, aucun grand service de jeu en ligne n’y figurait encore. Le problème qui se présente donc, du moins au deuxième semestre 2019, est que, si vous achetez une telle clé USB de sécurité, elle risque fort de ne pas fonctionner sur certains sites majeurs.

Chapitre 6

Les fichiers

Dans son livre l’Homme numérique datant du milieu des années 1990, le chroniqueur Nicholas Negroponte relate une anecdote. Il s’était rendu dans un hôtel, où il avait confié son PC à la réception pour quelques heures. La réceptionniste devait remplir un formulaire relatif au dépôt – notamment des informations pour l’assurance – et lui avait donc demandé la valeur à renseigner pour ladite machine. Negroponte lui avait indiqué une valeur très élevée, comme 300 000 dollars. La réceptionniste, amusée, avait préféré noter sur la feuille le prix d’un PC d’alors, soit environ 2 000 dollars. Où s’est située l’erreur, selon Negroponte ? Dans le fait que la réceptionniste avait estimé la valeur du PC en fonction du prix de l’objet physique vendu en magasin. Or, explique-t-il, sa valeur résidait dans le contenu, et non dans le contenant. Et il estimait pour sa part ce contenu à plusieurs centaines de milliers de dollars !

Eh oui… On ne peut pas estimer la valeur d’un PC au seul coût de ses composants électroniques, de son écran ou de la date de sortie du modèle. De tels critères s’appliquent à un téléviseur, à un autoradio ou à un lecteur Blu-ray, mais pas à un ordinateur. Prenons le cas d’un Mac qui abrite la comptabilité d’une microentreprise, des centaines de chansons acquises sur iTunes ou un jeu vidéo développé par son propriétaire : sa valeur serait considérable.

Toutes les informations sont stockées sur le disque dur de l’ordinateur dans des fichiers. Les fichiers représentent donc ce qu’il y a de plus précieux pour l’utilisateur du PC ou du Mac. Nous touchons clairement ici un point sensible, car l’action de nombreux programmes nuisibles a pour résultat de contrarier ou d’interdire l’accès à des fichiers vitaux. Les fichiers sont le trésor d’un ordinateur : il est essentiel de les protéger.

Le maître mot : sauvegarde

De par la nature de leurs supports de stockage, les fichiers sont fragiles. Un disque dur peut tomber en panne à la suite de la chute malencontreuse de l’ordinateur (surtout s’il est portable). La durée de vie des disques durs – nous en reparlons plus bas – s’est fortement améliorée au fil des décennies, notamment celle des modèles de type SSD ou Flash, car ils n’ont pas de composants mécaniques. Néanmoins, même dans le cas des disques SSD, cette longévité a des limites.

La bonne nouvelle, c’est que les fichiers eux-mêmes ont une durée de vie potentielle infinie. Quelle en est la raison ? Tout simplement parce qu’il est extrêmement facile de les dupliquer, en d’autres termes d’en créer des copies parfaites. À partir de 1997, ce fait a suscité bien des émois dans l’industrie de la musique : lorsque l’on copie un fichier musical au format MP3, cette copie est identique à l’original. Des centaines de milliers de copies illégales de morceaux de musique se sont ainsi retrouvées sur autant de disques durs, laissant les magnats du disque longtemps impuissants.

Cette facilité de duplication des fichiers a néanmoins du bon. Car la clé de la survie de vos fichiers tient dans un mot : la sauvegarde ! Un disque dur pourrait devenir inopérant, que ce soit par l’action d’un virus, d’une attaque ou d’une déficience mécanique. Aussi longtemps que vous disposez d’une sauvegarde, pour vous, le soleil brille !

En réalité, il nous faut écrire ce mot au pluriel. Il est préférable de gérer au moins deux sauvegardes de vos fichiers les plus précieux, l’une en ligne (sur un cloud sécurisé) et l’autre sur un support physique externe, déconnecté d’Internet. Et soulignons ces deux derniers mots : déconnecté d’Internet ! Si vous possédez trois sauvegardes, la protection n’en sera que meilleure…

Les menaces qui pèsent sur les disques durs

Les disques durs à l’ancienne (non SSD) ont une durée de vie élevée. Datalab Center, un service spécialisé dans la récupération de données, dit recevoir des disques durs dont l’âge varie entre quelques mois et une dizaine d’années ! Et nous connaissons de nombreux utilisateurs qui ont le même disque dur en usage depuis une vingtaine d’années. Cette endurance est due au fait que la tête de lecture n’entre jamais en contact avec les plateaux en rotation : elle se contente de « raser » le revêtement magnétique. Cependant, étant donné qu’ils intègrent des éléments mécaniques, les disques durs classiques ne sont pas à l’abri d’une défaillance. Il suffit qu’accidentellement la tête se retrouve brièvement en contact avec le plateau pour que la zone en question devienne inutilisable.

Les disques durs à l’ancienne sont sensibles aux chocs et aux secousses, particulièrement s’ils sont en train de fonctionner. Certains plateaux de disques durs mécaniques sont réalisés en verre. Si le disque tombe sur le sol, les plateaux se brisent en plusieurs morceaux. Toute récupération de données est alors impossible.

Les disques SSD se distinguent par une rapidité d’accès aux données bien meilleure que celle des disques durs classiques, puisqu’il n’y a pas de tête de lecture à déplacer. Leur durée d’opération est plus longue, allant jusqu’à plusieurs dizaines d’années. Toutefois, le mode de fonctionnement de leur mémoire Flash n’a pas une durée de vie illimitée : les cellules qui servent au stockage peuvent faire l’objet d’environ 3 000 à 100 000 cycles d’écriture selon les modèles, mais guère davantage : au-delà, les cellules deviennent inopérantes. Les fabricants de disques SSD pallient cette limitation en veillant à répartir les données sur toutes les cellules.

Une forte augmentation de température nuit également à la longévité des disques durs. Elle survient notamment en cas d’encrassement des grilles d’aération, et il est donc préférable de les nettoyer régulièrement.

Par temps orageux, la foudre peut sérieusement élever la tension électrique. La carte de circuits imprimés risque de griller, et le firmware (logiciel qui gère le disque dur) n’est alors plus en mesure de lire les données correctement. Il est préférable, dans le cas d’une telle condition atmosphérique, de débrancher votre ordinateur de sa source électrique.

Des virus et autres programmes nuisibles sont en mesure d’entraîner eux aussi une altération des données. Cet aspect a été traité dans d’autres chapitres. L’une des menaces les plus graves est liée aux rançongiciels (ransomwares) : un pirate crypte les fichiers à l’aide d’une clé de chiffrement connue de lui seul. S’il ne dispose d’aucune sauvegarde sécurisée, celui qui souhaite récupérer ses fichiers doit alors verser une rançon, souvent en bitcoins, sur un compte précis. Le problème des rançongiciels est traité au Chapitre 4. Il est essentiel de consulter la section qui explique comment se protéger d’une telle attaque.

Ne tentez pas de réparer votre disque dur

Si un disque dur tombe en panne, il est déconseillé de tenter de le réparer soi-même. Le risque existe en effet que des poussières s’introduisent dans les composants, ce qui occasionnerait la perte définitive des données.

La réparation des disques durs s’opère en « salle blanche », c’est-à-dire dans une pièce où la concentration en particules est minime. Les techniciens travaillent avec des combinaisons afin de ne pas « contaminer » le matériel, que ce soit par leurs vêtements ou des cheveux.

Le cloud

L’informatique en « nuage » (cloud en anglais) permet de stocker des fichiers à distance, sur des serveurs informatiques externes auxquels on accède par Internet. Il existe bon nombre de solutions de stockage dans le cloud, dont les plus connues sont les suivantes :

Apple iCloud ;

Google Drive ;

Microsoft OneDrive ;

Dropbox.

Ils ont l’avantage d’afficher un niveau de sécurité honorable. Seul bémol : tous sont américains, et nous savons depuis juin 2013 que les géants du Web ouvrent une porte vers la NSA, l’agence de renseignement américaine. Une grande entreprise française pourrait décemment trouver à y redire.

Il existe des services de cloud français sécurisés, tels que Wimi Teamwork, Qual.IT Cloud ou 3DS Outscale, qui tous nous assurent que les données sont stockées physiquement sur le sol français. Ces diverses offres sont payantes.

Notons qu’il ne faut pas confondre la présence de ses fichiers sur des clouds comme celui de Google ou d’Apple avec une activité de sauvegarde sélective et automatisée. Généralement, de tels services opèrent avant tout une synchronisation : en d’autres termes, la copie sur le cloud est identique à ce qui se trouve sur votre PC. Si vous souhaitez sauvegarder une série de fichiers non présents sur l’ordinateur habituel (comme dans le cas d’archives), il faut alors opérer ce transfert « manuellement ».

Que dire des offres gratuites ? La plupart des fournisseurs d’accès Internet (Bouygues, Free, Orange, etc.) proposent un cloud gratuit pour un volume de données plutôt important. Toutefois, dans un cadre professionnel, il paraît plus sûr de confier ses sauvegardes à une entreprise affichant des critères de protection des données ultra-élevés.

Pour 6 € par mois (prix en janvier 2020), la société Backblaze propose une sauvegarde illimitée et se targue d’un niveau de sécurité élevé grâce à un chiffrage des données et une technologie maison qui ne repose pas sur le logiciel Java, hélas réputé pour ses failles. Parmi les autres solutions de sauvegarde ultra-sécurisée, citons Acronis True Image, qui pour sa part nécessite un paiement unique de 49 € par ordinateur (prix en janvier 2020) (mais avec des mises à jour payantes), ou IDrive, qui propose une version gratuite jusqu’à 5 Go et passe à environ 46 € par an pour 2 To (prix en janvier 2020). La sécurisation des données apportée par de tels services justifie amplement ces tarifs.

Les avantages d’un stockage des données sur un serveur externe

Stocker ses fichiers sur un serveur externe, est-ce une bonne solution ? À première vue, les avantages sont nombreux :

La plupart des fournisseurs de cloud cryptent les données et mettent en œuvre des systèmes de protection avancée de leurs serveurs. Les données ainsi conservées sont théoriquement à l’abri d’une attaque.

Certains de ces services permettent d’activer l’authentification à deux facteurs, telle que présentée dans le Chapitre 3 et conseillée à divers endroits de ce livre, notamment le Chapitre 5, relatif aux mots de passe.

Il est possible d’intervenir sur vos fichiers quel que soit l’endroit où vous vous trouvez, y compris depuis d’autres ordinateurs que le vôtre.

Les fichiers que vous créez ou modifiez sont automatiquement sauvegardés sur cet espace externe.

Les clouds des grandes sociétés de l’économie numérique (Apple, Microsoft, Google, Free, etc.) sont gratuits jusqu’à un certain volume de données, ce qui peut convenir pour des particuliers.

Certains services tels que Dropbox facilitent le partage de fichiers entre plusieurs utilisateurs, en fournissant une adresse Web personnalisée.

Sept règles à suivre avec un serveur externe

Idéalement, activez (lorsqu’elle est disponible) l’authentification à deux facteurs. Si un intrus tente d’accéder à votre cloud depuis un ordinateur inhabituel, cela provoquera l’envoi d’un code de sécurité sur votre mobile ou par e-mail, empêchant ainsi l’intrusion (voir Figure 6.1). Qui plus est, si jamais vous oubliez votre mot de passe d’accès au cloud, il y a là une possibilité de le retrouver. Si le service gère Google Authenticator, vous pouvez préférer cette approche qui repose sur une application mobile et vous épargne de taper un code.

Figure 6.1

Si l’authentification à deux facteurs est activée et qu’un accès à votre cloud soit demandé depuis un PC inhabituel, un code ou une demande de validation est envoyé sur votre mobile.

Préférez les fournisseurs de clouds/services de sauvegarde qui assurent un cryptage des données. Certains vous proposent de gérer vous-même une clé de protection (c’est-à-dire une suite de chiffres) connue de vous seul. Revers de cette solution : si vous égarez cette clé, il sera définitivement impossible de recouvrer vos fichiers – le fournisseur de cloud en sera lui-même incapable.

Utilisez un mot de passe ultra-sécurisé pour l’accès au cloud, comme expliqué au Chapitre 5.

Activez un VPN – un logiciel qui masque votre adresse IP et vos trafics de données – dès lors que vous êtes connecté au cloud.

Attention : si la synchronisation est active, l’effacement d’un fichier sur le cloud se reproduit sur tous les PC connectés à ce dernier. Généralement une copie est accessible dans la corbeille du cloud durant une certaine période – voir l’encadré « La synchronisation du cloud fonctionne aussi pour la suppression ! ».

La précaution recommandée est, comme nous l’avons dit plus haut, de sauvegarder une copie de vos fichiers sur un disque dur local, en plus du cloud, et – au risque de nous répéter – une fois déconnecté d’Internet.

La synchronisation du cloud fonctionne aussi pour la suppression !

Par défaut, le paramétrage de nombreux clouds – notamment Google Drive – affecte tous les ordinateurs reliés à ces derniers. Par exemple, si vous modifiez un fichier sur votre PC, il sera modifié sur la version cloud. Inversement, si vous renommez un fichier dans le cloud, cette modification sera reportée sur le PC.

Seulement, voilà : parfois, vous serez tenté de supprimer des fichiers sur le cloud pour gagner de la place, afin de stocker d’autres fichiers que vous jugez plus importants à un moment donné. Or, sur un cloud tel que Google Drive, si l’on opère avec le réglage par défaut, la suppression d’un fichier en ligne se répercute sur le PC !

Imaginez qu’un compte Google Drive soit partagé entre plusieurs ordinateurs d’une même entreprise – ce qui est souvent le cas – et qu’un employé juge opportun de supprimer certains fichiers de ce cloud afin d’y stocker un gros fichier : les fichiers effacés en ligne disparaîtront également de tous les PC connectés à ce cloud !

Si jamais cela devait se produire, sachez que, normalement, ces fichiers supprimés restent un certain temps dans la corbeille de Google Drive et qu’il est donc possible de les restaurer. Si, en revanche, ils ont été supprimés de cette dernière, il n’y a pas moyen de les recouvrer…

Le mieux est d’aller dans les préférences de votre cloud et de désactiver cette option de suppression automatique des deux copies (voir Figure 6.2).

Figure 6.2

Il peut être utile de valider l’une de ces deux options : « Demander avant de supprimer les deux copies » ou encore « Ne jamais supprimer les deux copies ».

Sauvegarder ses fichiers sur un disque externe

Une deuxième copie de vos fichiers doit idéalement résider sur un disque dur externe. Cette deuxième sauvegarde est indispensable pour le cas, certes rare, mais pourtant déjà constaté, où la copie présente sur le cloud serait attaquée.

Une brèche dans le cloud d’Amazon due à un ancien employé

Il n’est pas possible d’exclure la possibilité, certes infime, qu’un employé travaillant pour une société de cloud laisse passer en interne des requêtes indues. Ainsi, même le service de cloud d’Amazon – l’un des plus réputés au monde, et tellement sécurisé que la CIA y recourt pour sauvegarder ses données – a connu une brèche sur ses serveurs entre mars et juillet 2019 qui a touché le no 3 des cartes bancaires aux États-Unis. Peu après, une ex-employée d’Amazon a été arrêtée pour avoir facilité une fuite de données.

Il importe de procéder à la sauvegarde de ses fichiers vitaux de façon régulière, par exemple, une fois par semaine – et même quotidiennement si vous gérez une petite entreprise à partir de votre PC et que celle-ci enregistre des commandes fréquentes. Si la sauvegarde est trop ancienne, le risque existe de perdre les informations relatives à des transactions récentes. Idéalement, les actions suivantes sont recommandées :

Effectuez la sauvegarde sur le disque dur externe après vous être déconnecté d’Internet.

Vous pouvez utiliser un logiciel de cryptage des données (voir Chapitre 1) tel que 7-Zip ou la fonction BitLocker de Windows 10 (ou FileVault sur Mac). S’il s’agit d’une bonne démarche, il faut savoir que ce type de service ralentit parfois le PC.

Ayez toujours un antivirus à jour et actif.

Activez les options éventuelles de lutte contre les rançongiciels de votre antivirus ou de Windows 10. Rappelons au passage qu’il ne faut jamais ouvrir de pièce jointe sauf si vous êtes absolument sûr de l’émetteur et de la pièce en question. Utilisez plutôt des services comme WeTransfer pour échanger des fichiers.

Sur Mac, vous pouvez activer la fonction Gatekeeper qui n’autorise que les applications acquises depuis l’App Store ou provenant de développeurs clairement identifiés, ce qui vous protège contre des logiciels de source douteuse.

Le PC africain qui a sauvé une multinationale

Un expert de la sécurité chez Microsoft a raconté l’anecdote suivante. Un rançongiciel avait attaqué le système informatique d’une multinationale et s’était propagé sur tous les ordinateurs, de filiale en filiale. La chance a voulu que, en contactant ces diverses filiales, on ait fini par découvrir qu’un seul et unique PC n’avait pas été infecté : par négligence, les responsables du centre informatique de cette filiale située dans un pays d’Afrique n’avaient pas encore opéré la sauvegarde en ligne des données… À partir de ce seul PC miraculeusement demeuré à l’abri du rançongiciel, la multinationale a pu restaurer tous ses PC !

Notons au passage que, si elle avait pris l’habitude d’effectuer des sauvegardes régulières sur des disques durs externes tout en étant déconnectée d’Internet, cette entreprise aurait également été sauve.

Chapitre 7

Votre téléphone mobile

Nos smartphones font aujourd’hui partie de nos objets les plus précieux.

Ces véritables « couteaux suisses » servent à la fois de :

téléphone ;

appareil photo et vidéo ;

carnet d’adresses ;

agenda ;

GPS ;

réveil-matin ;

baladeur musical ;

boîte de messagerie ;

fenêtre sur le Web ;

album photos ;

console de jeux ;

etc.

Autant dire qu’ils intègrent bien des éléments de la vie de chacun. C’est pourquoi ils devraient être soumis aux mêmes principes de précaution que nos ordinateurs. Ne laissons pas rimer facilité d’accès et d’opération avec désinvolture, car les diverses applications intégrées ont vue directe sur l’océan de nos informations privées.

Comment identifier les appels frauduleux

Les arnaqueurs au téléphone agissent souvent avec le même mode opératoire :

Vous recevez un appel, mais dès que vous décrochez, la personne au bout du fil raccroche, dans le but de vous faire rappeler le numéro et de vous faire payer une surtaxe.

