Prévention : ne pas y revenir

Après une attaque, la prévention change de nature

Quand il y a déjà eu intrusion, il ne suffit pas d'ajouter des protections : il faut retirer les accès que l'intrus s'est donnés. Mots de passe et double authentification bien sûr, mais aussi adresses de récupération, questions secrètes, applications autorisées, sessions actives et appareils de confiance — sans quoi la porte reste ouverte malgré le nouveau verrou.

C'est le point que l'on retrouve dans la quasi-totalité des « re-piratages » à quelques semaines d'intervalle.

Le faire faire, tous les mois

Si vous préférez ne pas avoir à y penser, le forfait Sérénité comprend une téléassistance par mois, la ligne prioritaire et le suivi de ce qui compte, pour 15 € par mois sans engagement. Toutes les prestations.

Les réglages, un par un

• Les mots de passe. Ce qui protège, c'est la longueur et l'unicité, pas les caractères spéciaux. Quatre mots sans rapport valent mieux qu'un mot court bourré de symboles. Un gestionnaire — même celui du navigateur — évite de retenir quoi que ce soit, et refuse de remplir vos identifiants sur une fausse page : c'est une alarme en prime.
• La double authentification sur la boîte mail d'abord, puis la banque et les réseaux sociaux. Par application plutôt que par SMS quand c'est proposé. Les codes de secours se conservent ailleurs que sur le téléphone concerné.
• Le navigateur. Faire le tri dans les extensions Chrome, Firefox ou Edge : chacune voit ce que vous tapez sur toutes les pages. Retirer les notifications autorisées à des sites inconnus, d'où viennent la plupart des publicités intempestives.
• Les mises à jour. Windows, le navigateur, le téléphone, et la box. Une mise à jour de sécurité répare une faille déjà connue et déjà exploitée : le jour où elle sort, les appareils en retard deviennent les plus faciles à atteindre.
• L'antivirus et le pare-feu. Celui intégré à Windows suffit dans la plupart des cas, à condition qu'il soit actif et à jour. Deux antivirus installés en même temps se gênent : un seul.
• La sauvegarde. Un disque externe ou une clé USB, débranchés après usage — un support branché en permanence est chiffré avec le reste en cas de rançongiciel. Le chiffrement du disque (BitLocker, FileVault) protège les données en cas de vol de la machine, pas d'une intrusion à distance.

Reconnaître un mail d'hameçonnage en dix secondes

La prévention la plus rentable ne se règle pas dans les paramètres, elle se joue devant un message. Quatre réflexes :

1. Regarder le domaine de l'expéditeur, pas le nom affiché : ce qui suit l'arobase, et rien d'autre. Un nom d'expéditeur se falsifie en une seconde.
2. Survoler le lien sans cliquer et lire l'adresse réelle en bas de l'écran : le vrai domaine se lit juste avant le premier « / ».
3. Se méfier de l'urgence — 24 heures, compte suspendu, dernier avertissement. C'est l'outil de travail de l'escroc : elle sert à vous faire sauter la vérification.
4. Ne jamais ouvrir une pièce jointe inattendue, surtout en .zip ou avec une demande d'activer les macros. Dans le doute, on écrit à l'expéditeur par un autre canal.

Les indésirables, ou spam, ne sont qu'un filtre : une partie des messages d'hameçonnage arrive dans la boîte principale, et des messages légitimes tombent dans les indésirables. Le filtre n'est pas un avis de sécurité.

Les gestes, dans l'ordre où les faire

1. Installez les mises à jour en attente — Microsoft Windows, Google Chrome ou Mozilla Firefox, et le système de votre téléphone. Redémarrez pour qu'elles s'appliquent.
2. Vérifiez que le pare-feu et l'antivirus sont actifs. Sous Windows, les deux sont intégrés : il suffit qu'ils ne soient pas désactivés par un logiciel installé plus tôt.
3. Changez le mot de passe de votre boîte mail et faites-en un mot de passe long, unique, qui ne sert nulle part ailleurs. Les caractères spéciaux comptent moins que la longueur.
4. Activez la double authentification sur cette même boîte mail, puis sur la banque et les réseaux sociaux.
5. Désactivez les notifications accordées à des sites internet inconnus, et supprimez les extensions de navigateur dont vous ne vous servez pas.
6. Connectez-vous toujours en tapant l'URL vous-même, ou par votre favori — jamais depuis un lien reçu par mail ou par SMS.
7. Sauvegardez sur un disque externe que vous débranchez ensuite.

Ces sept gestes prennent une heure une fois, puis quelques minutes par mois. Ils couvrent la quasi-totalité de ce que j'ai à réparer chez les particuliers.

Votre boîte mail est la porte principale

Les pirates ne visent pas votre ordinateur : ils visent votre adresse mail, parce qu'elle permet de réinitialiser tous les autres comptes. Trois habitudes suffisent à la tenir :

• Ne jamais ouvrir une pièce jointe inattendue, même venant d'un expéditeur connu — un compte piraté écrit avec le vrai nom de son propriétaire.
• Traiter les indésirables comme le reste : le dossier spam n'est pas un filtre de sécurité, et des messages frauduleux arrivent dans la boîte principale.
• Vérifier de temps en temps les règles de transfert et les adresses de récupération : c'est là qu'un intrus s'installe durablement.

