La surface d’attaque d’un particulier ou d’une petite structure ne se limite plus à la boîte mail. Les violations de données personnelles ont entraîné une forte augmentation des demandes d’aide en 2025 selon Cybermalveillance.gouv.fr, et les techniques d’escroquerie combinent désormais SMS, appels téléphoniques et validation bancaire dans une même séquence. Protéger ses appareils et ses données en ligne exige de dépasser la liste de conseils génériques pour s’attaquer aux vecteurs réels de compromission.
Passkeys et authentification multifacteur : ce qui change concrètement la résistance au phishing
Les mots de passe, même longs et complexes, restent vulnérables dès qu’un utilisateur les saisit sur un faux site. Les passkeys reposent sur une paire de clés cryptographiques liées au service concerné : la clé privée ne quitte jamais l’appareil et ne peut pas être rejouée sur un domaine frauduleux. Le gain principal n’est pas le confort, c’est l’élimination du vecteur de saisie sur un site cloné.
La CNIL a adopté le 20 mars 2025 une recommandation sur l’authentification multifacteur. Cette recommandation confirme que la double authentification reste un socle minimal, mais elle n’est pas une garantie absolue. Une personne peut encore valider elle-même une opération frauduleuse si elle est manipulée par téléphone.
Les articles grand public traitent la double authentification comme une case à cocher. En pratique, nous recommandons de hiérarchiser les comptes par criticité : comptes bancaires, messagerie principale et stockage cloud d’abord, réseaux sociaux ensuite. Sur la rubrique sécurité de Tech Mafia, les méthodes d’activation par service sont détaillées avec les différences entre TOTP, notification push et passkey.
Escroqueries multicanales : pourquoi un seul signal ne suffit plus à détecter la fraude
Le schéma classique du courriel suspect avec fautes d’orthographe est dépassé. Les observations de 2025 rapportées par Cybermalveillance.gouv.fr signalent une progression des attaques par faux conseillers bancaires et usurpation de numéros. Le scénario type enchaîne plusieurs étapes : un SMS d’alerte, suivi d’un appel depuis un numéro qui ressemble à celui de la banque, puis une demande de validation dans l’application mobile.
Les violations de données alimentent directement la crédibilité de ces attaques. Quand un fraudeur connaît le nom, l’adresse et le numéro de compte de sa cible, son discours devient difficile à distinguer d’un appel légitime. La seule parade fiable : raccrocher et rappeler le numéro officiel de l’organisme, trouvé sur un relevé papier ou sur le site vérifié, jamais via le lien ou le numéro reçu.
Réflexes concrets face à une sollicitation suspecte
- Ne jamais valider une opération bancaire demandée par un interlocuteur entrant, quel que soit le canal (SMS, appel, message instantané). Un conseiller bancaire légitime ne demande pas de confirmer un virement en temps réel au téléphone.
- Vérifier l’URL du site sur lequel on est redirigé avant toute saisie d’identifiants. Un caractère modifié dans le nom de domaine suffit à créer un site frauduleux.
- Signaler immédiatement toute tentative sur la plateforme Cybermalveillance.gouv.fr, même en l’absence de préjudice. Les signalements permettent de couper les domaines malveillants plus rapidement.
Mises à jour et cloisonnement des usages : la surface d’attaque réelle de vos appareils
Un appareil dont le système d’exploitation n’est plus à jour expose des failles connues et documentées publiquement. Les correctifs de sécurité ne sont pas des améliorations cosmétiques : ils colmatent des vulnérabilités que les attaquants exploitent parfois quelques jours après leur publication. Activer les mises à jour automatiques sur chaque appareil reste la mesure la plus efficace par rapport à l’effort qu’elle demande.
Le cloisonnement entre usages personnels et professionnels n’est pas qu’une recommandation d’hygiène. Connecter une clé USB personnelle à un poste professionnel, ou utiliser la même adresse mail pour un service administratif et un forum de loisirs, crée des ponts entre des environnements dont les niveaux de sécurité diffèrent. En cas de compromission d’un côté, l’attaquant accède à l’autre sans effort supplémentaire.
Gestion des permissions et logiciels installés
Installer des applications uniquement depuis les stores officiels (App Store, Google Play) ou les sites éditeurs vérifiés réduit le risque d’exécuter un logiciel modifié. Sur un ordinateur, un compte utilisateur standard (sans droits administrateur) pour l’usage quotidien limite les dégâts d’un programme malveillant : il ne pourra pas modifier les fichiers système ni s’installer en profondeur.
Chaque application installée élargit la surface d’attaque. Désinstaller les logiciels inutilisés et révoquer les permissions excessives (accès au micro, à la localisation, aux contacts) réduit mécaniquement l’exposition. Sur Android comme sur iOS, les paramètres de confidentialité permettent d’auditer ces accès en quelques minutes.
Sauvegarde et chiffrement des données : le filet de sécurité négligé
Les ransomwares chiffrent les fichiers et exigent un paiement. Sans sauvegarde récente, la victime est face à un choix entre payer (sans garantie de récupération) et accepter la perte. Une sauvegarde régulière sur un support déconnecté du réseau (disque externe, stockage hors ligne) annule le levier de l’attaquant.
La règle opérationnelle courante consiste à maintenir au moins deux copies des données sur des supports différents, dont une physiquement séparée du poste de travail. Les services cloud synchronisés ne remplacent pas cette sauvegarde hors ligne : un ransomware peut se propager aux fichiers synchronisés avant d’être détecté.
Le chiffrement du disque (BitLocker sous Windows, FileVault sous macOS) protège les données en cas de vol physique de l’appareil. Un ordinateur portable volé dans un train donne accès à l’intégralité des fichiers si le disque n’est pas chiffré, même avec un mot de passe de session.
La sécurité numérique n’est pas un état stable. Les techniques d’attaque évoluent, les fuites de données fournissent aux fraudeurs des informations toujours plus précises, et chaque nouvel appareil connecté ajoute un point d’entrée potentiel. Les mesures décrites ici ne demandent ni budget particulier ni compétences avancées, mais elles exigent d’être appliquées systématiquement, pas seulement connues.
