Site officiel ou site web frauduleux ?
Vous êtes sur un site web d’une grande marque, vous allez passer commande. Mais êtes-vous sûr d’être sur un site officiel ? Quels sont les indicateurs de base pour identifier un site web frauduleux ? Après avoir décortiqué une arnaque PayPal, je vous propose qu’on passe 10 minutes ensemble pour faire le tour d’un site web que je pense frauduleux, en tout cas je ne confierai pas ma carte bleue à cette organisation.
Les sites web frauduleux sont partout
Je n’ai pas eu besoin de mettre le FBI sur le dossier, en faisant des recherches sur Internet, ma fille (histoire vraie de la vraie vie) est tombée sur ce site référencé par Google. Avant de lui confier mon numéro de carte bancaire, j’ai jeté un oeil sur le site et je vous propose d’énumérer les éléments qui me font dire que ce site est dangereux :
- Déjà, juste une forme de bon sens, des remises particulièrement importantes pour une grande marque de ce standing. Pas sûr que cette marque puisse monter un site discount pour solder ses invendus.
- Les articles proposés sur ce site web présumé frauduleux sont également disponibles sur le site officiel d’Abercrombie. Pas du tout au même prix… On aurait pu penser à un site de démarque.
- La vitrine du site montre des logos d’autres marques, c’est déjà très étonnant de vendre du Roxy ou du North Face sur un site Abercrombie… Est-ce que Leroy Merlin met des liens vers Castorama sur son site ?
- Si vous passez votre souris sur ces logos d’autres marques, vous voyez que vous pointez sur la page en cours d’affichage. Ce sont dons des liens internes, des liens factices.
- “Nous contacter”, vous fait pointer sur une page standard où on vous demande d’écrire à une adresse gmail. Improbable ! Le minimum d’une stratégie digitale est d’utiliser son nom de domaine comme adresse email.
- Même ambiance pour “A propos de nous”.
- Le lien Facebook. Vous arrivez bien sur facebook.com mais pas sur la page du site. C’est juste un lien factice.
- Le lien Twitter. Vous arrivez bien sur twitter.com mais pas sur le compte Twitter du site. C’est juste un lien factice.
- La création de compte se déroule en http, alors que vous devriez être en https. Créer un compte en http, c’est comme partir de votre maison en laissant les clés sur la porte.
Quels sont les risques
Dans cet exemple de la vraie vie, je vois les risques potentiels suivants :
- Vous risquez de communiquer votre numéro de carte bancaire à des escrocs.
- Vous risquez de payer de la marchandise qui ne vous sera jamais livrée. 16€ de frais de port, est le signe pour faire monter la note.
- Si vous utilisez le même mot de passe partout sur Internet, vous risquez que les escrocs vous piratent vos différents comptes utilisant ce mot de passe.
Je n’ai pas la preuve que ce site est une escroquerie car je n’ai pas fait d’achat pour le vérifier. Je vous alerte sur les signes qui doivent vous alerter. Si jamais ce site est officiel et légitime, je peux leur donner quelques conseils d’amélioration. Je vous déconseille de renseigner des données personnelles sur ce site web présumé frauduleux.
Ce que je ne dis pas dans la vidéo
Après avoir enregistré cette vidéo j’ai continué à creuser car je serai très gêné de blâmer site un légitime. J’ai donc découvert les éléments suivants:
- En s’inscrivant à la newsletter, vous ne recevez pas de mail de demande de confirmation. Au contraire, et même pire, vous recevez une confirmation d’inscription avec votre mot de passe en clair dans le mail. C’est pour cela que je précise bien dans la vidéo qu’il ne faut jamais utiliser le même mot de passe sur tous les sites internet.
- Lorsque vous créez un compte, vous n’êtes pas sur un site https, c’est du http non sécurisé, vous savez le petit cadenas jaune qui devrait apparaître.
- Le seul mode de livraison disponible c’est DHL, livraison de 3 à 7 jours, elle vous coûtera 16€. Je pense que cela sert juste à alourdir votre facture
- Lorsque vous passez commande, on vous donne l’illusion que vous êtes sur un site sécurisé. J’ai essayer de taper de fausses informations mais il semble qu’ils aient intégré un algorithme de vérification de validité du numéro de carte bancaire. On ne peut pas avancer la livraison si le numéro de la carte n’est pas validé, ne comptez pas sur moi pour mettre mon numéro personnel.
Sophos propose du filtrage web
Sophos est un éditeur de solutions de sécurité pour les entreprises. Etes-vous à l’abri d’un site web frauduleux derrière les équipements Sophos sous la forme de ce faux site web? Aucune solution du marché ne peut détecter ce type de site web frauduleux car il ne comporte pas de virus, pas de backdoor ou de trojan. Il ne comporte pas de charge virale en tant que telle. Vous ne serez pas “infecté” sur ce type de site frauduleux, vous serez juste dépouillé.
Les escrocs misent sur la crédulité des internautes.
En effet ces sites frauduleux sont basés sur la crédulité des internautes. Le look & feel vous met en confiance, les prix ne sont pas chers, tout est fait pour vous donner l’illusion que vous êtes en train de faire une belle affaire.
En revanche les solutions Sophos protègent contre les URL malveillantes ou les URL à mauvaise réputation. Il est donc possible que nos laboratoires bloquent cette URL dans les heures à venir. Nos clients Endpoint et Web ne pourront donc plus accéder à ce site frauduleux et à priori à au risque.
Participez !
Si vous trouvez un site web frauduleux de la sorte vous pouvez nous le signaler dans les commentaires de cette page. Nous pourrons vérifier les URL et vous dire ce que nous en pensons.
Surtout, si vous avez été victime d’un site qui vous semblait normal et sécurisé, venez nous en faire profiter et en faire profiter profiter l’inconscient collectif.
Notre stratégie de communication sur la sécurité informatique n’est pas de dire qu’Internet est dangereux. Il existe des risques que vous devez apprendre à détecter. Ce n’est jamais honteux de se faire avoir. Soyez vigilants, suspicieux et pensez à vous abonner aux alertes de sécurité de Sophos.
Mise à jour du 28 août 2013
Le fameux site web frauduleux vient de m’écrire car ils ont vu que j’avais essayé d’aller jusqu’au paiement. Mais comme je n’ai évidemment pas tapé mon vrai numéro de carte bancaire ils n’ont pas pu me pirater.
Alors ils m’ont écrit, puisque j’avais créé un compte (avec un mot de passe unique). Ils me disent :
merci pour votre commande et c’est Anna.
Merci d’essayer de faire le paiement avec Visa, mais il est en panne, pouvez-vous essayer à nouveau, merci!
Je continue de penser que ce site est frauduleux alors j’ai répondu :
Bonjour, j’ai des questions à vous poser, avez-vous un numéro de téléphone où on peut vous joindre ?
Votre site n’est pas très clair.
Merci