Vous recevez un appel ou un SMS vous demandant de rappeler votre banque de toute urgence pour régler un problème avec votre carte ou votre compte bancaire.

Un message vocal enregistré vous annonce que vous avez gagné à un jeu concours (auquel vous n’avez jamais participé), vous enjoignant de rappeler tel numéro pour connaître la façon de récupérer vos gains.

Etc.

En cas de doute poussé, envoyez un SMS au 33700 (ou rendez-vous sur le site 33700.fr) et suivez la procédure de signalement affichée pour dénoncer ce numéro. La plupart des opérateurs téléphoniques proposent une option de blocage de vos appels vers les numéros surtaxés.

Un ami dans la détresse demande par SMS d’appeler un certain numéro

« Pourrais-je te parler en toute confidentialité ? Surtout garde ce message pour toi uniquement. » Est-ce vraiment l’habitude de vos connaissances que de vous envoyer un tel appel à l’aide ? Méfiez-vous de ces phrases censées créer une relation de complicité. Il s’agit probablement d’un détournement de numéro destiné à vous soutirer de l’argent. N’appelez pas le numéro indiqué, ne répondez pas par SMS. Le mieux à faire est d’appeler directement votre connaissance pour savoir si elle est à l’origine de ce message. Vous serez vite fixé.

Si vous appelez le numéro indiqué dans le SMS, il se peut que vous tombiez sur une personne qui prétend prendre votre appel à la place de votre ami « qui ne peut pas parler pour l’instant » ! Il en sera de même si vous répondez à son message. Le fraudeur vous racontera que votre ami a été victime d’une agression, d’un vol de portefeuille, etc., et que cet ami vous implore de le dépanner, par un prêt d’argent qui vous sera remboursé au plus vite. Qu’il vous suffit pour cela d’acheter des cartes prépayées et de lui en donner les codes (ou tout autre moyen similaire de versement).

Généralement, ceux qui sont tombés dans le panneau une fois ne se font pas avoir une deuxième fois. Toutefois, si cela ne vous est jamais arrivé, mieux vaut être prévenu.

Identifier les numéros surtaxés

Lorsque vous appelez un numéro surtaxé, même si vous ne laissez qu’un message ou n’envoyez qu’un SMS, un surcoût est facturé sur votre abonnement téléphonique.

Seuls certains formats de numéros sont susceptibles d’être surtaxés. Ils sont de trois types :

les numéros à dix chiffres commençant par 081, 082 ou 089 ;

les numéros à quatre chiffres commençant par 1 ou 3 ;

les numéros à six chiffres commençant par 118.

Ce ne sont pas forcément des numéros d’arnaques, car certains services utilisent ce système pour rémunérer leur prestation. Si c’est le cas, vous remarquerez toutefois que le service en question indique clairement que l’appel est surtaxé et combien il va vous en coûter. La tarification est établie soit à la durée (tant d’euros la minute), soit de façon forfaitaire (facturation à l’acte). Parfois, les deux se cumulent (tant d’euros l’appel et tant d’euros la minute).

Surtaxe non annoncée

Si, au moment de l’appel, l’annonce tarifaire n’est pas délivrée, vous pouvez saisir les services de la Direction départementale de la protection des populations (DDPP) du département où est implanté l’émetteur de l’appel ou du message. Ces informations sont récupérables sur l’annuaire inversé des numéros SVA (services à valeur ajoutée) à l’adresse infosva.org. N’hésitez pas à consulter ce site avant d’appeler un numéro qui vous semble suspect.

Personnaliser le code PIN

Le code PIN (Personal Identification Number) est le mot de passe constitué de chiffres qui permet de débloquer votre carte SIM. Par défaut, c’est une suite de zéros : il est facile de conclure que c’est la première combinaison que taperaient ceux qui tenteraient d’avoir accès à votre smartphone. D’où l’importance de le personnaliser.

Les cartes SIM possèdent en fait deux codes PIN :

Un pour l’ouverture du smartphone. Après trois saisies erronées de ce code PIN 1, l’appareil se bloque, et il vous faudra alors le code PUK pour débloquer votre carte SIM – voir plus bas.

Un autre pour accéder au réseau de téléphonie mobile géré par votre opérateur (Orange, Free, SFR, Bouygues…). Si vous tapez trois fois de suite un mauvais code PIN 2, il faudra cette fois-ci appeler le service clients de l’opérateur pour obtenir le code de déverrouillage (PUK).

Comment personnaliser le code PIN

Dans la plupart des smartphones, la personnalisation du code PIN se trouve dans le menu Réglages ou Paramètres :

1. Ouvrez la section Sécurité ou Téléphone ou encore Touch ID et code.

2. Sélectionnez Modifier votre code PIN ou Changer le code.

3. Tapez l’ancien code si nécessaire, puis le nouveau. Ne choisissez pas vos jour et mois de naissance ou autre code facile à trouver avec des recherches croisées !

Qu’est-ce que le code PUK ?

Le code PUK (PIN Unlock Key, « clé de déblocage du code PIN ») est composé de huit chiffres. Il est en général fourni avec la carte SIM – à chaque nouvelle carte SIM correspond un nouveau code PUK. Si vous ne l’avez plus en votre possession :

Appelez le service clients de votre opérateur afin qu’il vous le donne. Il faudra bien sûr prouver que vous êtes bien le propriétaire de la carte.

Retrouvez-le dans votre espace clients en ligne, à la rubrique Dépannage, Assistance ou Urgence.

Demandez-le en boutique, après vérification par les services de l’opérateur que la carte SIM concernée vous appartient vraiment.

Les risques de transfert Bluetooth entre téléphones

Le Bluetooth est un réseau personnel sans fil de courte portée. Il varie de quelques mètres à une centaine de mètres de portée pour les appareils les plus puissants.

Vous voulez transférer une photo ou un contact à l’une de vos connaissances à proximité ? Rien de plus simple : activez le Bluetooth de vos smartphones respectifs, sélectionnez l’appareil de l’autre personne sur le vôtre et recevez le mot de passe temporaire autorisant la mise en relation des deux dispositifs (qui est le même pour les deux appareils).

Ça, c’est dans le monde idéal, où vous avez activé cette mesure de sécurité. Car, dans la plupart des cas, les appareils vendus ne sont pas paramétrés par défaut avec l’emploi du mot de passe. Cela veut dire que n’importe qui, dans un café, un restaurant, une salle de réunion, peut activer le mode Bluetooth de son smartphone, opérer une détection automatique pour trouver un appareil compatible dans un rayon de dix mètres et s’y connecter ! Cette personne pourrait alors récupérer le contenu de votre répertoire ou de votre album photos, ou surfer gratuitement sur Internet via votre forfait 4G. le tout sans que vous vous en rendiez compte !

Il est donc préférable de rendre votre mobile (ou votre tablette) indétectable par défaut et d’activer l’authentification mutuelle. Plusieurs paramètres bien configurés vous épargneront de mauvaises surprises :

1. Dans Réglages ou Paramètres, vérifiez tout d’abord que la connexion Bluetooth est désactivée, afin de rendre indétectable votre appareil.

2. Au même endroit, désactivez le service de localisation (qui se trouve parfois dans Données cellulaires).

3. Toujours depuis Réglages ou Paramètres, désactivez la fonction Partage de connexion ou Point d’accès mobile.

Après avoir partagé des données avec un autre appareil via le Bluetooth, n’oubliez pas de le désactiver à nouveau, en réitérant les étapes ci-dessus.

Comment sauvegarder les données de son mobile

Le meilleur moyen de ne pas perdre les précieuses informations engrangées sur votre smartphone est encore de les enregistrer sur un cloud sécurisé. Il existe diverses façons de procéder, que ce soit via Google Drive ou Apple iCloud. Mais encore faut-il que la sauvegarde automatique soit activée sur votre téléphone.

Sauvegardez vos données sur Android

1. Pour déclencher une sauvegarde ponctuelle, allez dans Paramètres et sélectionnez le menu Comptes et sauvegarde, puis Sauvegarde et restauration et Compte Google. Vous devez bien sûr posséder un compte Google dans lequel copier vos informations.

2. Enregistrez votre sauvegarde sur Google Drive en cliquant sur Sauvegarder maintenant.

3. Les paramètres de l’appareil, les contacts, les applications et les historiques d’appels seront alors enregistrés sur ce cloud.

Notez que pouvez également transférer vos données sur une carte SD !

La plupart des smartphones Android intègrent un logiciel de sauvegarde automatique des SMS et MMS. Il se trouve généralement dans Paramètres, Comptes et sauvegarde, Sauvegarde et restauration. Une fois votre sauvegarde paramétrée, choisissez l’emplacement de votre sauvegarde (mémoire interne, cloud). Si l’option n’apparaît pas dans votre smartphone, il reste des applications tierces, comme SMS Backup & Restore.

Sauvegardez vos données sur un iPhone

Sur les iPhone (et les iPad), la sauvegarde des données est effectuée quotidiennement sur le service iCloud – gratuit jusqu’à 5 Go. Si vous recevez des messages vous indiquant que votre espace iCloud est saturé, vous pouvez soit changer de forfait, soit indiquer quelles sont les données qu’il doit sauvegarder.

Pour régler iCloud :

1. Sélectionnez Réglages, puis touchez votre nom.

2. Choisissez iCloud.

3. L’iPhone indique l’espace occupé par vos données sur ce cloud (par exemple, 3,2 Go sur 5 Go). Touchez Gérer le stockage.

4. Si vous souhaitez augmenter l’espace de stockage sur le cloud, choisissez Changer de forfait puis l’option souhaitée.

5. Si vous souhaitez restreindre le stockage de certaines applications sur iCloud, touchez la flèche à droite de cette application, puis Supprimer les données. Notez qu’il faudra réinstaller l’application en question si vous souhaitez l’utiliser à nouveau.

Pour un iPhone, la sauvegarde ponctuelle s’effectue soit par iCloud, soit par iTunes. Par iCloud :

1. Connectez votre appareil à un réseau Wi-Fi.

2. Allez dans Réglages, touchez votre nom, puis iCloud.

3. Activez Sauvegarde iCloud puis touchez Sauvegarder maintenant. Restez connecté jusqu’à la fin de l’opération.

Si vous passez par iTunes sur Mac ou PC, assurez-vous de disposer de la version mise à jour du logiciel. Puis effectuez les étapes suivantes :

1. Ouvrez iTunes sur l’ordinateur.

2. Connectez votre iPhone à votre ordinateur.

3. Sélectionnez votre iPhone lorsqu’il apparaît dans la liste.

4. Cliquez sur Sauvegarder maintenant.

Récupérer les données de son ancien appareil sur un nouveau modèle

Sur Android

1. Lorsque vous allumez votre nouveau mobile pour la première fois (ou après une réinitialisation), le système vous demande de vous connecter à votre compte Google.

2. Choisissez l’appareil présent sur ce compte dont vous souhaitez effectuer la restauration des données.

3. Il vous suffit ensuite de sélectionner les applications à synchroniser.

Notons que les méthodes peuvent différer selon l’appareil. Si nécessaire, allez sur le site d’assistance du fabricant du nouveau smartphone. Google propose une liste de divers fabricants de modèles Android avec leur lien, pour un accès rapide : https://support.google.com/android/answer/3094742.

Sur iPhone

Si vous avez conservé votre ancien appareil, l’iPhone vous demande simplement de placer les deux smartphones (l’ancien et le nouveau) côte à côte, puis d’activer le Bluetooth. Il copie alors les données de l’un sur l’autre.

Sinon, voici comment restaurer la sauvegarde d’un iPhone à partir d’iCloud :

1. S’il s’agit d’un appareil acheté d’occasion, effacez-en le contenu via Réglages/Général/Réinitialiser.

2. Confirmez avec votre code de sécurité et votre mot de passe associé à votre identifiant Apple.

3. Quand vous rallumez votre appareil, un message « Bonjour » apparaît.

4. Suivez les instructions de configuration affichées.

5. Une fois arrivé à l’écran Apps et Données, touchez Restaurer à partir d’iCloud.

6. Connectez-vous à votre compte Apple et choisissez votre sauvegarde.

Localiser un téléphone égaré

Après avoir retourné les poches de nos vestes et sacs, cherché sur les tables et appelé notre numéro via un autre mobile pour tenter de repérer notre outil précieux, il est temps de nous rabattre sur les applications de localisation. La première est celle intégrée par défaut dans notre appareil.

Il va de soi que si vous voulez retrouver votre smartphone en le géolocalisant, il faut en premier lieu que les fonctions qui vous permettront de le situer aient été paramétrées.

Réglez la localisation de votre smartphone

L’application qui permet de localiser votre appareil est normalement activée par défaut, ce qui n’empêche pas de vérifier que c’est bien le cas.

Sur iPhone

1. Allez dans Réglages/Confidentialité.

2. Activez Service de localisation.

3. Allez dans Services système et activez l’option Localisez mon iPhone, si ce n’est pas déjà le cas.

Sur Android

1. Allez dans Paramètres/Confidentialité/Protection (ou Sécurité/Localiser mon appareil, ou encore une entrée telle que Emplacement ou Position).

2. Activez la localisation.

3. Pour que l’application Localiser mon appareil de Google Play puisse détecter votre mobile, il faut que ce dernier soit visible. Rendez-vous sur play.google.com/settings et, dans la section Visibilité, sélectionnez votre smartphone.

Repérez votre mobile

Localiser avec Google

Si vous détenez un compte Google, vous avez la possibilité de localiser votre appareil ainsi :

1. Depuis le menu Sécurité du compte, allez dans la section Votre appareil/Rechercher un appareil perdu.

2. Sélectionnez votre smartphone.

3. Vous devrez retaper le mot de passe de votre compte.

4. Décidez du comportement à adopter selon les choix proposés.

Localiser avec android.com/find

1. Rendez-vous sur le site android.com/find.

2. Vous êtes redirigé sur votre compte Google, qui tente de géolocaliser votre appareil.

3. À l’étape suivante, plusieurs options vous seront proposées.

4. Choisissez de faire sonner votre téléphone.

Puisque nous en sommes à la sécurisation, profitez-en pour vérifier les objets connectés à votre compte :

1. Toujours dans la section Sécurité, cliquez sur Sécuriser le compte.

2. Si un ancien smartphone apparaît encore dans votre liste, supprimez-le afin de rompre le lien entre celui-ci et votre compte.

3. Parcourez les paramètres de GPay (dans le menu Paiements et Abonnements) pour y effacer toute donnée que vous ne souhaitez pas garder sur le smartphone.

Localiser un iPhone

Si vous avez perdu votre iPhone :

1. Depuis un autre iPhone, iCloud sur votre ordinateur ou sur un iPad, connectez-vous à votre compte iTunes/iCloud.

2. Ouvrez l’application Localiser.

3. Tous vos appareils Apple rattachés à votre compte apparaissent sur une carte.

4. Sélectionnez l’appareil perdu ou volé, puis faites-le sonner.

Applications tierces de localisation et sécurisation

Sur Android

De nombreuses applications tierces assurent cette fonction de localisation et de protection des données de vos mobiles. Parmi les mieux notées sur Android, citons Google Find My Device, Anti-Theft Alarm (qui, entre autres, déclenche une alarme forte chaque fois que le mobile est chargé) ou encore Where’s My Droid.

D’autres applications vont plus loin. CrookCatcher ou Cerberus Phone Security prennent en silence une photo de la personne qui tente de déverrouiller votre Android avec des codes erronés et vous envoient par e-mail cette photo avec les coordonnées GPS de l’appareil. Avast antivirus – Mobile Security & Virus Cleaner intègre non seulement les mêmes options que CrookCatcher, mais permet également d’écouter les conversations autour de votre téléphone, ce qui peut vous donner des indications supplémentaires sur le lieu où l’appareil se trouve. Le mode furtif de ces deux applications dissimule automatiquement leur présence sur votre smartphone.

Sur iPhone

Apple a pour sa part annoncé la sortie de l’application Find My, qui regroupe les applications Localiser mes amis et Localiser mon iPhone. Elle est disponible sur iOS 13 et sur macOS Catalina ainsi que sur les versions ultérieures de ces systèmes.

Que faire en cas de vol de votre smartphone ?

Si votre smartphone ou votre tablette vient d’être volé, vous pouvez le bloquer à distance en portant plainte et en communiquant le numéro IMEI (International Mobile Equipment Identity) à quinze chiffres de votre appareil, qui vous a été transmis lors de l’achat de ce dernier. L’opérateur a l’obligation dans les quatre jours de « blacklister » (ajouter sur une liste noire) l’appareil, ce qui rend impossible toute utilisation du réseau.

Le numéro IMEI est indiqué dans Réglages/Général/Informations (sur iPhone) ou dans Paramètres/À propos du téléphone/État. Une façon rapide de l’afficher consiste à taper sur le clavier de votre téléphone la combinaison *#06#.

En cas de perte ou de vol, il est important par ailleurs de supprimer le plus vite possible les informations de votre smartphone et de le verrouiller. Voici la marche à suivre.

Sur Android

1. Allez sur le site android.com/find.

2. Identifiez-vous.

3. Google tente de géolocaliser votre appareil. La localisation reste tout de même approximative. Si le service n’y parvient pas, il vous donnera sa dernière position.

4. Choisissez Localiser et verrouiller votre smartphone.

5. Sélectionnez Verrouiller avec un nouveau mot de passe et/ou Effacer toutes vos données à distance.

Sur iPhone

1. Depuis un autre iPhone, iCloud sur votre ordinateur ou sur un iPad, connectez-vous à votre compte iTunes/iCloud.

2. Ouvrez l’application Localiser.

3. Tous vos appareils Apple rattachés à votre compte apparaissent sur une carte.

4. Sélectionnez l’appareil volé, puis activez Mode Perdu ou Effacer l’iPhone, ce qui réinitialisera votre mobile et empêchera ainsi l’exploitation éventuelle de vos données par une tierce personne.

Le premier réflexe de ceux qui trouvent un smartphone

Soixante-dix millions de téléphones mobiles sont perdus chaque année. La société Symantec a mené son investigation (https://www.symantec.com/content/en/us/about/presskits/b-symantec-smartphone-honey-stick-project.en-us.pdf) afin de savoir comment réagissaient ceux qui trouvent un de ces appareils dès lors qu’ils ont la possibilité d’accéder à son contenu.

