.png)
%20(1).png)
Une fausse invitation à une fête est une fraude qui imite une véritable invitation numérique et qui semble provenir d’une personne que vous connaissez.
Les fraudeurs imitent des services d’invitations en ligne comme Partiful, Evite, Paperless Post et Punchbowl. Leur invitation vous demande de télécharger un fichier ou de vous connecter pour voir les détails. Ces deux gestes peuvent donner aux fraudeurs l’accès à votre appareil, à vos comptes, ou aux deux.
Les autorités canadiennes et américaines ont mis le public en garde contre les tactiques utilisées dans cette fraude :
Vous recevez un texto ou un courriel qui ressemble à une invitation en ligne pour un anniversaire, un mariage, une remise de diplômes ou une réception privée. L’invitation mentionne souvent le nom d’un ami, d’un proche ou d’un collègue réel comme hôte.
L’invitation mène à une fausse page qui vous demande de télécharger un fichier PDF ou un autre type de fichier pour connaître l’heure, le lieu ou les détails concernant la confirmation de présence. Ce fichier peut être un logiciel malveillant qui donne aux fraudeurs l’accès à votre ordinateur.
D’autres versions ne comportent aucun fichier. Le lien ouvre plutôt une fausse page de connexion qui vous demande de vous connecter avec Google, Microsoft, Rogers ou votre compte de courriel « pour voir l’invitation ». Certaines demandent aussi un code de sécurité. Tout ce que vous saisissez est transmis directement au fraudeur, ce qui peut mener à la prise de contrôle de votre compte.
Même vérifier auprès de l’expéditeur par courriel peut ne pas suffire. Dans un cas rapporté par Fox News, un homme a écrit à son ami pour lui demander si une invitation Evite suspecte était authentique et a reçu une réponse rassurante. Le compte de l’ami avait été piraté, et c’est le fraudeur qui avait répondu.
Pour la plupart des gens, une fausse invitation peut entraîner le vol d’un mot de passe. Pour les dirigeants, les cadres et les familles fortunées, les conséquences peuvent être beaucoup plus importantes.
Plusieurs services expliquent comment vérifier leurs invitations, notamment Partiful, Evite et Paperless Post (en anglais seulement).
Si vous avez téléchargé un fichier, faites vérifier l’appareil avant de vous y fier de nouveau.
Découvrez comment Richter Guardian soutient les bureaux familiaux et les cabinets d’avocats, ou faites gratuitement l’évaluation Quels sont mes risques?
Elle imite un véritable service d’invitations en ligne et utilise un nom de confiance pour vous inciter à télécharger un fichier malveillant ou à vous connecter sur une fausse page.
Les véritables invitations des grands services n’exigent normalement ni téléchargement ni votre mot de passe de courriel. Vérifiez l’adresse Web et confirmez auprès de l’hôte par téléphone ou par texto.
Richter Guardian vous offre une cybersécurité au niveau de l'entreprise adaptée aux particuliers, aux familles et aux dirigeants.
Une fausse invitation à une fête est une fraude qui imite une véritable invitation numérique et qui semble provenir d’une personne que vous connaissez.
Les fraudeurs imitent des services d’invitations en ligne comme Partiful, Evite, Paperless Post et Punchbowl. Leur invitation vous demande de télécharger un fichier ou de vous connecter pour voir les détails. Ces deux gestes peuvent donner aux fraudeurs l’accès à votre appareil, à vos comptes, ou aux deux.
Les autorités canadiennes et américaines ont mis le public en garde contre les tactiques utilisées dans cette fraude :
Vous recevez un texto ou un courriel qui ressemble à une invitation en ligne pour un anniversaire, un mariage, une remise de diplômes ou une réception privée. L’invitation mentionne souvent le nom d’un ami, d’un proche ou d’un collègue réel comme hôte.
L’invitation mène à une fausse page qui vous demande de télécharger un fichier PDF ou un autre type de fichier pour connaître l’heure, le lieu ou les détails concernant la confirmation de présence. Ce fichier peut être un logiciel malveillant qui donne aux fraudeurs l’accès à votre ordinateur.
