Comment repérer les faux sites d’échange ? (Prévention du phishing)

Analyse de nom de domaine

1. Les échanges légitimes de crypto-monnaie enregistrent des domaines avec des modèles de dénomination clairs et cohérents, correspondant souvent exactement à leur nom de marque officiel ou utilisant des variations minimes et prévisibles comme « binance.com » au lieu de « binance-official.net ».

2. Les faux sites utilisent fréquemment des domaines mal orthographiés tels que « binnance.com », « binanec.com » ou « binance-support.org » pour imiter l'authenticité.

3. Les domaines suspects de premier niveau tels que « .xyz », « .club » ou « .online » apparaissent de manière disproportionnée dans les échanges de phishing, en particulier lorsque la plateforme officielle utilise uniquement « .com » ou « .io ».

4. Un domaine enregistré au cours des 30 derniers jours déclenche des signaux d'alarme : les bourses réelles conservent des enregistrements de domaines de longue date et lancent rarement de nouveaux domaines principaux sans annonces publiques.

5. Les outils de recherche WHOIS révèlent souvent des détails d'enregistrement anonymisés ou protégés par la confidentialité des plateformes contrefaites, alors que les bourses réputées répertorient généralement les entités commerciales vérifiables.

Vérification du certificat SSL

1. Une icône de cadenas dans la barre d'adresse du navigateur est nécessaire mais insuffisante : de nombreux faux sites déploient des certificats SSL de base obtenus via des services automatisés gratuits comme Let's Encrypt.

2. Cliquer sur le cadenas et inspecter les détails du certificat montre si le certificat est émis pour le domaine exact visité et s'il provient d'une autorité de certification (CA) de confiance telle que DigiCert ou Sectigo.

3. Les certificats délivrés à des noms génériques tels que « .cloudflare.com » ou « .github.io » indiquent que le site est hébergé sur une infrastructure tierce, qui n'est ni détenue ni exploitée par une véritable bourse.

4. Les certificats expirés ou auto-signés sont de puissants indicateurs d'intention malveillante et devraient déclencher une fermeture immédiate.

5. Les sujets de certificat incompatibles – par exemple, un certificat délivré à « coinbase-support.net » lors de la navigation sur « coinbase-support.net » – sont techniquement valides mais très trompeurs et sont fréquemment utilisés de manière abusive.

Interface utilisateur et contenu Drapeaux rouges

1. Un texte mal traduit, des polices incohérentes, des éléments de mise en page cassés ou des images fictives signalent des pratiques de développement non professionnelles typiques des fronts de phishing.

2. Un langage urgent tel que « Votre compte sera suspendu dans 2 heures ! » ou "Vérifiez le portefeuille maintenant pour éviter toute perte !" est conçu pour contourner un examen rationnel.

3. Les pages de configuration de l'authentification à deux facteurs, les générateurs d'adresses de dépôt ou les sections d'historique des transactions manquants ou non fonctionnels exposent l'absence du backend.

4. De faux widgets de chat en direct qui ne répondent jamais – ou qui répondent par des réponses scriptées et génériques – sont régulièrement intégrés pour simuler la légitimité.

5. L'absence de clauses de non-responsabilité réglementaires, d'avis de conformité juridictionnelle ou de liens vers des organismes officiels d'octroi de licences (par exemple, FCA, FINMA, ASIC) reflète une omission délibérée de responsabilité.

Indicateurs de comportement du réseau

1. La résolution DNS pointant vers des adresses IP associées à des fournisseurs d’hébergement à toute épreuve ou à des centres de données connus dans des juridictions où la lutte contre la cybercriminalité est laxiste suggère une infrastructure malveillante.

2. Les en-têtes HTTP révélant des technologies backend telles que « PHP/8.1.10 » ou « nginx/1.18.0 » sur un site prétendant qu'une sécurité de niveau entreprise contredisent les capacités déclarées.

3. Les redirections inhabituelles, telles que le chargement d'une page de connexion via HTTPS mais la soumission des informations d'identification à un point de terminaison HTTP, exposent les mécanismes de collecte d'informations d'identification.

4. Les fichiers JavaScript chargés à partir de CDN externes avec des noms ou des domaines obscurcis sans rapport avec la pile technologique connue de l'échange peuvent contenir des enregistreurs de frappe ou des capteurs de formulaires.

5. L'absence d'en-têtes de politique de sécurité du contenu (CSP) ou la présence de politiques trop permissives telles que « script-src * » permettent l'exécution de code arbitraire.

Foire aux questions

Q : Puis-je faire confiance à une plateforme d'échange simplement parce qu'elle apparaît dans les résultats de recherche Google ? L'indexation Google ne vérifie pas la légitimité : les sites de phishing exploitent souvent des tactiques de référencement et des publicités payantes pour obtenir un classement élevé. Vérifiez toujours les URL avec les canaux de médias sociaux officiels et les sources vérifiées par la communauté.

Q : Pourquoi certaines fausses bourses affichent-elles des graphiques de prix en temps réel ? Ils récupèrent les flux d'API publics des plateformes légitimes comme Binance ou Coinbase. Les données en direct n'impliquent pas de fonctionnalité backend ou de capacité de conservation de fonds.

Q : Est-il sûr d'utiliser des extensions de navigateur qui remplissent automatiquement les formulaires de connexion sur les sites d'échange ? Non. Les outils de remplissage automatique peuvent injecter des informations d’identification dans des pages de phishing impossibles à distinguer des pages réelles. La saisie manuelle et la vérification stricte des URL restent essentielles.

Q : Que se passe-t-il si je saisis ma phrase de départ sur un faux site d'échange ? L’intégralité du solde de votre portefeuille devient instantanément accessible aux attaquants. Les phrases de départ saisies n’importe où en dehors des portefeuilles matériels vérifiés et isolés compromettent de manière irréversible tous les actifs associés.