Il s’avère que 66 % d’entre eux vont regarder les comptes sociaux du propriétaire du téléphone. L’intention est peut-être bonne : celle de lui restituer son appareil (ce qui a d’ailleurs été constaté dans une bonne moitié des cas). ll n’empêche que, dans une telle situation, des données de votre vie privée sont soudainement exposées à la vue d’un inconnu.

Activer la géolocalisation sur le smartphone : bonne ou mauvaise idée ?

La géolocalisation, c’est cette fonctionnalité qui permet, via vos objets connectés, de repérer l’endroit où vous vous trouvez, ainsi que vos déplacements, de façon à vous proposer un itinéraire vers la destination de votre choix, à vous indiquer des magasins intéressants à proximité, à prévenir vos amis que vous n’êtes pas loin d’eux, à retrouver votre smartphone si vous l’avez perdu, etc.

La géolocalisation, c’est également un système de localisation d’urgence, l’AML (Advanced Mobile Location, « localisation mobile avancée »), qui permet aux secours de vous retrouver si vous avez besoin d’aide sans pouvoir nommer le lieu où vous vous trouvez. Selon Benoît Vivier, de l’EENA (l’association européenne des numéros d’urgence) : « Après avoir composé le numéro d’urgence, vos coordonnées GPS sont envoyées par SMS au service d’urgence. Un appel d’une vingtaine de secondes suffit pour que l’on puisse vous localiser à une dizaine de mètres près. »

Si cette fonction semble bien pratique, voire essentielle dans certains cas, il faut comprendre que toutes les informations que vous publiez lorsque la géolocalisation est active sont partagées avec leurs coordonnées géographiques. Ainsi, une photographie – par exemple, celle d’un objet que l’on souhaite revendre – révèle, quand les conditions sont favorables, l’adresse postale du lieu où elle a été prise, quand bien même vous auriez masqué ces coordonnées sur l’annonce. Les photos « géotaguées » pourraient être croisées avec l’outil Google Street View afin de retrouver l’adresse postale de la personne. À partir de là, de nombreuses autres informations seraient récupérables en regroupant diverses sources.

Si une personne a publié une vidéo géolocalisée sur YouTube, un simple script permet de repérer de quel endroit elle a été postée et où se trouve cette personne. Si c’est de son lieu de vacances, on peut en déduire que son logement est inoccupé (voir à ce sujet l’enquête menée par le Nouvel Observateur avec Rue89 en 2010 : https://www.nouvelobs.com/rue89/rue89-tech/20100727.RUE7746/les-dangers-de-la-geolocalisation-sur-le-web.html).

Vous l’avez compris, la géolocalisation n’est pas sans risque, et il convient de prendre toutes les précautions d’usage.

Localisation en arrière-plan

Apple a décidé de renforcer le contrôle de l’utilisateur sur l’exploitation de ses données par des tiers. L’une des nouveautés proposées par iOS 13 est un pop-up prévenant des dérives potentielles des applications chargées, côté géolocalisation.

iOS 13 vous informe quand une application se sert en arrière-plan de vos informations de position – en indiquant les raisons pour lesquelles elle le fait – et vous propose trois choix :

autoriser l’accès à votre position lorsque l’app est active ;

autoriser cet accès une seule fois ;

refuser la géolocalisation.

Figure 7.1

Pop-up sur la géolocalisation des applications dans iOS 13.

Pour désactiver la géolocalisation, allez dans les réglages de confidentialité de votre smartphone, par exemple, et désactivez le service de localisation général.

Si vous préférez garder la géolocalisation active pour certaines applications, laissez le service de localisation général activé, puis désactivez la géolocalisation dans chaque application pour laquelle elle n’est pas nécessaire (via Réglages ou Paramètres).

Des codes intelligents sur smartphone pour vérifier ou arrêter votre traçage

Votre smartphone est malin : il renferme certains codes que peu de gens connaissent et qui permettent de vérifier si vos données font l’objet d’une surveillance accrue. Nous entrons directement dans le monde de James Bond, mais pourquoi pas ? Après tout, nous cherchons à protéger du mieux que nous pouvons toutes nos données personnelles et confidentielles. Voici deux de ces codes les plus simples, à taper directement sur le clavier de votre smartphone comme s’il s’agissait d’un numéro de téléphone :

*#21# : ce code vous révèle si vos appels, messages ou autres informations sont actuellement détournés à partir de votre smartphone. Si détournement il y a, le nombre d’informations transférées apparaîtra, ainsi que le type de détournement.

##002# : ce code arrête toute redirection depuis votre smartphone. Il devrait être activé par précaution avant utilisation de l’itinérance, lorsque vous voyagez à l’étranger par exemple. En outre, les appels redirigés par défaut sur votre boîte vocale ne seront pas facturés.

D’autres codes existent, qui s’adressent davantage à de grosses entreprises habituées aux secrets professionnels. Ils demandent une manipulation un peu plus poussée, mais que les spécialistes en cybercriminalité de ces entreprises connaissent très certainement, pour déjouer un éventuel espionnage industriel.

Se protéger des espions et des délinquants qui cherchent à voler nos données

Afin d’être sûr de ne pas être espionné, il est préférable d’utiliser des applications de messagerie indépendantes telles que Telegram, Share ou Signal.

Ne rechargez pas votre smartphone à des points de recharge publics gratuits non habituels. Il se pourrait qu’un programme y ait été intégré afin de récupérer vos données ou d’infecter votre téléphone. Le plus sûr est d’emporter le chargeur et le câble de votre smartphone et de le brancher sur une prise électrique.

Chapitre 8

Les transactions

« Acheter sur le Web ? Pas question ! Je ne suis pas du genre à laisser traîner mon numéro de carte bancaire en ligne. » Cette affirmation, nous l’avons souvent entendue, alors que le commerce électronique en était à ses balbutiements, avec l’apparition de sites marchands tels que Amazon, eBay ou CDiscount. Le secteur a donc mis du temps à décoller car, à ses débuts, l’achat en ligne était considéré comme peu sûr. Il a pris son essor au début des années 2000, notamment grâce aux sites comparatifs qui ont ouvert la voie à de belles affaires. L’on constatait par exemple que le prix d’un vol Paris-New York pouvait varier du simple au triple ! Il se trouve aussi que, au-delà de l’économie réalisée, les consommateurs se sont rendus à l’évidence : commander un billet d’avion en ligne, c’était bien plus commode que devoir se rendre dans une agence de voyages. Le commerce en ligne est donc entré dans les mœurs et, en parallèle, les systèmes de protection des achats se sont multipliés. De nos jours, si l’on suit certaines règles, le risque de se faire « pirater » son numéro lors d’un achat en ligne est quasiment nul.

Figure 8.1

Les sites de e-commerce les plus visités de France selon la Fevad.

Selon le rapport annuel 2018 de la Fevad1, nous étions 85 % d’internautes en France à effectuer des achats en ligne. Et ces derniers sont en progression constante : le cap des cent milliards d’euros est censé avoir été dépassé en 2019.

La sécurité des paiements est une préoccupation majeure de l’Union européenne. La deuxième directive européenne sur les services de paiement, en vigueur depuis le 13 janvier 20182 vise à renforcer la sécurité des paiements en ligne. Pour cela, elle préconise notamment l’emploi de l’authentification à deux facteurs par les prestataires de services de paiement.

Le principe de précaution est néanmoins l’affaire de tous. Il est donc important de faire attention aux sites sur lesquels nous nous rendons afin de ne pas payer plus que ce que nous avions envisagé.

Indiquer le numéro de sa carte de crédit en ligne

Privilégiez les sites marchands connus et les enseignes de notoriété publique pour payer avec votre carte. Ici comme ailleurs, veillez à saisir vos chiffres à l’abri des regards. Vérifiez la somme indiquée lors de la confirmation de commande avant de finaliser l’opération. Conservez le message électronique de confirmation de votre transaction. Ces précautions valent d’autant plus avec des sites étrangers. En effet, les opérations bancaires à destination de certains pays sont considérées « à risques » – votre banque devrait normalement en avoir la liste. En cas de doute, et si vous souhaitez néanmoins payer un article sur le site en question, privilégiez le virement bancaire, plus sûr.

Il est bien sûr risqué de donner ses informations bancaires à un site non sécurisé ou frauduleux. Sachez également que, si vous avez été piraté, le hacker a peut-être eu l’occasion d’installer dans votre ordinateur un keylogger qui enregistre les frappes du clavier et les opérations exécutées à la suite de votre saisie. Le Chapitre 9 sur la navigation Web vous aidera à effectuer les vérifications nécessaires.

Précautions d’usage pour les opérations bancaires en ligne

Il convient d’adopter les précautions d’usage habituelles pour la navigation sur le Web et les opérations bancaires. Les conseils qui suivent vous aideront à sécuriser votre compte.

Rappelons les principes de base :

ne jamais communiquer vos codes d’accès à votre compte bancaire ;

mettre régulièrement à jour les applications bancaires de votre mobile ;

ne pas tomber dans le piège du courriel demandant votre mot de passe ou de cliquer vers un site bancaire ;

ne pas vous connecter à un ordinateur public pour regarder l’état de votre compte bancaire.

Quand bien même les banques ont plus de dix ans d’expérience en matière de protection des comptes en ligne, leurs clients représentent le point faible du système, et ce n’est pas pour rien que les pirates les visent en premier lieu : ils comptent bien sur leur manque de vigilance.

De leur côté, les banques en ligne utilisent le cryptage des données SSL (Secure Stocket Layer, protocole qui sécurise le transport des informations entre l’ordinateur du client et le serveur de la banque) et s’assurent de la bonne identité de leurs clients par le système de la double authentification. La plupart sont les filiales de grands groupes bancaires tels que Société Générale, BNP Paribas, Crédit Agricole…

Acheter en ligne en toute sécurité

Lorsque vous n’êtes pas sûr d’un site sur lequel vous aimeriez faire vos achats, tapez son nom dans votre moteur de recherche en le complétant du mot « avis ». Les résultats afficheront ce que vous avez besoin de savoir. Si le site s’avère frauduleux, nul doute que des internautes ont déjà eu de mauvaises expériences avec celui-ci.

Un petit bémol néanmoins : certains avis positifs d’utilisateurs ont très bien pu être publiés ou « achetés » par la société en question. Inversement, les avis négatifs ont pu être postés par une société concurrente. La pratique des faux commentaires est interdite en France, mais comment être certain qu’elle n’est pas en usage ?

Alors, comment distinguer le vrai du faux ? Quelques indices : si le site a reçu des milliers d’avis sur une longue période, vous pouvez décemment en conclure que la note moyenne indiquée sur le site a une certaine fiabilité. Vous en aurez une deuxième confirmation si vous trouvez, en parcourant les avis, quelques opinions de clients peu satisfaits. Inversement, si les avis sont peu nombreux et excessivement élogieux, vous pouvez légitimement vous poser des questions sur leur authenticité. Une autre façon d’opérer consiste, tout simplement, à demander à des amis ou à des proches s’ils ont déjà effectué leurs emplettes sur cette enseigne et si elles se sont bien déroulées. Des sites d’avis de consommateurs tels que Trustpilot, TripAdvisor, Looneo, etc., devraient vous aider à repérer les bons endroits où faire vos achats (voir Figure 8.2).

Figure 8.2

Avant de procéder à un achat sur un site donné, il peut être utile de vérifier sa réputation sur un site d’avis tel que Trustpilot.

Une norme pour certifier les sites d’avis de consommateurs

Tout site qui affiche la certification de la norme Afnor NF Z74-501 est considéré comme fiable quant à la collecte des avis de consommateurs. Il s’est en effet engagé à publier tous les avis, qu’ils soient positifs ou négatifs, à afficher en premier les avis les plus récents, à offrir un droit de réponse aux professionnels concernés par les avis, etc.

Cette certification n’autorise pourtant pas le site à indiquer que les avis eux-mêmes sont certifiés. C’est simplement la collecte qui l’est.

Aussi, depuis le 1er janvier 2018 et afin de rassurer les internautes sur l’authenticité des avis diffusés, toute personne dont l’activité consiste à collecter, modérer ou diffuser des avis en ligne de consommateurs est censé assurer une « information loyale, claire et transparente sur les modalités de publication et de traitement de ces avis »3.

Précautions supplémentaires

Vous ne perdrez rien à chercher à consulter les mentions légales du site que vous voulez visiter : nom, dénomination sociale, adresse, etc. Un faux site n’en aura pas.

Dans la mesure du possible, choisissez un site français ou européen, afin de bénéficier entre autres de la clause de rétractation, qui n’est pas toujours garantie par les pays hors d’Europe.

Figure 8.3

Un site de e-commerce se doit d’afficher ses mentions légales.

La DGCCRF (Direction générale de la concurrence, de la consommation et de la répression des fraudes) nous donne ce conseil : « Le vendeur doit vous confirmer que votre page est bien sécurisée dans une fenêtre de dialogue avant le début de toute transaction. » Donc il ne faut pas oublier de vérifier qu’une icône de cadenas vert ou noir apparaît bien à gauche de l’adresse du site. Un achat doit également pouvoir être vérifié avant paiement, par le biais de deux clics : un premier pour valider les détails de votre commande, un second pour confirmer le paiement.

Même si de nombreuses entreprises ont multiplié les protections en matière d’achats en ligne, il est peu conseillé de laisser un site enregistrer vos coordonnées bancaires pour des transactions ultérieures : des sites d’envergure tels que Sony ou Yahoo! ont fait l’objet d’intrusions, donc rien ne garantit à 100 % que la base de données de l’entreprise de vente soit à l’abri de toute attaque. Des sites marchands tels que Amazon ou Fnac n’ont pas été pris en faute directement, mais ils ne peuvent eux-mêmes empêcher le phishing, soit l’affichage d’un site imitant celui de leur marque en vue de récupérer des données.

Les diverses façons de payer sur Internet

Saisir le numéro de sa carte bancaire n’est pas la seule façon de payer ses achats sur Internet. Il en existe bien d’autres. Passons-les en revue.

PayPal

De très nombreux e-détaillants proposent PayPal comme moyen de paiement. La procédure est très simple, il suffit d’avoir un compte sur ledit service et, au moment de régler vos achats, de cliquer sur l’icône en question, d’entrer votre identifiant et votre mot de passe, puis de valider l’achat.

Il est absolument essentiel sur un système tel que PayPal, mais aussi pour vos divers comptes bancaires en ligne, de définir un mot de passe que vous n’utiliserez nulle part ailleurs !

Nous l’avons vu dans le Chapitre 5 : il n’est pas souhaitable d’utiliser le même mot de passe pour plusieurs sites différents. Toutefois, si vous le faites, définissez au moins un mot de passe différent pour chaque site de transaction bancaire.

Figure 8.4

Le site PayPal facilite le paiement sécurisé. Il dispose par ailleurs de règles de protection des achats : si un article ne correspond pas à ce qui est attendu, PayPal gère la procédure de remboursement de la part du vendeur.

L’idéal, c’est d’utiliser, sur PayPal comme sur vos comptes bancaires en ligne, un identifiant unique et un mot de passe unique.

Il est de même possible, via ce système, d’envoyer de l’argent à un particulier ou de vous faire payer vos services : une fois que vous avez créé votre compte PayPal, l’adresse e-mail utilisée pour l’occasion devient votre identifiant PayPal. Vous pouvez également demander la création d’un lien PayPal.Me sur le site, qu’il suffira ensuite de communiquer à ceux qui souhaitent vous envoyer de l’argent via Paypal.

Pour virer de l’argent, depuis votre compte ou votre application PayPal :

1. Saisissez l’adresse de courriel PayPal ou le lien PayPal.Me ou encore le numéro de téléphone du bénéficiaire.

2. Tapez un montant.

3. Envoyez votre argent en toute sécurité.

Pour vous faire payer :

1. Envoyez simplement votre adresse e-mail PayPal ou le lien PayPal.Me à votre client.

2. Il vous enverra l’argent par le même processus.

Le destinataire doit bien sûr posséder un compte PayPal pour que la transaction puisse s’effectuer.

PayPal propose une sécurisation supplémentaire : transférer de l’argent dans un Portefeuille et l’utiliser comme source d’approvisionnement préférée à la place de votre compte ou carte bancaire. Lors de vos achats en ligne, PayPal ira tout d’abord chercher la somme dans ce portefeuille pour régler le commerçant. Si vous n’avez plus d’argent dans votre source préférée, PayPal vous demandera de choisir une autre source de règlement au moment du paiement.

Virement bancaire

En cas de montant relativement élevé, passer par le virement bancaire est une solution à envisager. Vous avez le choix entre vous rendre à votre banque ou à une agence de celle-ci, ou effectuer votre virement via votre plateforme bancaire sécurisée en ligne. Concernant ce dernier choix, assurez-vous bien sûr d’être sur le bon site.

Le transfert des fonds se fait dans les deux à trois jours ouvrés. Ce n’est que lorsque les fonds sont reçus que la commande est validée. Dans le cas d’un virement bancaire, une commission fixe est parfois prélevée par votre banque.

Système 3D-Secure

Le système de sécurisation 3D-Secure des paiements en ligne a été créé par les émetteurs internationaux Visa et Mastercard. Vous validez votre paiement sur un site, une nouvelle fenêtre s’ouvre et vous recevez presque aussitôt sur votre smartphone un code à usage unique, à taper dans la case prévue à cet effet. Après trois échecs de saisie du code reçu par SMS, la transaction en cours est annulée et la carte de paiement bloquée pour toute nouvelle utilisation sur un site marchand certifié 3D-Secure.

C’est un bon moyen de prévenir les tentatives de vol : si vous recevez un SMS pour un achat que vous n’avez jamais effectué, prévenez votre banque. Dans ce cas, c’est la banque émettrice de la carte, et non le e-commerçant, qui supporte le poids des fraudes à la carte (il est tout de même préférable de vérifier ce point avec votre banque).

Figure 8.5

Exemple d’authentification avec 3D-Secure.

Carte bancaire virtuelle

Ce système ingénieux permet d’obtenir un numéro de carte bancaire à usage unique pour chacune de vos transactions. Ce service s’appelle Virtualis, e-Carte Bleue ou Payweb Card selon la banque, mais le principe reste le même : une carte bancaire virtuelle qui vous permet d’effectuer vos achats en ligne en toute sécurité, sans jamais avoir à entrer vos véritables coordonnées bancaires. Ces e-cartes sont générées à tout moment, sept jours sur sept, vingt-quatre heures sur vingt-quatre. Chaque achat entraîne la génération d’un code unique. Une fois l’achat réglé par ce moyen, le numéro n’est plus valide.