D’autres versions ne comportent aucun fichier. Le lien ouvre plutôt une fausse page de connexion qui vous demande de vous connecter avec Google, Microsoft, Rogers ou votre compte de courriel « pour voir l’invitation ». Certaines demandent aussi un code de sécurité. Tout ce que vous saisissez est transmis directement au fraudeur, ce qui peut mener à la prise de contrôle de votre compte.
Même vérifier auprès de l’expéditeur par courriel peut ne pas suffire. Dans un cas rapporté par Fox News, un homme a écrit à son ami pour lui demander si une invitation Evite suspecte était authentique et a reçu une réponse rassurante. Le compte de l’ami avait été piraté, et c’est le fraudeur qui avait répondu.
Pour la plupart des gens, une fausse invitation peut entraîner le vol d’un mot de passe. Pour les dirigeants, les cadres et les familles fortunées, les conséquences peuvent être beaucoup plus importantes.
Plusieurs services expliquent comment vérifier leurs invitations, notamment Partiful, Evite et Paperless Post (en anglais seulement).
Si vous avez téléchargé un fichier, faites vérifier l’appareil avant de vous y fier de nouveau.
Découvrez comment Richter Guardian soutient les bureaux familiaux et les cabinets d’avocats, ou faites gratuitement l’évaluation Quels sont mes risques?
Elle imite un véritable service d’invitations en ligne et utilise un nom de confiance pour vous inciter à télécharger un fichier malveillant ou à vous connecter sur une fausse page.
Les véritables invitations des grands services n’exigent normalement ni téléchargement ni votre mot de passe de courriel. Vérifiez l’adresse Web et confirmez auprès de l’hôte par téléphone ou par texto.
Imaginez que vous recevez un courriel de sécurité de Google, suivi d’un appel d’une personne qui prétend travailler pour la sécurité de Google.
Le courriel est authentique et votre interlocuteur est au courant de son existence. Il serait donc raisonnable de croire que l’appel est légitime.
Malheureusement, des fraudeurs ont trouvé des façons de combiner de vrais messages de sécurité avec des appels frauduleux, ce qui rend plus difficile de distinguer le vrai du faux.
La bonne nouvelle, c’est que vous n’avez pas besoin de devenir un expert capable de repérer chaque nouvelle fraude. Quelques habitudes simples peuvent vous aider à vous protéger, vous et votre famille.
Une attaque récente documentée par Proton montre à quel point ces fraudes peuvent être convaincantes.
Le fraudeur crée un nouveau compte Google et inscrit l’adresse courriel de la victime comme adresse de récupération de ce compte. Google envoie alors à la victime un vrai message lui demandant de confirmer cette adresse de récupération.
Le fraudeur appelle ensuite la victime en se faisant passer pour un employé de Google. Il peut prétendre que quelqu’un tente d’accéder au compte de la victime ou de modifier ses renseignements de récupération.
D’autres messages de sécurité authentiques de Google peuvent même arriver pendant l’appel.
Cela crée une illusion convaincante : les courriels sont authentiques, donc la personne au bout du fil doit l’être aussi. Or, ce n’est pas nécessairement le cas.
Heureusement, Google applique une règle simple : l’entreprise ne vous appellera jamais au sujet de la sécurité de votre compte. Google ne vous appellera pas pour vous demander votre mot de passe ou un code de vérification, ni pour vous demander d’approuver une demande de connexion sur un appareil.
La technique derrière cette fraude peut prendre d’autres formes.
Le Centre antifraude du Canada prévient que des criminels peuvent tenter de se connecter à votre courriel, à vos médias sociaux, à vos comptes bancaires ou à d’autres comptes, ce qui déclenche l’envoi d’un vrai code à usage unique à votre attention.
Le criminel communique ensuite avec vous en se faisant passer pour une organisation en qui vous avez confiance et vous demande de lui fournir ce code.
Autrement dit, recevoir un vrai message de sécurité ou un vrai code de vérification ne prouve pas que la personne qui communique avec vous est légitime.
C’est une distinction importante à garder en tête.
Ne paniquez pas, et n’essayez pas de régler le problème pendant que vous êtes encore au téléphone.
Si quelqu’un vous appelle de façon inattendue au sujet d’un problème de compte, mettez fin à la conversation. Vous pourrez vérifier la situation de votre côté.
