Un des ouvrages de notre sélection propose quinze mesures simples pour réduire l'exposition à la cybercriminalité ; l'idée est la bonne. La protection des données personnelles au quotidien ne demande pas d'expertise, mais quelques habitudes appliquées avec constance. Voici les plus efficaces.
L'hameçonnage — un message qui imite un expéditeur de confiance pour obtenir un identifiant, un paiement ou un clic — reste le point de départ le plus fréquent. Les signaux : une urgence artificielle, une adresse d'expéditeur légèrement altérée, un lien dont l'adresse réelle ne correspond pas au texte, une demande inhabituelle. La règle du canal aide : en cas de doute sur un message de sa banque, on ne clique pas, on se connecte par le moyen habituel ou on appelle un numéro connu. Un message suspect se signale, en interne à l'équipe informatique, et pour un particulier via les dispositifs officiels de signalement.
Deux propriétés comptent : la longueur — une phrase de passe de plusieurs mots vaut mieux qu'un mot court truffé de symboles — et l'unicité, un mot de passe différent par service. La réutilisation est le vrai danger : une fuite sur un site anodin donne accès à tous les comptes partageant le même mot de passe. Retenir des dizaines de mots de passe distincts est impossible sans outil ; un gestionnaire de mots de passe les génère, les stocke chiffrés et les remplit automatiquement. On ne retient plus qu'un mot de passe maître, long et protégé.
La double authentification ajoute, au mot de passe, une seconde preuve : un code fourni par une application, une notification à valider, ou une clé physique. Même si le mot de passe fuite, le compte reste protégé. Toutes les formes ne se valent pas : une application d'authentification ou une clé physique résiste mieux qu'un code envoyé par SMS, vulnérable au détournement de ligne. On l'active en priorité sur la messagerie principale — qui sert à réinitialiser tous les autres comptes —, les comptes bancaires et les réseaux sociaux.
Une grande partie des attaques exploite des failles déjà corrigées par un éditeur, sur des appareils non mis à jour. Activer les mises à jour automatiques du système d'exploitation, des navigateurs et des applications ferme ces portes. Ne pas oublier les équipements qu'on ne redémarre jamais : la box internet, le routeur, les objets connectés, qui reçoivent aussi des correctifs. Un appareil qui n'est plus mis à jour par son fabricant doit être remplacé ou isolé.
Moins de données exposées, moins de surface d'attaque. Cela passe par des sauvegardes — traitées dans notre guide sauvegarde et récupération —, par la suppression des comptes inutilisés, par la révision des autorisations accordées aux applications, et par la retenue sur les informations publiées : une date de naissance, une adresse, le nom d'un animal servent aux questions de sécurité et à l'ingénierie sociale.
Sur un réseau ouvert — hôtel, gare, café —, un autre utilisateur peut tenter d'observer le trafic ou d'imiter le point d'accès. Le chiffrement des sites web modernes protège déjà le contenu des échanges, mais pas toujours les métadonnées, et un faux point d'accès peut chercher à rediriger vers des pages piégées. Les précautions simples : éviter les opérations sensibles sur ces réseaux, préférer le partage de connexion de son téléphone, et, si l'on utilise fréquemment des réseaux non maîtrisés, faire transiter la connexion par un tunnel chiffré.
Un rançongiciel chiffre les fichiers et réclame une rançon. Les voies d'entrée les plus courantes sont connues : une pièce jointe ou un lien dans un courriel d'hameçonnage, un accès distant mal protégé et exposé sur internet, une faille non corrigée sur un service exposé, ou un logiciel téléchargé hors des canaux officiels. Les mêmes gestes réduisent donc plusieurs risques à la fois : vigilance sur les messages, authentification multifacteur sur les accès distants, mises à jour, et surtout une sauvegarde déconnectée qui permet de repartir sans négocier.
Certaines fraudes ne reposent pas sur un logiciel malveillant mais sur la manipulation. Le faux support technique, qui prétend détecter un problème et demande un accès à distance ou un paiement. La fraude au faux ordre de virement, où un message imitant un dirigeant ou un fournisseur réclame un paiement urgent. Le chantage à la prétendue vidéo compromettante, envoyé en masse. Le point commun est la pression temporelle et l'appel à l'émotion ; la parade est de ralentir, de vérifier par un canal indépendant, et de ne jamais accorder d'accès à distance à un interlocuteur non sollicité.
L'usurpation consiste à utiliser vos informations pour ouvrir un compte, souscrire un crédit ou détourner un paiement. Les signaux d'alerte : des courriers pour des services non souscrits, des opérations bancaires inconnues, un refus de crédit inexpliqué, l'impossibilité de se connecter à un compte. La prévention passe par la surveillance régulière des relevés bancaires et, en cas de doute, par une opposition rapide auprès de la banque et un signalement aux organismes concernés. Conserver les preuves et déposer plainte ouvre les recours.
Un téléphone concentre messages, photos, localisation, comptes et moyens de paiement. Les bases : un verrouillage par code long ou biométrie, le chiffrement de l'appareil — activé par défaut sur les modèles récents —, l'installation d'applications depuis les magasins officiels uniquement, et la révision des permissions, en refusant l'accès à la localisation, aux contacts ou au micro aux applications qui n'en ont pas besoin. La quantité d'informations qu'un smartphone conserve, et qu'une analyse permet de reconstituer, est le sujet d'un des ouvrages de notre sélection consacré à l'investigation numérique.
La sécurité d'un foyer ou d'une petite structure est celle de son maillon le plus faible. Un proche âgé, un adolescent, un collègue peu à l'aise avec l'informatique sont des cibles privilégiées de l'hameçonnage et des arnaques ciblées. Quelques échanges concrets — montrer un vrai courriel frauduleux, expliquer la règle du canal, installer ensemble un gestionnaire de mots de passe — ont plus d'effet qu'un long document. Dans une organisation, une sensibilisation courte et régulière, appuyée sur des cas réels, fait partie des mesures de sécurité attendues par le RGPD.
Si un compte est piraté ou un appareil infecté : déconnecter l'appareil du réseau, changer les mots de passe depuis un autre appareil sain — en commençant par la messagerie principale —, activer la double authentification si ce n'était pas fait, prévenir sa banque et ses contacts si l'attaque peut les toucher, et conserver les traces. En France, le dépôt de plainte et le recours à la plateforme publique d'assistance aux victimes d'actes de cybermalveillance orientent vers les démarches et les prestataires.
Hameçonnage, mots de passe uniques via un gestionnaire, double authentification, mises à jour, sauvegardes, prudence sur le smartphone : six réflexes couvrent l'essentiel du risque courant. Ils complètent le cadre du RGPD et les notions techniques détaillées dans chiffrement, pseudonymisation et anonymisation.