Voici comment cela se passe. Votre banque vous fournit un logiciel à télécharger sur votre ordinateur et vous envoie par courrier séparé votre identifiant et votre mot de passe confidentiels. Ces derniers vous permettront de télécharger le logiciel en question sur votre ordinateur, puis de vous connecter. Chaque fois que vous vous connectez au service, un code vous est envoyé sous forme de SMS ou de notification, à valider avec votre code d’authentification. Au moment de régler vos achats sur Internet, il ne reste qu’à remplir le formulaire de paiement du commerçant avec le e-numéro à usage unique fourni par votre service (e-Carte Bleue, par exemple) et à valider !

Amazon Cash

Amazon utilise le même système que PayPal, à savoir que vous avez la possibilité de créditer votre compte Amazon en « chèques-cadeaux » qui serviront à payer vos articles sur Amazon ou auprès de vendeurs tiers, sans que vous ayez besoin de renseigner vos coordonnées bancaires.

Pour cela :

1. Rendez-vous sur amazon.fr et tapez dans la barre de recherche Amazon recharge.

2. En haut de la page, cliquez sur Recharger votre compte Amazon.fr.

3. Choisissez un montant (voir Figure 8.6). Vous avez même la possibilité de recharger votre compte avec une carte bancaire virtuelle. Si vous le souhaitez, paramétrez une recharge automatique.

Notons par ailleurs que Amazon a été le pionnier du paiement en un clic : vous enregistrez votre carte bancaire une fois pour toutes, si bien que tout achat ultérieur peut être effectué sans avoir à entrer votre numéro de carte. Et Amazon gère par ailleurs l’authentification à double facteur.

Figure 8.6

Avec Amazon Cash, si vous chargez votre portefeuille à l’avance, les achats ultérieurs s’effectueront en débitant cette réserve.

Chèque

Certains sites marchands acceptent encore les chèques, ce qui vous épargne d’avoir à donner vos coordonnées bancaires en ligne ou par téléphone. La réception de vos achats est plus longue, puisqu’il faut que le vendeur reçoive votre chèque avant de valider la commande, mais la transaction est ainsi sécurisée.

Vous n’êtes pas à l’abri d’un achat payé jamais envoyé, mais dans ce cas, votre banque garde une trace de la personne qui a encaissé le chèque, et vous pouvez faire une réclamation.

Recharges – Paysafecard

La société Paysafecard propose des cartes à retirer dans les bureaux de tabac, les kiosques de presse, les supermarchés, les stations-service ou même en ligne. Elles vous permettent d’effectuer des achats sur Internet sans donner vos coordonnées bancaires, au moyen d’un code PIN. Ces codes à seize chiffres sont vendus 10, 25, 50 ou 100 euros. Leur valeur sert ensuite à régler vos achats.

Attention : si vous n’utilisez pas le solde éventuel de votre carte après douze mois, des frais mensuels de mise à disposition de 3 euros en seront déduits à partir du treizième mois.

Vous avez la possibilité d’utiliser plusieurs codes PIN pour un seul achat, en les saisissant les uns après les autres.

Figure 8.7

Paysafecard : des cartes à retirer chez les buralistes et fonctionnant avec un code unique.

Paysafecard conseille de n’utiliser ses codes PIN que dans les boutiques en ligne officielles reconnues par la société. L’adresse Internet de la fenêtre de paiement doit toujours commencer par https://customer.cc.at.paysafecard.com.

Avec son abonnement Internet

Pourquoi ne pas choisir votre fournisseur d’accès Internet (FAI) pour régler vos achats ? Certains opérateurs, comme Orange, proposent ce moyen de paiement en plus des choix habituels. L’avantage est de ne pas avoir à entrer vos coordonnées bancaires ni même votre adresse, puisque le fournisseur d’accès a déjà toutes ces informations. Le montant est ajouté à votre facture Internet. Chez certains opérateurs, le service est plafonné par mois.

Parler ou montrer son visage pour payer

Talk to Pay est un système révolutionnaire pour valider vos achats en ligne. Si, à la base, ce service remplit les mêmes fonctions que les systèmes de codes à usage unique (via une extension à installer dans le navigateur), il propose également la reconnaissance vocale pour vous identifier.

Pour accéder au cryptogramme qui servira à payer votre commande, un appel sur votre téléphone portable vous invite à répéter une phrase-type que vous a transmise votre banque. Votre voix est comparée à l’échantillon préalablement enregistré lors de votre inscription. Une fois que vous avez été identifié, l’extension se charge de remplir automatiquement votre formulaire d’achat en ligne en y ajoutant le cryptogramme aléatoire. Il ne vous reste plus qu’à valider la transaction.

Si vous êtes enrhumé, le système saura quand même détecter votre voix. De même, il reconnaît quand ce n’est pas la vôtre. En cas d’aphonie, il vous sera demandé de vous authentifier avec un code reçu par SMS ou avec votre code personnel à cinq chiffres. Si une tentative de paiement révèle un cryptogramme non généré par Talk to Pay, vous serez immédiatement alerté par un appel automatique sur votre mobile.

La Banque Postale a officialisé le lancement de Talk to Pay en 2017. Nul doute que ce système sera adopté par de plus en plus d’entreprises à l’avenir. La reconnaissance faciale sera la prochaine étape. Les iPhone X l’ont déjà intégrée ; le système va se généraliser dans les années à venir.

Comment être sûr de sa connexion bancaire

Les banques déploient de gros moyens pour la sécurisation de leurs espaces bancaires en ligne.

Nous avons vu qu’il n’est pas sûr de consulter son compte bancaire en passant par un Wi-Fi public ou inconnu (voir le Chapitre 2 à ce sujet). Il est plus sûr d’utiliser votre connexion 3G, 4G ou 5G, puisqu’il s’agit du réseau attaché à votre abonnement téléphonique et que la connexion est donc privée. D’autres conseils de prudence sont énoncés dans le Chapitre 9 sur la navigation Web.

Lorsque vous êtes chez vous, avec une connexion sécurisée, regardez régulièrement l’état de vos comptes sur votre espace bancaire en ligne : c’est le meilleur moyen de repérer des transactions inhabituelles éventuelles. Prévenez votre banque en cas de doute relatif à un mouvement sur votre compte.

Ne choisissez pas de mot de passe en rapport avec votre vie privée, comme la date de naissance de votre enfant (voir le Chapitre 5 pour plus de détails sur la façon de créer un mot de passe sécurisé). Les pirates peuvent retrouver les mots de passe forgés à partir d’informations personnelles, en recoupant des informations sur vous glanées sur Facebook ou ailleurs sur le Web.

Ne vous connectez jamais à votre compte bancaire à partir d’un lien reçu par courriel ou SMS.

Protection renforcée du compte bancaire

Les banques proposent une « authentification forte » sophistiquée pour éviter les virements de fonds frauduleux, dans l’éventualité où quelqu’un aurait piraté votre espace bancaire en ligne.

La banque vous fournit une petite carte physique représentant une grille chiffrée dite « carte de clés personnelles » de 64 codes, que vous validez sur votre compte en ligne.

Vous devez ensuite choisir un chemin secret composé de deux directions, dont vous vous servirez à chaque fois dans l’ordre (par exemple, gauche-haut pour « une case à gauche, une case en haut »). Ce chemin doit rester secret. Ne l’écrivez nulle part ; servez-vous plutôt d’un moyen mnémotechnique pour le retenir.

Lorsque vous effectuez des virements de plus d’une certaine somme depuis votre espace bancaire en ligne, une position vous est transmise sous la forme d’une lettre et d’un chiffre qui, en les croisant sur la carte physique, vous permettent de retrouver le numéro généré secrètement par le logiciel.

Appliquez à partir de ce numéro votre chemin secret et vous arrivez à deux autres numéros qui composent votre code secret. Il ne reste plus qu’à les taper à l’aide du clavier numérique présent à l’écran, et votre authentification est certifiée. À chaque opération, vous obtiendrez une nouvelle position de départ, c’est-à-dire que votre code secret ne sera jamais le même.

Pour certaines banques telles que LCL, la protection est assurée par un code secret que vous devez taper pour vous authentifier, sur un clavier virtuel dont la disposition des chiffres change à chaque connexion.

Peut-on en toute sécurité ouvrir un compte de banque en ligne ?

Vous voulez sauter le pas et opter pour une banque 100 % en ligne, ou l’avez déjà fait ? Une telle solution est tentante : les frais sont réduits, voire gratuits ; la banque est accessible en permanence, de n’importe où dans le monde, les opérations simplifiées. Les risques liés à la sécurité des banques en ligne sont les mêmes que pour une banque traditionnelle. Donc, ce qui a été indiqué précédemment dans cet ouvrage est également vrai ici. En d’autres termes, ouvrir un compte en ligne est aussi sûr que d’ouvrir un compte traditionnel, à condition que vous fassiez attention à votre comportement sur Internet !

1. La Fevad est la Fédération du e-commerce et de la vente à distance. Les chiffres cités sont issus de l’édition 2018 du rapport « Les chiffres clés » sur les principaux indicateurs e-commerce – https://www.fevad.com/chiffres-cles-cartographie-e-commerce-2018/

2. Banque de France – https://www.banque-france.fr/stabilite-financiere/securite-des-moyens-de-paiement-scripturaux/2eme-directive-sur-les-services-de-paiement

3. DGCCRF, les faux avis de consommateurs – https://www.economie.gouv.fr/dgccrf/faux-avis-consommateurs-sur-plateformes-numeriques

Chapitre 9

Navigation Web

Rechercher une information sur le Web est devenu aujourd’hui une activité aussi naturelle que de boire un verre d’eau lorsque nous avons soif. Cherche-t-on la définition d’un mot ? Une information sur une ville ? À réserver une chambre pour des vacances ? Nous nous précipitons sur notre ordinateur ou notre smartphone, oublieux des dictionnaires papier, offices de tourisme et agences de voyage qui restent pourtant des sources de qualité.

Le Web renferme tout ce que nous avons besoin de savoir, grâce aux millions de personnes qui ont pris le temps de renseigner le moindre sujet existant sur Terre. La mine est inépuisable. Ses failles aussi. Sachons donc dans quel monde nous mettons les pieds, afin de nous protéger autant que possible des logiciels malveillants et arnaques en tout genre.

Les avantages d’un VPN

Un VPN (Virtual Private Network, « réseau privé virtuel ») est une sorte de tunnel virtuel privé et sécurisé, qui isole les échanges entre votre ordinateur et les réseaux de télécommunication publics. Lorsque vous vous connectez à un VPN, vos informations sont routées par l’un de ses propres serveurs.

En temps normal (quand vous n’utilisez pas de VPN), votre requête de connexion à un site passe par le serveur de votre fournisseur d’accès à Internet (FAI), qui vous en donne l’accès. Ce qui implique que tout votre trafic sur la Toile est susceptible d’être connu ou même espionné.

Lorsque vous vous connectez à un VPN, vous récupérez l’adresse IP d’un des serveurs de celui-ci. C’est cette adresse qui sera visible par les sites que vous visitez et non la vôtre.

Différences entre un VPN et la navigation privée

Il ne faut pas confondre un VPN avec la navigation privée. Celle-ci ne garantit pas, malgré son nom, l’anonymat complet. Certes, avec la navigation privée (l’icône de masque de carnaval située dans la barre d’outils de votre navigateur), votre activité n’est pas enregistrée à la fin d’une session par le moteur de recherche, et aucun cookie n’est déposé sur votre ordinateur. Toutefois, elle reste visible pour ce qui est des sites que vous visitez. Vous n’êtes pas protégé contre les hackers ou contre une éventuelle surveillance du gouvernement.

Origines du VPN

La technologie VPN a été développée à l’origine pour assurer aux employés d’une grande entreprise ou d’un gouvernement une connexion sécurisée à leur réseau local, ainsi qu’un accès protégé depuis un autre endroit que leur bureau. Le VPN a par la suite été détourné de sa fonction première pour servir à masquer l’activité que l’on effectue sur Internet, à tromper la géolocalisation, à contourner la censure locale ou à éviter le hacking.

Le VPN, quant à lui, est une technologie qui garantit une navigation vraiment privée, en utilisant une adresse IP qui n’est pas la vôtre. Certains VPN pratiquent un cryptage avancé des données échangées sur le réseau en temps réel, qui peut parfois ralentir légèrement la connexion. Mais le supplément de sécurité que l’on gagne au passage compense largement cette perte de performance. Le tout est d’avoir un VPN de qualité.

Choisir son VPN

Il existe de nombreux fournisseurs de service VPN téléchargeables en ligne, gratuits ou payants. Mais au moment de choisir votre outil, gardez en tête que le fournisseur de VPN sait, lui, qui vous êtes et a les moyens de surveiller vos activités en ligne. Il n’aura toutefois aucun intérêt à le faire s’il gère un service payant.

Un VPN gratuit n’est pas le gage d’un service irréprochable. Cela étant dit, un service fort populaire comme Security Kiss dispose d’une option gratuite, restreinte à une dizaine de serveurs mais efficace, avec toutefois certaines limitations : pas d’accès au streaming et un trafic limité à 300 Mo par jour. De même, le navigateur Opera intègre un VPN, c’est donc un choix tout à fait envisageable.

Si vous gérez une entreprise ou une activité commerciale avec des données sensibles, il est probablement plus sûr d’éviter tout risque d’exposer vos données et donc d’installer un VPN payant. Retenons qu’un bon fournisseur de VPN ne devrait pas garder de log (fichier texte contenant les événements chronologiques qui ont affecté un système informatique et les actions qui en ont résulté) de votre navigation. En effet, le log est un véritable journal intime, où vos informations ne sont plus privées. Légalement, les fournisseurs sont néanmoins tenus de fournir ces fichiers aux autorités en cas de suspicion d’activités illégales en ligne.

Le fournisseur doit également proposer le plus grand nombre possible d’IP partagées, utilisées par de nombreux internautes, afin que le traçage soit difficile. Parmi les VPN de bonne réputation figurent NordVPN, ExpressVPN, CyberGhost, HideMyAss ou Surfshark. Pour installer un VPN, il suffit de suivre les instructions en ligne. Lorsque vous ouvrez votre VPN, vous voyez apparaître une liste de pays avec leur drapeau. Choisissez un pays, sélectionnez-le et connectez-vous. Un message ou une icône vous indiquera alors que vous êtes dans le tunnel sécurisé du pays. Ouvrez ensuite votre navigateur, choisissez une nouvelle fenêtre de navigation privée et c’est parti !

Un VPN protège-t-il des virus ?

La réponse est non, car un VPN n’est pas programmé pour arrêter les programmes malveillants. Prenons un exemple : si vous cliquez sur une pièce jointe contenant un fichier exécutable malveillant, le VPN n’y pourra rien. Votre VPN protège votre trafic en ligne et vos données sur Internet, mais vous ne pourrez pas vous passer d’un bon antivirus sous protection permanente. Cela étant dit, la plupart des antivirus ont maintenant un VPN intégré. À vous de décider si vous utilisez celui-ci ou préférez un VPN indépendant.

Tor, pour naviguer en sécurité sur le Web

Que faire si vous souhaitez naviguer en toute sécurité sur Internet, c’est-à-dire en étant sûr de ne pas être espionné ? La solution qui s’approche le plus de cet état de protection totale est le navigateur Tor, disponible pour Windows, Mac et Linux.

Figure 9.1

En utilisant le navigateur Tor, vos requêtes sont protégées contre l’espionnage.

Tor a été développé dans les années 1990 par la marine américaine afin de protéger certaines communications sensibles. Il a été mis à la disposition des internautes en 2002. Vous pouvez le télécharger à l’adresse https://www.torproject.org/fr/download.

1. Une fois le programme téléchargé, installez-le. Il sera peut-être nécessaire de vérifier si vous utilisez une version adéquate pour votre ordinateur, selon que ce dernier a un processeur 32 bits ou 64 bits.

2. Il est préférable de fermer votre navigateur habituel avant d’utiliser Tor.

3. Lorsque l’installation est terminée, lancez le logiciel et cliquez sur Connecter.

4. Le navigateur Tor vous propose une visite guidée en haut et à gauche (Passons-le en revue). Il est conseillé de la suivre.

La confidentialité est de mise

Quand vous utilisez le navigateur Tor (une adaptation du navigateur Firefox), toutes vos requêtes passent par un autre réseau que le Web, le réseau Tor. Vous remarquerez sur l’interface de base que le moteur de recherche utilisé n’est pas Google, mais DuckDuckGo, réputé pour sa discrétion : il ne recueille aucune donnée privée.

Lors de votre navigation, vous constaterez probablement une relative lenteur par rapport à vos connexions habituelles – nous vous expliquons pourquoi plus loin. De plus, de temps à autre, Tor vous alerte : certains sites tels que YouTube refusent la consultation anonyme et, si vous poursuivez, le site en question sera en mesure de vous identifier (voir Figure 9.2). Retenons qu’il est préférable de n’utiliser Tor que dans le cadre de sessions où la confidentialité est indispensable : conversations privées, transactions financières, etc.

Figure 9.2

Quand un site refuse une consultation anonyme, Tor vous en informe.

Comment Tor fonctionne

Qu’est-ce au juste que Tor ? Nous pourrions dire qu’il s’agit d’un réseau superposé à Internet, qui fonctionne selon sa propre logique, comme nous allons l’expliquer plus bas.

Ce qui empêche toute intrusion lorsque vous effectuez une requête – mais aussi ce qui ralentit Tor –, c’est qu’aucun message ni aucune action en ligne n’arrive en direct.

Lorsque vous consultez le site des éditions First depuis un navigateur habituel comme Chrome ou Safari, la connexion entre votre PC et ce site est directe ou presque – habituellement, le seul relais entre votre ordinateur et un site basé en France est votre fournisseur d’accès Internet.

Lorsque vous tapez cette même requête sur le navigateur Tor, elle transite par plusieurs points de relais aléatoires. Qu’est-ce à dire ? Qu’elle passe par plusieurs PC situés un peu partout dans le monde. Ces PC de relais sont choisis au hasard au moment où vous tapez votre requête. Un système de cryptographie est mis à contribution et, donc, si vous envoyez par exemple un fichier à un destinataire, les points de relais ne sont pas en mesure de le déchiffrer.