Le Centre antifraude du Canada recommande de ne jamais communiquer un code à usage unique, y compris à une personne qui prétend représenter un fournisseur de services.
Un code qui arrive sur votre téléphone ou dans vos courriels vous est destiné, et non à la personne qui communique avec vous.
N’utilisez pas les instructions ou les liens fournis par votre interlocuteur.
Ouvrez plutôt vous-même le site Web officiel ou l’application. Passez en revue l’activité de sécurité récente et vérifiez s’il y a des appareils que vous ne reconnaissez pas.
Pour un compte Google, utilisez les outils de sécurité de Google plutôt que de vous fier à une personne qui a communiqué avec vous de façon inattendue.
Regardez ce que le message dit réellement, et non ce que votre interlocuteur prétend qu’il signifie.
Par exemple, une personne qui demande à utiliser votre adresse courriel comme adresse de récupération d’un autre compte, ce n’est pas la même chose qu’une personne qui modifie les renseignements de récupération de votre propre compte.
Utilisez des mots de passe robustes et uniques ainsi que l’authentification multifacteur (AMF). Ces mesures rendent plus difficile la prise de contrôle d’un compte, même si quelqu’un obtient votre mot de passe.
Le Centre canadien pour la cybersécurité recommande des mesures d’authentification supplémentaires et de bonnes pratiques de sécurité des comptes pour vous protéger contre l’hameçonnage et les attaques connexes.
La sécurité des comptes ne devrait pas se limiter à quelques membres de votre famille.
Le compte de courriel d’un adolescent peut être lié à ses médias sociaux, à ses photos, à son stockage infonuagique, à ses comptes de jeux vidéo, aux services de son école et à d’autres aspects de sa vie numérique. C’est aussi vrai pour les enfants et les aînés.
Vous n’avez pas besoin de faire de tout le monde des experts en cybersécurité. Donnez-leur plutôt trois règles familiales simples.
Une personne qui prétend qu’un compte a un problème urgent n’a pas besoin de rester au téléphone pendant que vous vérifiez.
Ni à quelqu’un au téléphone, ni à quelqu’un qui vous écrit sur les médias sociaux, ni même à quelqu’un qui prétend vous avoir envoyé le code par erreur.
Faites comprendre aux membres de votre famille qu’ils peuvent venir vous voir si quelque chose leur semble anormal, même s’ils ont déjà cliqué sur un lien, répondu à un message ou commis une erreur. Cette dernière règle est peut-être la plus importante.
Vous voulez que le premier réflexe de votre famille soit d’en parler à quelqu’un, et non de cacher ce qui s’est passé.
Le Bureau de la concurrence Canada recommande lui aussi d’apprendre aux jeunes à protéger leurs renseignements personnels et à vérifier avec qui ils traitent en ligne.
Un message qui a l’air professionnel n’est pas nécessairement digne de confiance.
Le Centre antifraude du Canada prévient que la fraude moderne peut faire appel à des messages d’apparence professionnelle ainsi qu’à des textes, des images, des vidéos et des voix générés par l’IA.
Les dirigeants peuvent aussi être la cible d’hameçonnage très ciblé. Le Centre canadien pour la cybersécurité qualifie les attaques visant les cadres supérieurs de « chasse à la baleine », une forme de harponnage qui peut utiliser des renseignements sur la cible pour rendre l’approche plus convaincante.
La sécurité de votre famille est aussi plus interreliée que vous ne le pensez. Votre conjoint, vos enfants ou d’autres membres de la famille peuvent avoir des comptes, des appareils ou des renseignements personnels qui recoupent la vie numérique de l’ensemble de la famille.
La bonne question n’est donc plus simplement :
« Est-ce que ce courriel a l’air faux? »
Une meilleure question serait :
« Puis-je confirmer par moi-même que cette demande est authentique? »
La meilleure défense contre ce genre de fraude n’est pas la peur. C’est une habitude simple :
Un vrai courriel ne fait pas de la personne qui vous appelle une vraie personne. Un numéro de téléphone familier ne prouve pas l’identité de l’appelant. Et un avertissement urgent ne signifie pas que vous devez réagir dans l’urgence.
