Ce phishing redoutable exploite un vrai mail de YouTube
Il faut toujours se méfier du phishing, en regardant attentivement si l'adresse de l'expéditeur paraît légitime.
« Attention : nous avons reçu des rapports sur une tentative de phishing montrant [email protected] comme expéditeur. Soyez prudent et ne téléchargez/accédez à aucun fichier si vous recevez cet e-mail », conseille la plateforme. Une enquête est en cours. L'affaire est plutôt sérieuse, car l'adresse est effectivement une adresse légitime de YouTube.
Un phishing YouTube qui fait baisser la garde
La manœuvre est astucieuse : les pirates détournent une option de partage de vidéo pour essayer de piéger des internautes inattentifs. Cette option, datée, sert à partager une vidéo par mail (à la différence d'un partage via le bouton qui accompagne chaque vidéo). L'opération est combinée avec un nom de chaîne appelé « TeamYouTube », pour se faire passer pour YouTube.
Cette combinaison de signaux -- l'adresse [email protected], le nom de la chaîne en TeamYouTube et un titre annonçant des changements dans les règles et les politiques de YouTube -- est redoutable, car elle incite à baisser sa garde. Cela, d'autant plus que le message, évidemment, est alarmant : si vous n'agissez pas vite, dans les sept jours, vous rencontrerez des problèmes.
Parmi les difficultés promises à celles et ceux qui ne se conforment pas dans les temps : l'impossibilité de charger de nouvelles vidéos ou d'éditer celles déjà en ligne ou encore la fin de la monétisation. Le faux mail est accompagné d'un lien. C'est par ce biais que les assaillants incitent les victimes à effectuer des actions qui se retourneront contre elles.
Plusieurs bonnes pratiques doivent être observées pour éviter de se faire avoir.
La première d'entre elles est de garder en tête que les entreprises ou les organisations s'abstiennent de mettre la pression sur les internautes, avec des ultimatums très courts. Les pirates, eux, cherchent au contraire à pousser leur cible à la faute. Quoi de mieux pour cela que de leur promettre le pire dans les heures ou les jours à venir, s'ils ne font pas ceci ou cela ?
La deuxième à retenir est que les mails légitimes évitent en principe de vous inciter à effectuer une action sensible à partir du mail reçu, comme le changement d'un mot de passe, sauf si vous l'avez expressément demandé après un oubli. Même chose pour le remplissage d'un formulaire dans lequel des données personnelles sont réclamées.
Troisième grande règle à observer : en cas de quelconque doute, allez sur le site concerné en utilisant un moteur de recherche et non pas par le mail. Vous verrez alors si le contenu du mail est bien repris dans le site, parmi les notifications, ou s'il s'agit d'une mascarade. Posez-vous aussi la question : parfois, des sites de phishing usurpent des services que vous n'utilisez pas.
YouTube, en raison de sa position prépondérante dans la vidéo sur le net, est une cible permanente pour des attaques. Des chaînes peuvent être détournées à cause d'un simple lien, ce qui souligne un peu plus l'importance de bien les sécuriser. Face aux hameçonnages, il est utile de comprendre les techniques des pirates, mais aussi de savoir que tout n'est pas perdu en cas de phishing réussi.