Ce système de cryptographie fonctionne par « couches ». Au départ, votre requête ou envoi de fichier est chiffré. Le point de relais no 1 ajoute une première couche de chiffrage. Le point de relais no 2 ajoute une deuxième couche, et ainsi de suite. En réalité, le « o » de Tor signifie onion (« oignon »), par analogie avec les très nombreuses couches de ce bulbe potager.

Le système est également conçu ainsi :

Le point de relais no 1 ne connaît pas votre destinataire, mais seulement vous-même l’émetteur et le point de relais no 2.

Le point de relais no 2 ne connaît que le point de relais no 1 et le point de relais no 3.

Le tout dernier point de relais connaît son prédécesseur et le destinataire mais il ne vous connaît pas.

C’est ce système de points de relais aléatoire qui garantit la sécurité de Tor. Ainsi, le site que vous consultez ne saura aucunement qui vous êtes – sauf si, bien sûr, vous entrez « manuellement » une telle information.

Testez Tor

Vous voulez en avoir le cœur net ? Cherchez à identifier votre box d’accès à Internet, qui possède une adresse unique, ou adresse IP locale.

1. Depuis Tor, allez sur la page http://www.mon-ip.com/.

2. Sélectionnez Découvrez votre adresse IP locale en cliquant ici.

3. La page va « mouliner » indéfiniment. Elle ne parvient pas à identifier votre adresse IP locale, ce qui signifie bel et bien que vous naviguez en toute confidentialité.

Le revers de cette sécurité par un système de relais, vous l’aurez compris, c’est que les actions effectuées en ligne sont plus lentes que sur un navigateur habituel.

Le Dark Web

Vous avez sans doute déjà entendu parler du Dark Web, sorte de Web parallèle à l’officiel et que l’on a parfois assimilé à un immense Far West libertaire. On y trouve aussi bien des archives de la Nasa que des forums consacrés aux ovnis ou à des services plus douteux (ventes d’armes et de substances illicites). Les sites du Dark Web portent l’extension .onion et ne sont accessibles qu’à partir du navigateur Tor. Ils disposent d’adresses ésotériques telles que fdwmarkvokb5i7wh.onion (un forum destiné aux débutants sur le Dark Web).

Peut-on faire supprimer des résultats de Google un contenu non désiré ?

Qu’il s’agisse d’une erreur de jeunesse, d’une photo publiée sans votre consentement, de coordonnées personnelles ou d’un élément de votre passé qui n’a rien à faire sur le Web, il est possible de demander le retrait de ces informations de l’index d’un moteur de recherche tel que Google.

Cette requête n’est pas systématiquement acceptée, car l’étude se fait au cas par cas. Il faut que les propos diffamatoires soient avérés, l’atteinte à la dignité flagrante, ou le caractère obsolète du contenu (comme un ancien site Web) démontré. La désindexation ne signifie pas que le lien vers le site ou le post incriminé sera supprimé, mais qu’il n’apparaîtra plus dans les résultats de recherche sur vos nom et prénom, et que l’accès au contenu vous concernant sera fortement limité.

Le droit à l’oubli

Depuis 2010, en France, la charte du droit à l’oubli numérique vous permet de signaler les abus et de protéger vos informations personnelles recensées par les entreprises. Ce service de la Cnil (Commission nationale de l’informatique et des libertés) baptisé « droit à l’effacement » est accessible ici : https://www.cnil.fr/fr/le-droit-leffacement-supprimer-vos-donnees-en-ligne

Il concerne en premier lieu la publicité ciblée sur le Web. Un internaute non averti ne sait probablement pas à quel point sa navigation est indexée et recoupée avec toutes les informations le concernant disponibles sur la Toile. La charte indique donc comment gérer ses droits dans le domaine et effacer toutes données, photos comprises, qu’il juge inadéquates ou relevant de la sphère privée – excepté ce qui ressort du respect d’une obligation légale, entre autres.

À l’heure où sont écrites ces lignes, quelques entreprises seulement se sont engagées à respecter cette charte, dont Microsoft, les Pages Jaunes, Copains d’avant ou encore Viadeo. Google et Facebook ne l’avaient pas encore signée.

Droit d’opposition

Vous pouvez vous opposer à ce que vos données personnelles soient collectées et partagées par des organismes de nature commerciale. Si vous êtes la cible non consentante d’une entreprise, demandez au responsable de son site de supprimer toute information vous concernant dans sa base de données, un droit stipulé dans l’article 17 du RGPD (règlement général sur la protection des données). L’entreprise est dans l’obligation de traiter votre requête et d’en avertir également ses partenaires et fournisseurs pour qu’ils appliquent la même règle.

Déréférencement

Voici la marche à suivre pour une désindexation de Google :

1. Ouvrez la page https://support.google.com/legal/answer/3110420?hl=fr&rd=2.

2. Cliquez sur Envoi d’une demande légale pour ouvrir la rubrique correspondante.

3. Cliquez sur le terme outil souligné en bleu.

4. Vous arrivez alors au formulaire à remplir.

Figure 9.3

Désindexation de Google.

Figure 9.4

Désindexation de Google (suite).

Pour une désindexation de Bing, suivez les instructions indiquées ici : https://www.bing.com/Webmaster/tools/eu-privacy-request

Figure 9.5

Désindexation de Bing.

Pour une désindexation de Yahoo ! (un peu plus longue d’accès) :

1. Rendez vous sur la page https://fr.aide.yahoo.com/kb/search-for-desktop.

2. Cliquez sur Demande de blocage de résultats de recherche sur Yahoo! Search : Formulaire pour résidents européens.

3. À la page suivante, cliquez sur les termes formulaire en ligne soulignés en bleu.

4. Vous arrivez enfin au formulaire qui nous intéresse.

Figure 9.6

Désindexation de Yahoo!.

Figure 9.7

Désindexation de Yahoo! (suite).

Figure 9.8

Désindexation de Yahoo! (suite et fin).

Enfin, pour un déréférencement de Qwant :

1. Rendez vous sur la page https://about.qwant.com/wp-content/uploads/dlm_uploads/2017/02/dereferencement.pdf.

Figure 9.9

Désindexation de Qwant.

1. Ici, le document est un PDF qu’il faut envoyer une fois rempli, avec les pièces demandées, à l’adresse privacy@qwant.com.

En cas de refus de ces entités – Google n’accepte que 49,2 % des demandes de déréférencement en France1 et refuse presque systématiquement les désindexations d’articles de presse –, vous pouvez encore vous tourner vers la Cnil (Commission nationale de l’informatique et des libertés), qui gère la protection des données (voir plus haut l’encadré « Le droit à l’oubli »).

Pourquoi nettoyer les cookies régulièrement

Depuis mai 2018, vous avez sans doute remarqué que, lorsque vous visitez certains sites, ceux-ci vous demandent d’accepter ou de refuser qu’ils stockent des données à votre égard. C’est un règlement de l’Union européenne qui a imposé aux sites pratiquant la collecte et l’usage de données d’en informer les visiteurs et de leur permettre de s’y opposer. Cette directive est connue sous le nom de RGPD (Règlement général sur la protection des données). Quelle en est l’origine ?

Chaque fois que nous visitons un site, ce dernier dépose de petits fichiers dans le disque dur de notre ordinateur qui renferment des informations : d’où nous nous connectons, quel est notre navigateur, notre système d’exploitation, etc. Ils visent à faciliter une connexion ultérieure à ce site.

Ces fichiers appelés cookies s’installent dans notre machine sans que nous nous en apercevions, permettant aux sites Web qui les ont déposés de « reconnaître » l’internaute, garder ses préférences de connexion, afficher des photos, vidéos et du contenu personnalisés. D’autres cookies servent encore à analyser le trafic Internet. Du côté utilisateur, nous sommes ravis de constater qu’après une première connexion à un site, la deuxième est plus rapide, la troisième plus rapide encore, avec des propositions de contenu pertinentes, etc. Ce que nous oublions rapidement, c’est que les cookies de sites partenaires passent dans le même tuyau.

Vous êtes-vous déjà demandé pourquoi, après avoir visité un certain site, de nombreuses publicités apparaissent sur le même thème lors de vos navigations suivantes sur la Toile ? C’est parce que les cookies enregistrent vos données comportementales d’internaute afin de vous proposer de la publicité ciblée. Les cookies sont de vraies pépites pour les annonceurs.

Il est possible de refuser ces petits fichiers, mais leur suppression rend la navigation sur le site plus difficile. Certains sites ne s’embarrassent pas à faire la distinction entre les cookies internes et ceux des sites partenaires, nous obligeant à tout accepter pour continuer notre navigation, ou à sortir du site si nous refusons.

Dans un premier temps, n’acceptez pas d’emblée les cookies imposés par les sites sur lesquels vous naviguez. Si vous les acceptez, des entreprises partenaires sont susceptibles de récolter les mêmes informations sur vous que le site sur lequel vous lisez un article ou admirez des photos. Il y a là l’assurance par la suite de recevoir des e-mails publicitaires, des appels non désirés ou encore des SMS de prospection, d’autant plus si elles procèdent à des recoupements avec d’autres fichiers de consommateurs.

Vous n’aurez probablement ni le temps ni l’envie de vous désinscrire de ces listes intempestives. Lorsque donc vous voyez s’afficher le panneau « Le respect de votre vie privée est notre priorité » ou autre formule similaire, allez dans Plus d’options (si la démarche est possible) et cliquez sur Tout refuser, ce qui vous débarrassera des cookies partenaires (sauf si vous souhaitez recevoir ce genre de publicités !).

Figure 9.10

Bloquer les cookies partenaires.

C’est l’occasion d’en profiter pour regarder quel genre de cookies le site propose, ainsi que la liste de ses partenaires. Vous serez surpris par leur quantité. Vous avez même la possibilité d’en autoriser certains si le cœur vous en dit. N’oubliez pas d’enregistrer ces paramètres, et bonne navigation sur le site !

Figure 9.11

Il est conseillé de désactiver la conservation des informations par le site visité.

Une autre façon de limiter l’enregistrement des cookies est de mettre en place un bloqueur de publicités (nous y reviendrons plus loin dans ce chapitre).

Effacez vos cookies de l’ordinateur

Vous pouvez effacer les cookies de votre ordinateur après une session, en allant dans les options de votre navigateur.

Dans Chrome :

1. Cliquez sur l’icône Plus avec trois points en haut à droite de la fenêtre.

2. Choisissez Paramètres, puis Paramètres avancés.

3. Dans la section Confidentialité et sécurité, cliquez sur Paramètres du site (ou du contenu). Cliquez encore sur Cookies et données de site, Afficher l’ensemble des cookies et données de sites, puis Tout supprimer.

4. Confirmez la suppression en cliquant sur Tout effacer.

5. Pour supprimer un cookie, sélectionnez le site correspondant, puis cliquez sur Supprimer à droite de ce dernier.

6. Si vous souhaitez bloquer les cookies des sites partenaires, cochez la case Bloquer les cookies tiers.

7. Pour bloquer un site spécifique, à partir de Paramètres du site, Cookies et données de site, sélectionnez Ajouter à côté de Bloquer, Supprimer les données à la fin de la session ou Autoriser.

8. Saisissez l’adresse Web et sélectionnez Ajouter.

Dans Safari :

1. Cliquez dans la barre de menu, sélectionnez Préférences puis Confidentialité.

2. Cliquez sur Gérer les données du site Web, puis sur Tout effacer. Ou bien sélectionnez les sites dont vous voulez supprimer les cookies puis cliquez sur Supprimer.

3. Pour bloquer les cookies, sélectionnez Bloquer tous les cookies.

4. Enfin, pour empêcher un quelconque traçage via les cookies, sélectionnez Empêcher les cookies sur plusieurs domaines.

Dans Firefox :

1. Cliquez sur l’icône aux trois barres en haut à droite, puis sélectionnez Vie privée et sécurité.

2. Descendez dans la page jusqu’à la partie Cookies et données de sites.

3. Cliquez sur Effacer les données.

4. Une fenêtre vous précise ce qui sera effacé et comment cela affectera votre navigation. Vous pouvez décocher l’une des deux propositions si vous le souhaitez.

Figure 9.12

Effacer les cookies dans Firefox.

5. Dans cette même partie Cookies et données de sites, rien ne vous empêche de supprimer les cookies à chaque fermeture de Firefox, en cochant la case prévue à cet effet (voir Figure 9.13).

Figure 9.13

Effacer les cookies à la fermeture de Firefox.

6. Si vous souhaitez conserver les cookies de certains sites, rendez-vous dans l’option Gérer les permissions sur la même ligne. Là, pour chaque adresse Web que vous tapez, cliquez sur Autoriser pour cette session, Autoriser ou même Bloquer si, au contraire, vous ne voulez absolument pas de cookies.

7. Enregistrez les modifications.

Effacez les cookies de votre mobile

Sur smartphones et tablettes, même combat !

Sur iPhone

1. Allez dans Réglages, Safari, Avancé, Données de site.

2. Touchez Supprimer les données de site.

3. Vous avez l’option de bloquer tous les cookies, mais certaines pages Web ne fonctionneront pas. Dans ces cas-là, un message vous dira de les activer pour que le contenu s’affiche.

Si vous utilisez Chrome sur votre iPhone :

1. Ouvrez l’application Chrome.

2. Appuyez sur les trois points, puis sur Paramètres, Confidentialité, Effacer les données de navigation.

3. Cochez l’option Cookies, puis Données de site et toute autre option pour laquelle vous souhaitez effacer des données.

4. Touchez Effacer les données de navigation.

Sur smartphone Android

Puisque, sur les téléphones sous Android, les préférences sur les cookies se trouvent dans le navigateur lui-même, ouvrez ensuite l’application Chrome (ou votre navigateur par défaut).

Nettoyez ce qui s’est déposé jusqu’à présent :

1. Touchez les trois points en haut à droite, puis Paramètres, Confidentialité, Effacer les données de navigation, sélectionnez Cookies et données de site. Et touchez Effacer les données.

2. Revenez dans Paramètres, puis touchez Paramètres de site et Cookies. Désactivez l’option Cookies.

3. Pour bloquer les cookies tiers, cochez la case Bloquer les cookies tiers.

Les menus diffèrent selon les modèles, mais les rubriques qui nous intéressent se retrouvent facilement. Il faut savoir que les cookies ont une date de péremption, qui va jusqu’à plusieurs mois après l’enregistrement. À partir de là, ils disparaissent des ordinateurs et mobiles – jusqu’à ce que d’autres viennent les remplacer lors de toute nouvelle navigation.

Des risques d’accéder à ses comptes Web depuis l’ordinateur d’un proche ou un ordinateur public

Nous ne nous promenons pas tous les jours avec un ordinateur portable sous le bras. Certes, notre smartphone remplit de très nombreuses fonctions, mais pour les personnes qui hésitent encore sur le niveau de sécurité de celui-ci, l’ordinateur semble un moyen plus sûr de consulter ses comptes en ligne.

Pour ceux qui ont confiance en leur mobile, il arrive parfois que sa batterie soit à plat, sans possibilité immédiate de la recharger. Et certains n’ont pas d’ordinateur personnel.

Les risques de se connecter à un autre ordinateur pour consulter ses comptes sont les fameux cookies, l’historique de navigation et surtout la possibilité que les mots de passe tapés soient récupérés (par un keylogger, par exemple). Quelques précautions s’imposent donc.

Quelques gestes utiles

Évitez autant que possible de vérifier vos comptes en ligne à partir d’un ordinateur de cybercafé. Même si le gérant n’est pas malhonnête, il ne connaît rien de ses clients, qui peuvent installer sur ses machines un virus ou un programme de récupération des données, parfois via une simple clé USB.

Si vous n’avez pas d’autre solution que d’utiliser un ordinateur public, tapez directement dans la barre d’adresses celle du site à consulter, plutôt que de cliquer sur un lien ou un raccourci proposé à l’écran.

Une fois sur le site, vérifiez que le cadenas à gauche de la barre d’adresses est bien présent et de couleur verte ou noire. Cliquez sur le i (de « infos ») entouré pour vérifier si la connexion est totalement sécurisée, si du contenu est susceptible d’être bloqué, ainsi que la nature des cookies engrangés et les permissions d’accès au site.

Figure 9.14

Connexion publique : cadenas et infos.

Une fois vos identifiant et mot de passe tapés, une fenêtre vous propose d’enregistrer votre identifiant pour les connexions ultérieures. Cliquez sur Ne pas enregistrer et n’enregistrez pas non plus votre numéro de téléphone mobile.

Figure 9.15

Refuser l’enregistrement par le navigateur.

Lorsque vous avez terminé ce que vous aviez à faire sur le site, déconnectez-vous à partir du bouton prévu à cet effet, effacez vos traces et fermez l’onglet.

Effacez vos traces

1. Rendez-vous dans l’historique du navigateur.

2. Sélectionnez Supprimer l’historique récent.

3. Dans la fenêtre indiquant l’intervalle à effacer, sélectionnez La dernière heure, ou plus si vous êtes resté plus longtemps.

4. Cochez dans la partie Historique et Données tout ce qui ne l’est pas.

5. Cliquez sur Effacer maintenant.

6. Enfin, quittez le navigateur.

Si vous avez emprunté l’ordinateur d’une connaissance en qui vous avez confiance, demandez-lui si cela ne la dérange pas que vous effaciez l’historique. En effet, elle a peut-être enregistré, avant votre passage, des sites sur lesquels elle aimerait revenir.

Se protéger des adwares

Le mot adware est la contraction de ad (« publicité) et software (« programme »). C’est un logiciel qui vous offre un service contre de la publicité. Le problème étant que vous pouvez vous retrouver inondé par la suite d’annonces que vous ne pouvez pas stopper. De plus, un tel logiciel ralentit généralementvotre navigation sur Internet. Certains contiennent parfois des logiciels espions et il est arrivé que certains abritent des virus. Comment s’en protéger et, s’il est trop tard, comment les faire disparaître ?

Souvent, ces programmes viennent se nicher dans votre ordinateur à la suite d’une installation de logiciel gratuit. À l’exception de certains services développés par des étudiants ou chercheurs en université, ou encore par des membres d’une communauté de programmeurs bénévoles (comme dans le cas du lecteur de vidéos VLC), rien n’est vraiment gratuit. Assez souvent, la gratuité s’échange contre de la publicité, qui finit par vous polluer et remplace même parfois votre barre de recherche sur votre navigateur. Et cette barre de remplacement pourrait être contaminée par un logiciel espion.

