La messagerie électronique est aujourd’hui le principal moyen de communication dans nos unités, c’est aussi le principal vecteur de propagation des menaces numériques (malware et phishing principalement).

Si l’Institut est régulièrement victime de campagnes ciblées, les attaques non ciblées n’en sont pas moins dangereuses et permanentes. Jouant sur la simplicité d’un envoi de mail et la large population potentiellement atteinte, les messages semblant grossièrement écrits et facilement identifiables sont encore une source importante d’infection même pour les utilisateurs attentifs. Qui n’a jamais attendu un colis au moment où il reçoit un mail frauduleux d’un prétendu site de livraison ? Qui n’a jamais attendu une confirmation d’inscription ?

Ne jamais faire confiance aux liens

Les mails sont un moyen simple et efficace d’amener l’utilisateur sur un site douteux tout en donnant l’impression d’être légitime comme le lien suivant https://www.in2p3.fr. Lorsque vous suivez un lien web, il faut systématiquement vérifier la barre d’adresse de votre navigateur :

• Le site est-il sécurisé ?
• Le site est-il bien celui annoncé ?
• Le site est-il un site institutionnel (CNRS, CERN, CEA, …) ?

Vous pouvez aussi agir en évitant d’utiliser des sites non-institutionnels (google, dropbox, …) ou des réducteurs d’URL (tinyurl.com, bit.ly, goo.gl, …) qui rendent difficile la vérification des liens.

Faire attention aux pièces jointes

Les vulnérabilités des logiciels installés sur votre poste de travail peuvent aussi être à l’origine d’attaques via les pièces jointes aux emails. Par exemple, les fichiers excel ou word peuvent renfermer du code malicieux totalement invisible.

Si l’installation d’un anti-virus et l’installation des mises à jour de sécurité sont indispensables et permettent de déjouer une grande partie de ce type d’attaques, elles ne sont pas suffisantes.

N’ouvrez jamais un fichier joint si :

• vous ne connaissez pas l’expéditeur
• même si vous connaissez l’expéditeur, vous avez un doute sur l’origine du mail

Vous pouvez aussi agir en évitant d’envoyer des documents par mail. Préférer les outils de partage comme box qui permettent à vos contacts de s’assurer de la légitimité du lien.