Faux site web

Définition

Un faux site web est une reproduction d'un service légitime, hébergée sur un domaine contrôlé par l'attaquant, dont la fonction est de recueillir ce que le visiteur y saisit.

Comment ça fonctionne

La copie est technique et immédiate : le code d'une page publique s'aspire en une commande, et l'apparence obtenue est identique parce que c'est littéralement la même. Le certificat qui affiche le cadenas s'obtient gratuitement en quelques minutes pour n'importe quel domaine, y compris frauduleux — il atteste du chiffrement, jamais de l'identité. Le site est ensuite atteint par un lien, une publicité, ou un résultat de recherche acheté. Certaines versions relaient en temps réel ce que vous saisissez vers le vrai site : le code de double authentification que vous entrez y est immédiatement rejoué, la connexion aboutit réellement, et vous ne voyez rien d'anormal — c'est ce qui rend l'apparence inutilisable comme critère.

Pourquoi ça marche

On reconnaît un site à son apparence, et c'est justement ce qui se copie parfaitement. Le cadenas rassure alors qu'il n'atteste que du chiffrement, et une annonce en tête des résultats donne au faux site la place qu'on attend du vrai.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Domaine différent de celui attendu, même d'un seul caractère
• Page atteinte depuis un lien, une publicité ou un résultat sponsorisé plutôt qu'un favori
• Gestionnaire de mots de passe qui ne propose pas de remplir le formulaire
• Fonctions secondaires du site absentes ou renvoyant vers le vrai site
• Demande d'informations que le service ne réclame jamais à cet endroit
• Page de connexion s'ouvrant dans une fenêtre qui imite le navigateur sans en être une

Comment vérifier

Ne jugez pas la page, jugez le domaine — et si vous devez vous identifier ou payer, ne jugez rien du tout : fermez et rejoignez le service par un favori ou son application. Le comportement de votre gestionnaire de mots de passe est le signal le plus fiable, parce qu'il associe vos identifiants au domaine réel et non à l'apparence.

Les questions à se poser, dans l'ordre

1. 1

   Êtes-vous arrivé sur la page par un lien, une annonce ou un résultat sponsorisé ?

   Si oui : Fermez-la et passez par votre favori ou l'application.

2. 2

   Le nom de domaine diffère-t-il, même d'un caractère, de celui que vous connaissez ?

   Si oui : Quittez la page : un seul caractère suffit à changer de propriétaire.

3. 3

   Votre gestionnaire de mots de passe reste-t-il silencieux ?

   Si oui : C'est un avertissement : ne saisissez rien à la main.

Que faire

Ne saisissez ni identifiant ni coordonnées bancaires sur une page atteinte depuis un lien. Enregistrez un favori pour chaque service sensible et prenez l'habitude de n'utiliser que celui-ci : c'est le geste qui rend la qualité de la copie sans importance.

Si c'est déjà arrivé

Changez immédiatement le mot de passe du service concerné, depuis une session ouverte par vos propres moyens, puis révoquez les sessions actives — une connexion relayée en temps réel reste ouverte après le changement. Si des coordonnées bancaires ont été saisies, faites opposition. Vérifiez ensuite les moyens de récupération du compte.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Enregistrez un favori pour chaque service où vous vous connectez ou payez.
• N'utilisez pas les résultats sponsorisés pour rejoindre un service sensible.
• Utilisez un gestionnaire de mots de passe, qui associe vos identifiants au vrai domaine.

Les gestes qui déjouent cette attaque

• Décodeur de lien : à qui appartient vraiment cette adresse ?Collez un lien : l'outil montre le nom de domaine réel, ce qui n'est que décor, et les caractères qui imitent d'autres lettres. Rien n'est envoyé.
• J'ai saisi mon mot de passe sur un faux site : que faireJ'ai cliqué sur un lien et saisi mon mot de passe sur une fausse page, que faire ?
• J'ai donné mes coordonnées bancaires ou un code : que faireJ'ai communiqué ma carte bancaire ou un code de validation à un escroc, que faire ?
• La checklist pour une petite entreprise, à imprimerDouble validation des virements, changement d'IBAN confirmé au numéro connu, factures sans bon de commande : les procédures qui protègent une TPE, sur une page à imprimer.

Questions fréquentes

Le cadenas était affiché, cela ne prouve-t-il rien ?

Rien sur l'honnêteté du site. Le cadenas indique que la connexion est chiffrée, c'est-à-dire que personne ne lit ce que vous envoyez — y compris quand vous l'envoyez à un escroc. Les certificats sont gratuits et automatiques, donc un site frauduleux en a un.

J'ai saisi mon code de double authentification, était-il inutile ?

Il a fonctionné, mais au profit de l'attaquant : certaines pages relaient votre saisie vers le vrai site en direct, ce qui valide sa connexion à lui. C'est pourquoi une clé de sécurité physique, qui vérifie le domaine avant de répondre, résiste là où un code saisi ne le peut pas.

Attaques liées

• Typosquatting
• Attaque par homoglyphes
• Phishing (hameçonnage)
• Publicité malveillante
• Détournement de session
• Tabnabbing (onglet remplacé)
• Hameçonnage généré par IA
• Box ou routeur compromis
• Attaque de l'homme du milieu
• Faux point d'accès Wi-Fi
• Empoisonnement DNS
• Portail captif malveillant

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)