Il existe des adwares « légitimes » dont la couleur est clairement annoncée. Ils servent à rémunérer les développeurs par le biais de la publicité. D’autres sont cachés et ne cherchent qu’à vous infecter ou à récolter des informations.

Attention aux programmes gratuits !

Les logiciels gratuits ont plus de risques de contenir un virus du fait même de leur gratuité, qui attire l’internaute. Lorsque vous voulez installer un programme gratuit, lisez la licence d’utilisation du logiciel ainsi que les instructions au fur et à mesure pour vérifier qu’un autre programme ne sera pas installé en même temps. Il suffit de décocher les cases des logiciels qui ne vous intéressent pas pour empêcher cela.

Il va de soi que vous devez avoir sur votre machine le meilleur antivirus en action et à jour (voir le Chapitre 1). Les antivirus payants proposent une protection anti-adware.

Pour télécharger le programme qui vous intéresse, n’allez que sur les sites de confiance. Il n’est pas difficile de faire une recherche sur Internet pour connaître les sites fiables ; un site malhonnête ou porteur de virus est très vite repéré.

Avant tout, ne cliquez sur rien qui vous promette le bonheur en quelques minutes !

Comment se débarrasser des adwares

Votre ordinateur a été infecté si :

des fenêtres de publicité s’ouvrent en permanence et sont difficiles à fermer ;

vous n’arrivez pas à désinstaller un logiciel, qui réapparaît à chaque démarrage ;

des extensions ou logiciels tiers s’installent dans votre navigateur ;

votre système ralentit ;

des mises à jour intempestives du programme se lancent sans votre consentement.

Il est alors temps de guérir votre ordinateur. Pour cela, il n’y a pas une quantité infinie de solutions : il faut lancer un logiciel anti-adware. La référence en la matière est AdwCleaner de Malwarebytes.

Une fois le logiciel malveillant neutralisé, vous aurez la possibilité de supprimer l’extension ou le logiciel fautif dans votre navigateur. Il suffit d’aller dans les paramètres, de trouver la section des extensions dans le menu et de la désinstaller du navigateur.

Puis allez dans le Panneau de configuration de votre ordinateur, section Désinstaller un programme, sélectionnez le programme fautif et désinstallez-le. Attention : il peut y avoir plusieurs lignes le concernant !

Se protéger des spywares

Les mêmes conseils valent pour les spywares, ces logiciels mouchards qui espionnent votre navigation. Dans le meilleur des cas, les spywares récupèrent des informations à destination de sociétés de marketing. Dans le pire des cas, ils peuvent aider des personnes malintentionnées à ponctionner votre compte bancaire ou à pirater vos réseaux sociaux.

Désinstaller simplement un spyware depuis votre Panneau de configuration risque de créer des dysfonctionnements sur votre ordinateur. Il existe là encore des anti-spywares qui vous en débarrasseront. Ad-Aware, SpyBlocker, Spybot – Search & Destroy en sont quelques exemples.

Les bloqueurs publicitaires

Les bloqueurs publicitaires sont un autre moyen d’empêcher l’installation de tels logiciels malveillants, et surtout ils rendent votre navigation plus fluide. AdBlock Plus et uBlock sont de très bons bloqueurs de publicités, dans lesquels il est possible d’ajouter des listes de filtres supplémentaires. Il existe d’autres bloqueurs publicitaires, que vous pouvez choisir en vous appuyant sur les avis de la communauté des utilisateurs.

Le navigateur Opera intègre son propre bloqueur de publicités ainsi qu’un VPN, accordant un soin particulier à la confidentialité des données.

Figure 9.16

Liste de filtres dans uBlock.

Ces censeurs ont un léger inconvénient : ils empêchent parfois certaines fenêtres de sécurité de s’ouvrir dans le cas d’un paiement en ligne, ou encore une vidéo de se lire. C’est à vous alors de désactiver temporairement le bloqueur pour le site en question, en cliquant sur l’icône correspondante. N’oubliez pas de cliquer à nouveau dessus pour réactiver le bloqueur sur le site après l’avoir consulté.

Figure 9.17

Désactiver temporairement uBlock.

Vous avez également la possibilité d’entrer l’adresse d’un site dans une liste « blanche ». Les publicités et l’ouverture des fenêtres sécurisées seront alors autorisées pour toutes les connexions à ce site.

Figure 9.18

Liste blanche dans uBlock.

Estimer la fiabilité d’un site : sérieux ou propagateur de fake news ?

De nombreux sites proposent aujourd’hui du contenu se voulant alternatif aux médias officiels, se vantant d’apporter une information plus juste. Ils affirment qu’en étant indépendants, ils révèlent une vérité que vont cacher ces mêmes médias. Si certains font un vrai travail d’investigation et sont sérieux dans leur traitement de l’information, d’autres arrangent les faits à leur manière, les sortent de leur contexte et ces écrits ou vidéos ne reflètent en fait que leur propre avis. Comment donc faire la part de ce qui est vrai d’un fatras d’opinions destinées à dérouter et influencer le lecteur ?

Avant de lire un quelconque article émanant d’un site, sachez à qui vous avez affaire. Pour cela, cherchez la page qui annonce la nature du site et sa démarche. La page peut se nommer « Qui sommes-nous ? », « À propos de… », « Histoire », « Présentation » ou tout autre titre similaire. Il est nécessaire parfois de faire défiler jusqu’en bas de la page pour trouver ce qui vous intéresse. La plupart des sites parodiques ou satiriques tels que le Gorafi annoncent clairement la couleur, ce qui nous épargne de devoir vérifier les informations, puisque nous savons dès le départ qu’elles sont inventées, destinées à nous faire passer un bon moment. Toutefois, l’intention n’est pas toujours affichée de façon évidente. C’est pourquoi cette vérification n’est pas garante à elle seule de la fiabilité d’un site.

Pouvez-vous identifier les auteurs et administrateurs du site, ou les noms sont-ils cachés derrière des pseudonymes, voire en mode « anonyme » ? Un pseudonyme ne catalogue pas forcément l’auteur dans la catégorie fabulateurs, mais devrait vous pousser à chercher davantage de précisions.

Si le site est orienté politiquement ou d’une autre façon, si ses propos font preuve de parti pris, est-ce clairement énoncé ? Certes, la même interrogation vaut pour les médias officiels, dont la neutralité n’est aucunement garantie. Il n’est pas interdit d’avoir une orientation, dans la mesure où celle-ci n’est pas dissimulée.

Les sources

Passons aux sources qui ont amené à la rédaction de l’article du site : sont-elles mentionnées ? Peut-on les retrouver ? Il est important de consulter ces sources pour vérifier si le contenu n’a pas été altéré par l’auteur de l’article. Il arrive que, pour ne pas répéter mot pour mot le discours originel, l’auteur en déforme les propos, en usant de raccourcis pas toujours heureux, qui incluent sa propre compréhension du sujet. Le risque est d’autant plus présent si la source en question est dans une langue étrangère. Enfin, les sources en elles-mêmes ne sont pas forcément fiables, ce qui nous oblige alors à d’autres vérifications.

La date dudit article doit également être cohérente : combien d’internautes ont été trompés par une information ou une photographie remise au goût de l’actualité alors qu’elle concerne un événement ayant eu lieu des années auparavant, parfois même dans un autre pays !

Amnesty International propose un outil de recherche inversée permettant de savoir si une vidéo a déjà été publiée par le passé, et de comparer ainsi les sources : https://citizenevidence.amnestyusa.org. TinEye (https://www.tineye.com/) et Google (https://www.google.com/intl/fr_fr/search/about/) font de même avec les photographies.

Parfois, les commentaires d’une publication nous donnent des indications sur sa véracité, des remarques pertinentes : il peut être intéressant de les lire.

Le contenu

Après toutes ces vérifications – fastidieuses mais nécessaires pour ne pas vous laisser manipuler –, regardez l’article : son contenu est-il cohérent, ouvert à d’autres points de vue ou foncièrement discriminatoire ? Le titre en soi n’est pas forcément révélateur d’informations erronées, puisqu’il obéit le plus souvent à des considérations marketing visant à attirer l’internaute avec des mots racoleurs et des formules chocs.

Étudiez ce que vous lisez, repérez si les informations sont factuelles et précises, ou alors la manifestation d’une opinion isolée parmi tant d’autres.

Si une personnalité est attaquée, a-t-elle eu un droit de réponse ? L’article intègre-t-il des sources vers des citations officielles de cette même personnalité, qui nous permettent de juger du bien-fondé de l’article ?

Un article non factuel et renfermant des assertions générales telles que « tout le monde sait que… », « des analyses ont montré que… » (lesquelles ?) et même la fameuse « de source sûre » tant employée doivent susciter la méfiance. Quels sont les faits ? Qui a tenu ces propos ? En quelle occasion ? L’auteur de la source est-il fiable ?

L’outil de détection de fake news du Monde

Le journal Le Monde a lancé début 2017 le Décodex, un outil permettant de détecter les sites propageant ou fabriquant des fakes news (« fausses informations »), ne citant pas leurs sources ou utilisant des sources trompeuses. S’il n’est pas la panacée dans le domaine, il a le mérite de nous alerter sur les sites de fausses rumeurs les plus évidentes et de nous inciter à la prudence.

Le Décodex est présent en trois déclinaisons :

une extension qui indique en temps réel la fiabilité du site sur lequel vous naviguez, sur Google Chrome : https://chrome.google.com/Webstore/detail/decodex/kbpkclapffgmndlaifaaalgkaagkfdod ; sur Firefox : https://addons.mozilla.org/fr/firefox/addon/lemonde-decodex/ ;

un moteur de recherche visant le même objectif : https://www.lemonde.fr/verification/ ;

des articles pédagogiques donnant des conseils d’évaluation des informations, des astuces pour repérer les sites douteux : https://www.lemonde.fr/les-decodeurs/article/2017/02/03/decodex-notre-kit-pour-verifier-l-information-a-destination-des-enseignants-et-des-autres_5074257_4355770.html.

Vous l’avez compris, il est primordial de comparer les sources et de vérifier si le site n’a pas publié de fausses informations par le passé avant de nous jeter sur un like, un grrr ou un partage d’article, qui nous ciblera d’emblée dans les réseaux sociaux comme un partisan ou un détracteur des propos ainsi identifiés.

Dans un monde où la vitesse est le mot d’ordre, nous avons tendance à oublier que, par ces simples gestes manifestant notre approbation sans vérification, nous donnons foi à des informations trompeuses. Et c’est ainsi qu’une fausse information devient virale et prend l’apparence d’un fait réel, alors qu’elle ne fait que susciter des réactions. De plus, gardons en tête qu’une vidéo choquante a pu très bien être montée par une agence de publicité pour promouvoir un produit. Vous la partagez ? Tant mieux pour cette agence et ce produit !

Mener une enquête avant de lire un article s’apparente à une perte de temps et d’énergie, mais rappelez-vous toutefois que même si vous vous rendez compte après lecture que le site n’est pas fiable, l’information est entrée dans votre esprit et y a semé le doute. Gardez votre esprit libre et protégez-le de ces influences néfastes.

Vérifier la validité d’un lien avant de cliquer dessus

Un lien vers un article ou un site est tentant : nous y voyons une source à consulter ou encore des informations complémentaires à récupérer. Attention néanmoins aux clics intempestifs, surtout lorsque le lien n’est pas indiqué clairement ! En effet, il peut s’afficher sous forme de titre souligné, qui masque l’adresse. Le premier moyen de le vérifier est de cliquer avec le bouton droit de la souris sur le lien en question et de sélectionner Examiner l’élément. Apparaît alors une fenêtre dans le bas de votre écran, dans laquelle est surligné sur le côté gauche le lien en question, en clair. Il est ainsi aisé de vérifier l’adresse URL. Examinez-la consciencieusement, car des arnaqueurs changent parfois une lettre du nom du vrai site, ou leur extension, pour vous diriger vers leur site factice.

Figure 9.19

Vérifier l’adresse d’un lien.

La seconde façon d’aller sur le bon site proposé par le lien est encore de taper le nom de celui-ci – sans les sous-rubriques – dans un nouvel onglet de votre navigateur, puis de faire une recherche de la page nommée.

Si celle-ci n’existe plus, vous le saurez par un message qui vous indiquera qu’elle a été supprimée. Si elle est toujours sur le site, vous aurez alors le loisir de la lire et aurez l’assurance de vous trouver au bon endroit.

Protéger son e-réputation

Il nous arrive parfois d’être sujet à des attaques personnelles non fondées, que nous nous empressons de démentir car les calomnies nous choquent, sans compter qu’elles peuvent salir une réputation. Même si nous vivons dans un pays ayant opté pour le principe de la présomption d’innocence, la réalité est tout autre. Le vieil adage selon lequel il n’y a pas de fumée sans feu a la peau dure. Pourtant, il est facile de démontrer à quel point il est faux, sinon mal interprété. Il suffit d’une fausse rumeur pour qu’une réputation soit salie sur le long terme, même si sa victime a été jugée non coupable.

Nous savons à quel point une fausse information peut générer de vives émotions, voire de violentes actions en représailles. Le harcèlement en est un exemple hélas trop commun, à même de détruire la quiétude et parfois aussi la santé psychique de la personne incriminée. C’est pourquoi nous accordons un soin particulier à soigner notre image et à donner la chasse à tout ce qui viendrait faussement l’entacher.

Sur Internet, le péril est d’autant plus grand que les informations se propagent à la vitesse de la lumière, partagées et commentées aux quatre coins du monde. Il est ensuite presque impossible d’enrayer le phénomène, et nous endossons alors la charge de devoir nous justifier à toute occasion pour des paroles ou des actes qui ont été inventés, déformés ou mal interprétés. Si les entreprises et les personnages publics sont les plus touchés, le particulier n’est pas pour autant à l’abri d’un lynchage numérique.

L’e-réputation est un droit de l’homme

La Déclaration universelle des droits de l’homme2 inclut dans son article 12 un paragraphe sur la réputation de façon générale, qui s’applique aussi bien à l’e-réputation : « Nul ne sera l’objet d’immixtions (action de s’immiscer) arbitraires dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d’atteintes à son honneur et à sa réputation. Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes. »

En clair, les intrusions sauvages dans la vie privée d’un autre et les propos diffamatoires sont interdits, quel que soit le média utilisé.

Cherchezr à se protéger et à se bâtir une e-réputation positive

Votre identité numérique vous appartient, de même que votre vie privée. Vous avez le droit d’avoir un jardin secret, et l’atteinte à cette partie de votre vie par des personnes malintentionnées est punie par la loi. Nul ne peut utiliser votre image ou votre vie privée à votre insu.

Là où nos informations nous échappent, c’est lorsque nous laissons intentionnellement des traces sur la Toile. Nous sommes – dans la majorité des cas – la première personne à nous faire connaître en ligne.

Gardez à l’esprit que tout ce que vous partagez de votre vie sur Internet est susceptible d’être utilisé à votre désavantage, ou à des fins auxquelles vous n’avez pas forcément donné votre accord. C’est pourquoi il est préférable de prendre quelques secondes pour respirer profondément et peser les conséquences de vos contenus avant de les poster. Les actions semblent bénignes – comme liker un post sur un réseau social ou commenter un article – mais elles vous cataloguent aussi sûrement que si vous aviez répondu à un sondage. La façon de vous protéger sur les réseaux sociaux est amplement décrite dans le Chapitre 3. Voyons déjà comment bâtir votre e-réputation.

Travailler son e-réputation

La première idée venant à l’esprit de quelqu’un qui veut en apprendre un peu plus sur vous, c’est de taper votre nom dans son moteur de recherche favori et de lire les résultats qui s’affichent. Peut-être avez-vous le même réflexe curieux de vérifier ce contenu vous concernant. Il faut savoir que la majorité des internautes (aux environs de 90 %) ne vont pas au-delà de la première page des résultats, les curieux restants ne poussant généralement pas plus loin que les deuxième et troisième pages.

Pour tout entrepreneur, une bonne réputation donne confiance et génère des clients. A contrario, des commentaires négatifs sur ses produits suscitent la méfiance et dissuadent les prospects. La proportion n’est même pas équilibrée : il faut bien plus d’avis positifs que négatifs pour amener l’intéressé à passer outre le pourcentage de clients mécontents, qui existe pour n’importe quelle activité.

Certaines entreprises l’ont bien compris et ont renforcé leur service après-vente afin d’adoucir les insatisfaits. Attention néanmoins aux sociétés qui vous incitent à retirer vos commentaires négatifs sur la qualité d’un produit sous prétexte qu’elles vous ont adressé un nouvel objet en échange, dont la qualité n’est pas supérieure au précédent.

L’influence des avis négatifs

Une étude réalisée en 2014 par l’Ifop3 pour l’agence Reputation Vip donne ces résultats édifiants :

80 % des personnes allant sur Internet pour effectuer des achats se renseignent avant d’acheter.

96 % sont influencés par l’e-réputation de l’entreprise visitée, ou celle de la marque.

Les avis négatifs dissuadent 85 % des consommateurs.

Les articles de presse défavorables sur l’entreprise font autant de dégâts : 87 % des consommateurs internautes abandonneront leur envie d’achat après les avoir lus.

Si vous êtes entrepreneur, portez donc un soin particulier à soigner votre image et à offrir des produits de qualité ainsi qu’un service après-vente irréprochable : c’est le meilleur gage pour obtenir des commentaires positifs.

Pour un particulier, l’e-réputation va tourner autour de ce qu’il poste sur lui-même, ses opinions et états d’âme, ainsi que ce qu’il partage. Si vous commentez positivement des articles qui ne citent pas leurs sources, qui incitent à la haine ou au boycott sauvage, qui sont discriminatoires, etc., vous serez fiché comme partisan.

Si vous relayez de fausses informations (fake news ou infox) car vous n’avez pas pris le temps de les vérifier, votre sérieux sur la Toile en prendra un coup. N’hésitez pas à mettre en avant vos valeurs ainsi que les bonnes informations vous concernant, sur votre site, votre blog, vos réseaux sociaux. Les pages « À propos de… » sont faites pour cela.

Supprimez vos commentaires sur les forums où vous avez posté des interventions il y a bien longtemps, si elles ne correspondent plus à ce que vous pensez à présent ou si vous préférez qu’elles n’apparaissent pas dans les résultats de recherche. La tâche ne sera pas aisée ; il vous faudra parfois contacter l’administrateur des sites en question et plaider votre cause.