Choisir un mot de passe, et le changer correctement

Trois questions reviennent à chaque intervention :

• Qu'est-ce qu'un bon mot de passe ? Long et unique. Quatre mots sans rapport valent mieux qu'un mot court hérissé de caractères spéciaux : les outils de cassage testent les substitutions évidentes en premier. Et il ne doit contenir aucune de vos informations personnelles — prénom, date de naissance, nom du chien.
• Dans quel ordre changer ? La boîte mail d'abord, puis la banque, puis les comptes où le même mot de passe servait. Changer le compte visible sans changer l'adresse email revient à repeindre une porte dont l'autre garde la clé.
• Depuis où ? Depuis un appareil sain. Si l'ordinateur est peut-être infecté par un logiciel espion, le nouveau mot de passe part avec l'ancien : faites la réinitialisation depuis un téléphone ou une autre machine.

Enfin, un mot de passe ne se change pas « par précaution tous les trois mois » — cette règle a été abandonnée parce qu'elle pousse à des variantes prévisibles. On le change quand il a fuité, quand il est réutilisé, ou après une intrusion.

Reconnaître une vraie page de connexion

La moitié des comptes que je récupère ont été perdus sur une fausse page de connexion — copie parfaite de celle du vrai service, à un détail près. Trois vérifications, dans cet ordre :

1. Lisez l'adresse jusqu'au premier « / ». C'est là que se trouve le vrai nom de domaine. Tout ce qui précède peut être choisi par l'escroc, y compris le nom de votre banque.
2. Regardez si votre gestionnaire remplit tout seul. S'il ne propose ni votre identifiant ni votre mot de passe alors qu'il le fait d'habitude, c'est qu'il ne reconnaît pas le site : c'est l'alarme la plus fiable qui existe.
3. N'arrivez jamais sur cette page par un lien. Pour vous connecter à votre compte, tapez l'adresse ou passez par votre favori — même si le message vient de votre banque, même s'il vous demande de cliquer tout de suite.

Si vous avez saisi quelque chose sur une page douteuse : allez modifier le mot de passe sur le vrai site immédiatement, puis réinitialisez-le partout où le même servait. Et vérifiez ensuite votre boîte mail — adresse de récupération, règles de transfert — avant de considérer l'affaire close.

La messagerie, le téléphone et la box comptent aussi

La sécurité informatique d'un foyer ne se joue pas que sur les ordinateurs :

• La messagerie. Vérifiez de temps en temps l'adresse e-mail de récupération, le numéro de secours et les sessions ouvertes : pensez à déconnecter les appareils que vous n'utilisez plus. Un ancien téléphone revendu reste parfois connecté à votre boîte mail.
• Le téléphone. Même règle que sur l'ordinateur : mises à jour, applications installées uniquement depuis la boutique officielle, et un code de verrouillage qui n'est pas la date de naissance. Le téléphone reçoit les codes de connexion de tous vos comptes : il vaut autant qu'eux.
• La box. Changez le mot de passe d'administration, qui est resté celui d'usine chez la plupart des gens, et désactivez l'accès à distance si vous ne vous en servez pas.

Ces réglages ne demandent aucune connaissance technique, et aucun hacker n'a besoin d'être doué pour exploiter leur absence : la plupart des intrusions sur les particuliers passent par ce qui n'a jamais été configuré.

Questions fréquentes

J'ai oublié le mot de passe d'un compte, comment le récupérer ?

Cliquez sur « mot de passe oublié » depuis le site officiel — jamais depuis un lien reçu. Le service envoie un code à l'adresse email ou au numéro associé à votre compte. C'est précisément pour ce moment-là qu'il faut tenir ces coordonnées à jour : la moitié des récupérations impossibles viennent d'une adresse de secours qui n'existe plus.

Que vérifier dans les préférences de mes comptes, une fois par an ?

Quatre choses : l'adresse email et le numéro de récupération, le nom d'utilisateur affiché publiquement, les applications autorisées, et les sessions ouvertes. Dix minutes par compte, et vous savez que vous pourrez toujours changer votre mot de passe le jour où ce sera nécessaire.

Faut-il utiliser une adresse mail dédiée pour les comptes sensibles ?

C'est une bonne habitude pour la banque et les impôts : une adresse que vous ne donnez nulle part ailleurs reçoit beaucoup moins de tentatives d'hameçonnage. À la création d'un compte important, réfléchissez à quelle boîte mail vous le rattachez : c'est elle qui décidera de votre capacité à le récupérer.

Faut-il changer ses mots de passe régulièrement ?

Non, cette règle est abandonnée. On change un mot de passe quand il a fuité, quand il est réutilisé ailleurs, ou après une intrusion. Un changement tous les trois mois pousse surtout à choisir des variantes faibles et prévisibles.

Un VPN protège-t-il du piratage ?

Il chiffre votre trafic sur un réseau que vous ne maîtrisez pas, ce qui est utile en wifi public. Il ne protège ni d'un mot de passe volé, ni d'un logiciel malveillant, ni d'un mail d'hameçonnage — c'est-à-dire de la quasi-totalité des cas que je traite.

Le cloud remplace-t-il une sauvegarde ?

Seulement s'il conserve les versions antérieures. Une synchronisation simple recopie fidèlement les fichiers chiffrés par un rançongiciel : la corbeille et l'historique de versions sont ce qui fait la différence.