Si vous êtes client de Richter Guardian et que vous recevez un message de sécurité suspect, un appel ou une alerte de compte, communiquez avec nous avant d’agir si vous avez un doute. Notre équipe peut vous aider à évaluer ce qui s’est passé et à déterminer la marche à suivre.
L’objectif n’est pas de rendre votre famille nerveuse face à la technologie, mais de faire en sorte que chacun soit un peu plus difficile à tromper.
Un nouveau type d’outil d’intelligence artificielle fait son apparition sur les médias sociaux, les téléphones et les ordinateurs. Cette IA ne se contente pas de répondre à des questions : elle agit pour vous. Elle peut lire vos courriels, réserver vos voyages, magasiner et envoyer des messages à d’autres personnes en votre nom.
On les appelle des agents d’IA personnels, ou parfois des assistants d’IA. Pour les dirigeants, les membres de conseils d’administration, les propriétaires d’entreprise et les personnalités publiques très occupés, ces outils permettent réellement de gagner du temps. Ils ont toutefois besoin de limites claires, et une histoire survenue récemment au Canada montre pourquoi ces contrôles sont importants.
En octobre, CBC News a rapporté le cas de Matt Robb, un résident de Toronto qui utilisait Muse, le nouvel agent de Meta, pour ses ventes sur Facebook Marketplace. Il affirme que l’agent a organisé une vente sur Marketplace à son insu et a donné son adresse domiciliaire à un inconnu. Lorsque l’acheteur s’est présenté, Muse lui a même répondu « Oui, je suis là! » au nom de M. Robb, alors que celui-ci n’était pas chez lui.
Tout s’est joué sur un seul mauvais choix. M. Robb a expliqué avoir sélectionné « Toujours autoriser » au lieu de « Autoriser une seule fois ». Un cadre supérieur de Meta a indiqué qu’ils avaient confirmé ensemble qu’il n’y avait eu aucune violation des paramètres de confidentialité, et M. Robb affirme que Meta lui a dit qu’elle rendrait ce choix plus clair.
Il n’y a eu aucun piratage : l’outil a fait exactement ce qu’un paramètre lui permettait de faire. C’est là la principale leçon à retenir.
Muse se répand rapidement. En six semaines, plus de 10 millions de personnes aux États-Unis et au Canada s’y sont inscrites.
Toutes les grandes entreprises d’IA offrent maintenant un agent ou un assistant de ce genre :
Votre adresse domiciliaire, vos projets de voyage, les activités et les horaires scolaires de vos enfants, ainsi que vos courriels liés à des transactions ont une grande valeur aux yeux de personnes malveillantes. Un agent d’IA personnel doté d’un vaste accès regroupe tous ces renseignements au même endroit.
Un seul mauvais paramètre pourrait non seulement envoyer un inconnu à votre porte, mais aussi divulguer une décision d’affaires importante, intercepter un courriel, le rediriger et y répondre, ou transférer rapidement de l’argent d’un compte à un autre.
Les agents d’IA personnels peuvent aussi toucher d’autres personnes de votre entourage, à leur insu.
Dans l’article de la CBC, un expert en cybersécurité affirme que les données des personnes qui vous écrivent sont elles aussi à risque. Un avocat a évoqué la CLOUD Act américaine, qui peut donner au gouvernement des États-Unis accès aux données hébergées sur des serveurs appartenant à des entreprises américaines, soit exactement là où se trouvent toutes ces entreprises technologiques.
Les agents d’IA personnels sont déjà utiles et ils continueront de s’améliorer. Traitez un agent comme un nouvel adjoint à sa première journée : confiez-lui de petites tâches, fixez-lui des limites claires et laissez la confiance s’installer avec le temps.
Notre équipe de conciergerie aide les dirigeants et leur famille à répondre précisément à ces questions : quels renseignements personnels circulent déjà, quels outils peuvent y accéder et à quoi ressemblent des limites raisonnables. Un bref examen par notre Bureau de cyberdéfense dès maintenant est beaucoup plus simple qu’un nettoyage plus tard.
Découvrez comment Richter Guardian aide les dirigeants et les familles fortunées, ou faites gratuitement l’évaluation Quels sont mes risques? comme première étape.