Mettez-vous en relation avec des influenceurs qui pourront dire du bien de vous ou de vos produits, et qui vous donneront ainsi une visibilité sur le Net par le biais de leur communauté.

Vous êtes expert d’un domaine ? Faites-le savoir : écrivez des billets sur le sujet, commentez les articles qui en parlent – avec une approche aussi pertinente qu’originale. Enfin, demandez un partenariat avec ces sites : écrivez pour eux, et ils feront votre publicité auprès de leurs abonnés en leur proposant un lien vers votre site ou blog.

Soignez votre orthographe et votre syntaxe, surtout si vous recherchez un emploi. En effet, pour huit Français sur dix, un texte criblé de fautes est disqualifiant4. Au mieux, il rend la lecture difficile et fait fuir les internautes qui auraient pu s’intéresser à son contenu.

Si vous le souhaitez, faites appel à des experts du référencement, qui sauront faire apparaître le meilleur vous concernant dans les premières pages des résultats de recherche de moteurs de recherche comme Google ou Bing.

Surveiller son e-réputation

Le meilleur moyen de vous maintenir au courant de votre e-réputation est d’assurer une veille constante sur vos nom et prénom, ainsi que sur tout autre mot-clé vous représentant (le nom de votre entreprise, par exemple). Ainsi vous pourrez réagir rapidement pour redresser la barre en cas de « mauvaise presse ». Cette veille peut être initiée sur Google Alertes5 : il vous suffit d’introduire votre nom dans la barre de recherche Créer une alerte à propos de….

Figure 9.20

Page de recherche de Google Alertes.

1. Enquête de transparence Google, temps réel depuis mai 2014 – https://transparencyreport.google.com/eu-privacy/overview?lu=delisted_urls&requests_over_time=&delisted_urls=start:1401235200000;end:1565654400000;country:FR

2. Déclaration universelle des droits de l’homme, ONU – https://www.un.org/fr/universal-declaration-human-rights/

3. Sondage Ifop, mars 2015 – https://www.ifop.com/wp-content/uploads/2018/03/2968-1-annexe_file.pdf

4. Sondage Ifop, mai 2019 – https://www.ifop.com/publication/les-francais-et-les-humanites/

5. Google Alert – https://www.google.fr/alerts

Chapitre 10

Les enfants et les adolescents

Aujourd’hui les enfants ont la possibilité d’accéder très tôt à Internet via les ordinateurs, tablettes et smartphones. Certains semblent nés avec. Ils ont une compréhension intuitive de leur fonctionnement, et cette fenêtre ouverte sur des milliards d’images les attire comme le chant des sirènes. Néanmoins, sans un minimum de précautions, cette ouverture sur le monde devient rapidement une boîte de Pandore…

Puisque le propre des plus jeunes est de découvrir et tester, puisqu’ils ne mesurent pas forcément les conséquences de leurs actes, notre tâche est de les aider à naviguer en toute sécurité dans l’univers d’Internet et à se protéger d’éventuelles attaques ou du harcèlement en ligne.

Protéger les mineurs contre le harcèlement en ligne

Nous avons abordé ce sujet au Chapitre 3, mais il est bon d’y revenir car il est particulièrement sensible chez les mineurs.

Le harcèlement en ligne n’est pas plus facile à supporter que sa version « traditionnelle ». Avec les dispositifs mobiles, il prend de l’ampleur, car un post dénonciateur devenant viral sort sa victime d’un anonymat sécurisant pour la jeter dans une fosse aux lions démultipliés et affamés. Enjoindre son enfant à ne rien publier de personnel sur lui est une cause perdue : l’occasion est trop tentante d’être admiré, flatté, reconnu – et de regarder les autres – pour qu’il s’en prive. Aussi ne pouvons-nous que l’éduquer sur les divers risques à se dévoiler publiquement, en agrémentant nos propos d’exemples réels de harcèlement vécus.

Il existe six formes courantes de harcèlement en ligne :

les insultes de toutes sortes allant jusqu’à la haine ;

la propagation de fausses rumeurs (parfois via une usurpation d’identité) ;

la réception d’images explicites non sollicitées ;

le fait d’être constamment interrogé sur les lieux où l’on se trouve, sur ce que l’on fait, avec qui l’on se trouve, par quelqu’un d’autre qu’un membre de sa famille ;

les menaces physiques ;

des images explicites ou humiliantes de soi partagées sans consentement.

La plupart du temps, les insultes passent par des messages privés ou des commentaires, ce qui rend la tâche difficile pour les modérateurs souhaitant les repérer. Le harcèlement se manifeste également sur des forums ou des chats instantanés. La personne harceleuse n’est pas toujours identifiable (parce qu’elle crée un compte secondaire « anonyme »), ni ses motivations connues. Ce qui laisse le champ ouvert à des questionnements et remises en question de la part de l’adolescent, à une époque de sa vie où il se cherche encore et accorde une grande importance au regard des autres.

Étonnamment, la majorité des adolescents interrogés estiment que leurs parents leur proposent l’aide la plus efficace contre le harcèlement. Donc parents, n’hésitez pas à parler de ce sujet à vos enfants, et présentez-vous comme le meilleur ami qu’ils auront jamais pour faire face au cyber-harcèlement !

Instagram

Instagram est l’un des réseaux sociaux les plus populaires chez les adolescents. C’est également l’un des « lieux » où ils sont le plus harcelés. Les victimes ne signalant que rarement les abus, la direction d’Instagram a décidé en 2018 de mettre en place une intelligence artificielle pour détecter tout élément de harcèlement ou d’intimidation sur les photos et leurs légendes.

Faut-il répondre à un harceleur ?

Parfois, un troll – personne qui dispense des messages de haine ou provoque volontairement les autres sur un forum ou un réseau social – s’insère dans une conversation en ligne. Tenter d’opposer nos arguments au fauteur de troubles ne sert à rien et ne fait que l’encourager à surenchérir, avec des propos toujours plus violents.

Le conseil vaut également lorsque le harcèlement cible votre enfant : plus ce dernier va chercher à répondre à son harceleur, plus il sera harcelé. Se défendre, même avec des faits véridiques, ne fait qu’exciter le provocateur, et lui donne de quoi moudre son grain avec les informations que l’enfant vient de lui fournir. Il renchérira en cherchant à mettre sa victime en porte-à-faux. Le mieux est de ne pas entrer dans le jeu des questions-réponses et de porter plainte, preuves à l’appui (captures d’écran, notamment).

Comment arrêter le harcèlement par courriels

Lors d’un harcèlement par courriels, chercher l’adresse IP de l’expéditeur s’avère utile pour retrouver la personne derrière ce déferlement de haine. Nous n’y pensons pas, mais cette information est souvent transmise avec le courriel envoyé.

1. Cliquez sur le courriel non ouvert avec le bouton droit de la souris et choisissez Afficher l’original, Afficher la source du message ou encore Propriétés.

2. À la ligne Received from… (Reçu de…), vous verrez entre parenthèses s’afficher la fameuse adresse IP. Recopiez-la pour la fournir au commissariat lorsque vous irez porter plainte.

Il est également possible de récupérer une adresse IP auprès d’un site car celle-ci est enregistrée avec les messages tapés. Elle ne garantit pas à 100 % que vous retrouverez l’identité de la personne (qui s’est peut-être connectée depuis une adresse IP qui n’est pas la sienne), mais fournira une piste supplémentaire.

La meilleure défense, c’est l’attaque ! Pour contrer un troll en ligne, il suffit souvent de le repérer et de le révéler comme tel à la communauté pour qu’il soit mis hors d’état de nuire. Le signaler au réseau social ou au modérateur du site visité bannira le mauvais plaisantin une fois pour toutes. Dans le cas du ciblage direct, pourquoi ne pas inciter l’enfant à dénoncer auprès de ses propres amis la personne destructrice, en mettant l’attention sur elle ? Elle deviendra à son tour la cible, ce qui devrait la calmer.

Comment traiter le lynchage sur les médias sociaux

Le lynchage sur les médias sociaux d’un adolescent est particulièrement inquiétant : une photo ou une vidéo personnelle publiée avec ou sans son consentement fait l’objet de moqueries méchantes et d’un déchaînement de commentaires négatifs.

Une telle mise au pilori a souvent des conséquences graves, pouvant aller jusqu’à la tentative de suicide de la personne concernée. Malheureusement, même certains amis se laissent entraîner à des commentaires pas très heureux (sous le fameux effet de foule), sans réfléchir à la portée de leurs actes.

Conseillez à l’adolescent de cesser de lire les échanges et de supprimer la photo ou la vidéo s’il en est à l’origine, ou dénoncez cela auprès des sites concernés. Exigez auprès des « amis » qui ont partagé ce post de le supprimer, en évoquant le droit à l’image.

La section « Le droit à l’oubli » du Chapitre 9 sur la navigation Web vous donne quelques outils pour tenter de faire disparaître ce média perturbant.

Le revenge porn

Connaissez-vous le revenge porn ? Une relation amoureuse s’est mal terminée, et l’adolescent éconduit décide de se venger en partageant sur le Net des photos ou vidéos explicites de son ex-conjoint(e) – les mêmes qu’ils s’échangeaient en toute confiance. Il n’y a pas d’autre solution ici que de porter plainte et d’exiger qu’il retire immédiatement ce contenu. Ceux qui visionnent et partagent en toute complicité ces contenus doivent également être signalés. Faites des captures d’écran à titre de preuves.

Outre les précautions d’usage énumérées dans ce livre à plusieurs reprises, incitez votre enfant à changer ses mots de passe et adresses de messagerie en cas de rupture amoureuse, comme lorsque l’on change ses serrures après une séparation ou un cambriolage.

Contre les discours haineux

Plusieurs géants du Web, dont Instagram, se sont unis en 2016 afin d’édicter un code de conduite visant à pister et bannir les commentaires haineux via une liste de mots-clés1 : « Les entreprises des TI [technologies de l’information] soutiennent les efforts déployés par la Commission européenne et les États membres de l’UE pour relever le défi consistant à garantir que les plateformes en ligne n’offrent pas de possibilités de propagation virale des discours haineux illégaux diffusés en ligne. Elles partagent, avec d’autres plateformes et d’autres entreprises actives dans le domaine des médias sociaux, la responsabilité collective et l’honneur de promouvoir et de faciliter la liberté d’expression dans le monde en ligne. Toutefois, la Commission et les entreprises des TI reconnaissent que la propagation des discours haineux illégaux en ligne a des répercussions négatives non seulement sur les groupes ou les personnes qu’ils visent, mais aussi sur ceux qui s’expriment en faveur de la liberté, de la tolérance et de la non-discrimination dans nos sociétés ouvertes, et nuit au discours démocratique sur les plateformes en ligne. »

Le happy slapping

Il existe un type de harcèlement bien plus grave encore, le happy slapping, ou vidéo-agression : une pratique qui consiste à filmer une agression physique avec son portable et à diffuser la vidéo sur Internet. Malheureusement il ne s’agit pas de dénoncer des actes de violence, mais de « faire le buzz » sur le Web.

Pour la Direction générale de la Police nationale (DGPN), les protagonistes sont tous coupables, qu’ils commettent les violences, les filment ou les diffusent. Le happy slapping est sanctionné comme un « acte de complicité des atteintes volontaires à l’intégrité de la personne »2. Des amendes et des peines de prison s’appliquent en proportion de la gravité de l’acte subi et de ses conséquences pour la victime. Le simple fait de diffuser la vidéo-agression est passible de cinq ans d’emprisonnement et de 75 000 euros d’amende.

Si votre enfant découvre une vidéo de violence sur Internet, il doit immédiatement la signaler à l’adresse https://www.internet-signalement.gouv.fr/PortailWeb/planets/Accueil!input.action.

Signaler un harcèlement en ligne

La Cnil propose des numéros d’appel pour signaler des cas de harcèlement et se faire aider3.

« Si vous êtes victime et avez moins de 18 ans, composez le 3020. Il est ouvert du lundi au vendredi de 9h à 18h (sauf les jours fériés). Le numéro vert est géré par la plateforme nonauharcelement.education.gouv.fr qui propose de nombreuses ressources pour les victimes, témoins, parents et professionnels (écoles, collèges, lycées). Si le harcèlement a lieu sur Internet, vous pouvez également composer le 0800 200 000 ou vous rendre sur netecoute.fr. La plateforme propose une assistance gratuite, anonyme, confidentielle par courriel, téléphone, chat en ligne, Skype. Une fonction “être rappelé par un conseiller” est également disponible. La réponse en ligne est ouverte du lundi au vendredi de 9h à 19h. »

Les logiciels de contrôle parental

Des logiciels de contrôle parental existent sur tous les systèmes d’exploitation. Ils sont utiles pour protéger votre enfant des menaces du Web. Il ne s’agit pas de contrôler sa vie, mais de vous assurer qu’il n’aille pas sur des sites susceptibles de propager des maliciels ou qui ne correspondent pas à son âge de par leur caractère violent ou pornographique.

Créer une session uniquement pour votre enfant, avec des accès limités, évitera également d’éventuels effacements de vos fichiers par erreur.

Sur Windows 7 :

1. Allez dans Panneau de configuration, puis Comptes et protection des utilisateurs.

2. Cliquez sur Configurer le contrôle parental pour un utilisateur.

3. Sélectionnez le compte utilisateur que vous avez créé pour votre enfant. S’il n’existe pas, créez-en un nouveau, de type « standard » pour limiter les accès. Il faut savoir que, pour créer un nouveau compte à contrôler, le compte « administrateur » (le vôtre) doit être protégé par un mot de passe, inconnu de votre enfant.

4. Dans la fenêtre de configuration du compte, vous aurez le loisir de gérer les limites de temps, les jeux accessibles, etc.

5. Dans la même section Configurer le contrôle parental, profitez-en pour visiter la rubrique Systèmes de classification des jeux afin de contrôler l’accès de votre enfant aux jeux. Vous trouverez au bas de cette fenêtre un lien qui explique en quoi consistent ces systèmes de classification.

Figure 10.1

Contrôle parental : restriction des jeux.

Sur Windows 10 :

Il vous faut au préalable disposer d’un compte Microsoft associé à votre ordinateur Windows 10.

1. Allez dans Paramètres, Comptes, Famille et autres utilisateurs.

2. Dans la partie Comptes, créez un nouveau compte d’utilisateur pour votre enfant.

3. Suivez les instructions à l’écran pour paramétrer ce compte.

4. N’oubliez pas de protéger votre propre session avec un mot de passe fort, connu de vous seul.

Vous avez la possibilité d’installer des contrôles supplémentaires comme le filtrage Web, le temps de connexion ou les programmes autorisés à s’exécuter.

Microsoft a installé sur Windows 10 un système permettant de réunir les comptes des membres de la famille, chacun avec leurs paramètres. Il suffit de se rendre sur la Page Famille et de créer les divers comptes avec le bouton Ajouter un membre de la famille.

Bloquer des applications et des jeux s’avère un peu moins pratique, puisqu’il faut aller dans Activité récente (et non Applications, jeux et médias) pour sélectionner le jeu à bannir. C’est-à-dire qu’il faut attendre que l’enfant ait lancé une application ou un jeu pour en interdire l’accès.

Figure 10.2

Contrôle parental dans Windows 10.

Comment empêcher les achats « in-app » dans les jeux « gratuits »

Quel parent n’a jamais prêté son mobile à son enfant pour le laisser jouer à des jeux pour, au moment de la facture, découvrir qu’il a effectué des achats pour une somme pharaonique ? Le téléchargement de l’application en question était gratuit, mais à l’intérieur se trouvaient des options payantes sous forme d’achats « in-app ». Heureusement, il existe des paramétrages dans votre téléphone empêchant l’achat intempestif d’applications.

Une facture salée

En 2017, un enfant de 11 ans a dépensé plus de 7 000 euros en achats « in-app » sur l’iPad de ses parents !

Sur iPhone ou iPad

1. Touchez Réglages, Temps d’écran.

2. Touchez Activer Temps d’écran.

3. Touchez Continuer, puis choisissez Cet [appareil] est à moi ou Cet [appareil] est à mon enfant.

4. Précaution à ne pas négliger à cette étape si l’appareil vous appartient : touchez Utiliser le code de Temps d’écran dans le menu afin de vous créer un code à quatre caractères qui empêchera quiconque de modifier vos paramètres. Saisissez à nouveau le code pour le confirmer.

5. Pour configurer Activer Temps d’écran sur l’appareil de votre enfant, après avoir sélectionné Cet [appareil] est à mon enfant, touchez Définir un temps d’arrêt.

6. Choisissez des restrictions de temps si vous le souhaitez.

7. Suivez les invitations jusqu’à Code du parent.

8. Saisissez un code, puis confirmez-le. Ainsi, toute modification de paramètres réclamée par l’enfant nécessitera votre autorisation (sous forme de code).

9. Toujours dans Temps d’écran, sélectionnez maintenant Restrictions relatives au contenu et à la confidentialité.

10. Activez Restr. cont. & conf., puis touchez Achats dans l’iTunes et l’App Store.

11. Touchez Achats intégrés et cochez Ne pas autoriser.

12. Retournez une page en arrière et, en bas du menu, à Exiger le mot de passe, cochez Toujours exiger. Cette dernière action vous protégera de tout achat effectué sans votre consentement ou par étourderie avec votre adresse xxx@icloud.com dans l’iTunes Store, la librairie ou l’App Store.

Ne choisissez pas comme code de restriction aux apps celui du déverrouillage de l’appareil, bien sûr.

Si le partage familial est activé, vous pouvez autoriser votre enfant à effectuer des achats à l’aide de la fonctionnalité Demander l’autorisation d’achat.

Sur un appareil Android

1. Lancez Google Play Store.

2. Touchez l’icône en haut à gauche (les trois lignes horizontales).

3. Sélectionnez l’option Paramètres au bas du menu.

4. Dans la section Commandes utilisateur, touchez Exiger l’authentification pour les achats.

5. Sélectionnez l’option qui vous intéresse (Pour tous les achats via Google Play sur cet appareil ou Toutes les 30 minutes).

6. Si vous souhaitez une authentification par empreinte digitale, toujours dans les Paramètres de Google Play Store, à la section Commandes Utilisateur, cochez la case Authentification par empreinte digitale.

7. Entrez votre mot de passe Google et appuyez sur OK.

Éduquer les mineurs à l’usage d’Internet

Votre attitude vis-à-vis d’Internet et de ses possibilités aura toujours une influence sur celle de vos enfants. Ne leur laissez jamais considérer qu’ils peuvent tout faire et tout poster sur le Web sans conséquences. Tout au long de ce livre, nous avons mis l’accent sur les risques qui existent à être connecté à la plus grande encyclopédie ouverte du monde ; il est important que l’enfant comprenne la portée de ses actions sur sa sécurité et celle des autres.

Laisser un enfant avec une tablette connectée entre les mains, comme certains parents laissent leur progéniture devant le téléviseur allumé pour être tranquilles un moment, n’est pas sans péril. Internet est un média qui incite l’internaute à participer, à interagir, ce qui peut l’amener à faire des choix pas toujours judicieux.

Il est important d’éduquer les mineurs sur ce que deviennent leurs photos et leurs données à partir du moment où ils les partagent sur la Toile, et particulièrement sur les réseaux sociaux.

Éducation aux réseaux sociaux

Un enfant n’a pas le droit d’ouvrir de compte Facebook avant l’âge de 13 ans, pour des raisons de sécurité et notamment pour éviter qu’il ne soit l’objet de sollicitations suspectes.

Facebook donne la possibilité à ses utilisateurs de les alerter sur un compte dont le titulaire n’a pas encore l’âge minimum requis ; après vérification et si le doute n’est pas permis, Facebook supprimera le compte en question.

Figure 10.3

Signalement d’un compte Facebook dont le propriétaire n’a pas l’âge minimum requis.

Si vous ouvrez un compte de réseau social pour votre enfant, limitez les accès à ses amis de la vie réelle, afin qu’aucune personne étrangère n’ait la possibilité de le contacter et de lui proposer des offres aussi alléchantes que douteuses.

Avec un adolescent, discutez des risques qui existent à publier des éléments de sa vie privée et les répercussions éventuelles que cela entraîne. Abordez avec lui les risques liés à la géolocalisation, afin qu’il soit toujours vigilant : partager sa position sur la Snap Map (la carte de Snapchat) est en effet une activité très prisée chez de nombreux adolescents.

Le Chapitre 3 sur les réseaux sociaux décrit en détail ce que vous avez besoin de savoir pour sécuriser leurs informations.

Apprendre à un mineur à différencier le vrai du faux

Ce n’est pas parce que « Internet le dit » que c’est forcément vrai. Voilà une maxime qu’il est bon de faire comprendre à vos enfants ou adolescents. Il est indispensable pour eux de savoir discerner l’info de l’infox.

Un très grand nombre des informations qui transitent par Internet ne sont pas de première main. Elles ont eu le temps d’être transformées, interprétées, sorties de leur contexte, recopiées avec des erreurs, partagées mille fois sans avoir été vérifiées.

Ce qu’il faut bien faire comprendre à l’enfant, c’est qu’Internet est un espace ouvert à tous, que chacun peut y contribuer et que ce n’est donc pas un réservoir d’informations crédibles, bien au contraire. Il faut donc qu’il intègre que ce n’est pas forcément une bonne habitude de ne lire que les articles d’un seul site d’actualités, d’écouter un unique influenceur, etc. Ces sources d’information ne sont pas neutres dans leurs analyses, quoi qu’elles prétendent. Ne serait-ce que par leur choix des nouvelles qu’elles diffusent, par le tri qu’elles opèrent sous l’influence de leur vision de la vie. En cette ère du tout-numérique, il vous incombe donc d’inciter vos enfants à coiffer leur casquette de Sherlock Holmes afin de trouver les vérités dans cette jungle de données !

Inciter l’enfant à débusquer les mensonges

Les enfants aiment les jeux ; pourquoi ne pas les amener à considérer la recherche d’une information vraie comme un défi à relever ? Qu’ils adoptent ainsi la maxime « À moi, on ne me la fait pas ! », et considèrent comme une victoire d’avoir repéré une fausse information grâce à leurs talents d’enquêteurs.

La règle de conduite à préconiser pour approcher le plus de la vérité est « Je ne crois que ce que j’ai vérifié par moi-même », plutôt que « Je ne crois que ce que je vois ». La fameuse règle d’or des sceptiques ne tient pas la route sur Internet, puisque nous pouvons avoir devant nos yeux un « scoop » qui date de plusieurs années, et une image ou vidéo truquée. Or, les moteurs de recherche ne classent pas leurs résultats de requête par chronologie, mais par popularité. D’où la possibilité d’erreurs. Nous tombons souvent sur des informations qui se contredisent, affirment des mensonges, sont criblées d’inexactitudes ou imposent leurs vérités, et il est bon d’apprendre à l’enfant à trier le vrai du faux.

Habituez les jeunes à constater, chaque fois que possible, de leurs propres yeux, à prendre les informations à la source et non auprès d’instances qui auraient « mené l’enquête » ; car une enquête peut très bien avoir été conduite de façon à orienter la pensée dans une certaine direction.

Si votre enfant se vante auprès de vous d’avoir réussi à trouver qu’une information est fausse, ne manquez pas de le féliciter ! Cette attitude lui sera utile pour toute son existence, sur Internet comme ailleurs.

Analyser le contenu

Comme il n’est pas toujours évident de se rendre sur place pour étudier un fait, voici comment vous pourriez amener votre enfant à s’interroger sur le bien-fondé d’une information ou d’un contenu en ligne. Posez-lui, par exemple, les questions suivantes :

Quelle est la date de diffusion du contenu ?

Date-t-il bien du moment stipulé ?

Les informations correspondent-elles au pays, à la ville, aux personnes indiqués ?

S’agit-il d’un contenu partagé ou de la source originelle de l’information ?

La source est-elle sérieuse ?

S’il s’agit d’une photo ou d’une vidéo, a-t-elle pu être truquée ?

Recouper les informations

Lorsque vous commencez à recouper les informations, vous constatez que les chiffres et les dates d’un même fait varient souvent ; les approximations se révèlent ; les interprétations deviennent légion. Parfois aussi, le même texte est repris mot pour mot sur plusieurs sites différents, ce qui ne veut pas dire pour autant qu’il reflète la vérité, mais que le copier-coller fonctionne très bien.

Rappelons que tous les journaux ne sont pas forcément des sources d’une totale fiabilité ; ils ne sont que les rapporteurs de ce qu’ils ont cherché et trouvé. Ils tirent la majeure partie du temps leurs renseignements de l’AFP (Agence France-Presse). Donc allez à la source, toujours la source, rien que la source.

Si la célèbre encyclopédie Wikipédia, dont les pages sont généralement présentées en premier par Google pour une requête donnée, offre un contenu de haute qualité, on ne peut affirmer de façon sûre que toute entrée de cette encyclopédie sera d’une fiabilité absolue. Comment l’expliquer ? Eh bien, parce que son contenu est l’œuvre des internautes eux-mêmes. Cette encyclopédie collaborative part du principe qu’une fausse information sera éliminée tôt ou tard, puisque certains de ses contributeurs se chargent de vérifier le contenu qui leur est soumis. Donc, sur le long terme, Wikipédia ne cesse de se bonifier. Toutefois, on ne peut pas être certain qu’une information lue à un instant T ne sera pas corrigée le lendemain.

Mais alors, qui croire, si l’on doit adopter la méfiance comme principe ? L’objectif n’est pas de devenir paranoïaque. Il existe énormément de sources fiables. L’idée est d’apprendre à ne pas accepter telle quelle une affirmation lancée sur un réseau social, et de distinguer les faits des simples opinions.

Vous voulez aider votre enfant à se renseigner sur l’exploration de l’espace ? Incitez-le à visiter le site de la Nasa ou de l’Agence spatiale européenne (ESA). S’il s’intéresse à la science, certaines chaînes YouTube telles que Science étonnante ou des plateformes comme L’Esprit sorcier sont d’un grand sérieux. S’il cherche à acheter un nouvel ordinateur, dirigez-le vers des sites comparatifs dont la fiabilité n’est pas discutable. En bref, éduquez-le à choisir des sites sources ou de comparaison, c’est encore le meilleur moyen pour lui de ne pas avaler tout cru de fausses informations puis de les véhiculer.

Par principe, un site Web qui défend une cause aura tendance à privilégier les informations qui abondent dans son sens. Ainsi, Greenpeace, le WWF ou la Fondation Nicolas Hulot ont à cœur de dénoncer les abus commis contre l’environnement ; si l’enfant adhère à une telle cause, il ira naturellement chercher ses informations sur de tels sites. On peut considérer qu’ils sont fiables, une fois que l’on a admis qu’ils ont pour vocation de hiérarchiser les informations selon la cause défendue.

Cinq idées reçues à combattre

1. « Si c’est recopié un peu partout sur le Net, ça doit être vrai. »

2. « Si deux informations contradictoires inondent le Net, celle qui nous semble la plus séduisante est vraie. »

3. « Si cela apparaît sur un journal ou un site de renom, c’est forcément vrai. »

4. « Si un expert (parfois autoproclamé) sur un forum avance une opinion contraire à celles d’autres personnes, c’est lui qui a raison. »

5. « Si, en donnant sa propre opinion, quelqu’un traite les autres d’abrutis parce qu’il est le seul à “voir vraiment ce qui se passe”, alors ce qu’il dit doit être vrai. »

Les chaînes virales

Qui n’a jamais entendu parler sur les réseaux sociaux de Noëlie et de son besoin désespéré d’un don de sang pour combattre sa leucémie ? Cette chaîne de solidarité a perduré des années à partir de 2003. Le nom de la malade changeait parfois – Noëlie devenant Noémie ou Aurélie –, le nom de l’hôpital aussi, ainsi que le nom du docteur censé avoir rédigé cet appel à l’aide.

Si la jeune fille en question a bel et bien existé, elle est malheureusement décédée en 2004. Pourtant, le message la concernant a continué d’être partagé. Les hôpitaux en ont fait les frais, car ils recevaient sans cesse des appels de donneurs potentiels pour cette jeune malade. Nous constatons ici les conséquences d’un message partagé trop rapidement, sous le coup de l’émotion, sans vérifier l’actualité ou la véracité des faits relatés.

Un très bon moyen de savoir si une information est vraie ou fausse est de la chercher sur des sites « chasseurs » d’infox ou de canulars, tels que hoaxbuster.com, par exemple.

Les photos truquées

Il est quasiment impossible de nos jours d’affirmer de façon certaine qu’une image est réelle. De leur côté, les technologies de truquage vidéo deviennent si sophistiquées que l’on voit apparaître des deep fakes, c’est-à-dire des clips plus vrais que nature auxquels les intervenants n’ont pas du tout participé. C’est pourquoi nos enfants doivent prendre toute photo à sensation avec circonspection. Plus la « révélation » semble importante, plus il convient de prendre du recul et d’analyser.

Une recherche inversée sur TinEye4, Google Images ou Amnesty International5 permet dans un premier temps de vérifier si la photo ou la vidéo existait auparavant. Si c’est le cas, vous saurez que vous êtes en présence d’un média récupéré et non actuel. Cette vérification à elle seule éviterait d’inonder le Web avec de nombreux partages alarmistes et chaînes virales sans fondement.

Avec TinEye

Dans TinEye, téléchargez l’image en cliquant sur la flèche de gauche, ou entrez directement l’URL de celle-ci. Bon point pour cet outil gratuit : il ne conserve pas vos recherches d’images.

Figure 10.4

Recherche inversée d’une image avec TinEye.

Avec Google Images

Dans Google Images, cliquez sur le petit appareil photo à droite de la barre de recherche. Puis entrez l’URL de l’image ou téléchargez l’image en question, et vous verrez apparaître dans les résultats tous les sites où cette image – ou une image similaire – se trouve.

Figure 10.5

Recherche inversée d’une image avec Google Images.

Avec Amnesty International

Le site d’Amnesty International est très sobre. Entrez simplement l’adresse de la vidéo pour la traquer sur le Net.

Figure 10.6

Recherche inversée d’une vidéo avec Amnesty International.

Si la photographie a passé le premier test, l’enfant doit maintenant la scruter : contient-elle des éléments incongrus, incohérents ? Manque-t-il au contraire des objets censés être présents ? Les proportions sont-elles justes ? Si une photo soi-disant d’actualité fait apparaître un temps chaud dans le pays cité, est-ce vraiment la saison actuelle dans le pays en question ? Vous l’avez compris, votre enfant devra sortir une grosse loupe et chercher les détails qui permettent de juger de la véracité de ce qu’il regarde.

Maintenant, qui est l’auteur de l’information diffusée ? Il ne sera pas superflu de s’intéresser au profil de l’internaute, afin de vérifier si ce dernier est un habitué des canulars, ou encore s’il a un tempérament plutôt sanguin qui l’amène à poster tout et n’importe quoi. Les messages qui accompagnent ses posts aideront à estimer le degré de sérieux de la personne.

Voilà le type de réflexes qu’il est important d’enseigner à nos enfants. Les amener à juger si une information vaut la peine que l’on s’intéresse à elle ou s’il faut passer à autre chose…

Les infox publicitaires

La mode aujourd’hui chez certains publicitaires est de lancer une publicité sous forme d’information choc totalement fausse mais reprenant l’apparence des médias traditionnels. Ainsi, si nous ne faisons pas attention au petit détail dévoilant la farce (l’adresse d’un site de vêtements en ligne, par exemple), nous croyons aussitôt à la véracité du contenu et nous nous scandalisons. Nous partageons l’information avec fougue sur les réseaux sociaux ? C’est qu’ils ont réussi leur campagne de publicité.

Continuez de discuter avec votre enfant de son ressenti et de ses peurs au sujet d’Internet et des réseaux sociaux ; il est primordial qu’il se sente épaulé et protégé par vous.

1. Commission européenne, communiqué de presse du 31 mai 2016– https://europa.eu/rapid/press-release_IP-16-1937_fr.htm

2. DGPN, les sanctions du happy slapping – https://www.police-nationale.interieur.gouv.fr/Actualites/Dossiers/Le-Happy-slapping-ou-video-agression

3. Cnil, harcèlement en ligne – https://www.cnil.fr/fr/reagir-en-cas-de-harcelement-en-ligne

4. TinEye, outil de recherche inversée pour les images– https://www.tineye.com/

5. Amnesty International, outil de recherche inversée pour les vidéos – https://citizenevidence.amnestyusa.org/

Index

Symboles

3D-Secure 163

A

Achat en ligne 158

façons de payer 161

in-app 215

Adwares 193

Antivirus 17

fonctionnement 17

sur Mac 18

Applications, importance des mises à jour 23

Arnaque aux impôts 98

Authentification à deux facteurs 110, 124

Google Authenticator 77

sur Facebook 58

sur Instagram 75

sur Twitter 74

B

Bing, déréférencement 180

Bloqueurs publicitaires 195

Bluetooth, risques 141

C

Canular 35

Carte de crédit 156

Chaînes virales 222

Clé USB

analyse 22

de sécurité 124

précaution d’usage 22

risques 19

Clé USB de sécurité 124

standard U2F / Fido 126

Contrôle parental 212

Cookies 184

effacer 186, 189

Courrier électronique

adresses secondaires 94

chantage à la webcam 91

dont il faut se méfier 88

messages multidestinataires 95

pièces jointes 14

réagir au spam 94

règles à suivre 117

sécuriser sa messagerie 101

vérifier adresse émetteur 95

D

Disque dur, cryptage 30

E

E-réputation 201

Exécution automatique, désactiver 21

F

Facebook

dissimuler la liste des amis 65

empêcher la publication sur son journal 67

gérer d’anciennes publications 70

identification sur une photo 69

informations personnelles 54

limiter l’accès aux données 54

limiter les autorisations des applications 62

règles de sécurité 53

restreindre l’affichage Public 57

savoir ce que d’autres publient sur soi 67

Fake news 199, 217

Fichiers

cryptage 14, 30

transfert 14

Finances

banque en ligne 170

connexion bancaire 169

Flash, mémoires 21

G

Géolocalisation 150

Google, supprimer les résultats de recherche 177

H

Hameçonnage 96

Happy slapping 211

Harcèlement en ligne 77, 202, 207, 208

bloquer une personne 78

enfants 207

par courriels 209

signaler 212

signaler aux autorités 79

Hoax 101

K

Keylogger 35

indices de la présence 37

L

Liens, vérifier la validité 200

M

Mise à jour

automatique 24

pilotes 26

Mot de passe

coffre-fort numérique 121

comment ils sont dérobés 105

différent pour chaque site 110

enregistrer sur le navigateur 112

générateur de ~ sécurisés 108

gestionnaires 118

les plus utilisés 107

oublié, retrouvé 113

sécurisé 107

sécurisé et mémorisable 109

N

Numéros surtaxés, identifier 139

O

Opérations bancaires, précautions d’usage 157

Ordinateur public

effacer ses données 27

effacer traces 191

précautions 28

risques 190

P

Pare-feu 34

Partage de connexion 48

PayPal 161

Paysafecard 167

Phishing 96

Photos truquées 223

Pilote 26

Q

Qwant, déréférencement 183

R

Ransomware 81

outils de déchiffrement 84

protection de Windows 10 83

réagir à une attaque 84

s’en prémunir 82

Réseaux sociaux

règles de sécurité 53

risques juridiques 54

Revenge porn 210

S

Scam 85, 86

arnaque au sentiment 86

Site Web

accès compromis 114

estimer la fiabilité 197

Smartphone

code PUK 141

codes à connaître 152

dénoncer un numéro frauduleux 138

géolocalisation 150

identifier les appels frauduleux 138

localiser mobile égaré 145

personnaliser le PIN 140

récupérer les données d’un ancien appareil 144

risques liés au Bluetooth 141

sauvegarde 142

vol 148

Spam 91, 92

filtres 93

illégal 91

Loveyouremails 93

Spywares 195

Système, importance des mises à jour 23

T

Téléchargement de logiciels 29

précautions 29

Tor 174

fonctionnement 175

tester 177

Trolls 209

Twitter 72

informations stockées sur les abonnés 74

paramètres de confidentialité 72

V

Virus 13

action en trois étapes 14

VPN 48, 171, 172

avantages 171

protection contre les virus 173

W

Webcam, chantage 89

indirect 91

Wi-Fi

changer nom de la box 44

diffusion du nom 44

éteindre 44

modifier la clé 43

options de protection 46

protection de l’accès 42

protection par VPN 48

public 39, 42, 45

vérification de sécurité 42

WPA2 40

WPA2 43

Y

Yahoo!, déréférencement 181