Le vrai peut-il se lever, s'il vous plaît ?

Mardi 30 mars 2010

Dans notre article récent
sur le Google Online Security Blog,
nous avons décrit notre système d’identification des pages de phishing. Sur les millions de pages Web que nos
scanners analysent à la recherche de phishing, nous identifions avec succès 9 pages de phishing sur 10. Notre
système de classification ne signale à tort un site légitime comme un site de phishing qu’environ 1 fois sur
10 000, ce qui est nettement mieux que les systèmes similaires. D’après notre expérience, ces “faux
positifs” sont généralement conçus pour distribuer du spam ou peuvent être liés à d’autres activités
suspectes. Si vous constatez que votre site a été ajouté par erreur à notre liste de pages de phishing (“Reported Web
Forgery!”), veuillez
signaler
l’erreur. D’un autre côté, si votre site a été ajouté à notre liste de logiciels malveillants (“Ce site
peut endommager votre ordinateur”), vous devez suivre les instructions sur
la correction des problèmes liés aux logiciels malveillants,
Notre équipe s’efforce de traiter toutes les réclamations dans un délai d’un jour et nous répondons généralement en quelques
heures.

Malheureusement, parfois, lorsque nous essayons de faire suite à vos signalements, nous constatons que nous sommes tout aussi
perplexes que notre système automatisé. Si vous gérez un site Web, voici quelques directives simples qui
nous permettront de corriger rapidement toute erreur et d’éviter que votre site ne se retrouve sur notre liste de pages de phishing en
premier lieu.

Ne demandez pas de noms d’utilisateur et de mots de passe qui n’appartiennent pas à votre site.

Nous considérons par définition que ce comportement est du phishing, alors ne le faites pas ! Si vous souhaitez fournir un service
complémentaire à un autre site, envisagez d’utiliser une API publique ou
OAuth à la place.

Évitez d’afficher des logos qui ne vous appartiennent pas près des champs de connexion.

Quelqu’un qui surfe sur le Web peut croire à tort que le logo représente votre site Web et peut
être induit en erreur en saisissant sur votre site des informations personnelles destinées à l’autre
site. De plus, nous ne pouvons pas toujours être certains que vous ne le faites pas intentionnellement, nous pourrions donc bloquer
votre site par mesure de sécurité. Pour éviter tout malentendu, nous vous recommandons de faire preuve de prudence
lors de l’affichage de ces logos.

Minimisez le nombre de domaines utilisés par votre site, en particulier pour les connexions.

Demander un nom d’utilisateur et un mot de passe pour le Site X semble très suspect sur le Site Y. En plus de rendre
plus difficile l’évaluation de votre site Web par nos soins, vous risquez d’apprendre par inadvertance à vos visiteurs à ignorer les URL suspectes, les rendant ainsi plus vulnérables aux véritables tentatives de phishing. Si vous devez obligatoirement placer votre
page de connexion sur un domaine différent de votre site principal, envisagez d’utiliser un
proxy transparent
pour permettre aux utilisateurs d’accéder à cette page depuis votre domaine principal. Si tout le reste échoue…

Facilitez la recherche de liens vers vos pages

Il nous est difficile (ainsi qu’à vos utilisateurs) de déterminer qui contrôle une page hors domaine sur votre
site si les liens vers cette page depuis votre site principal sont difficiles à trouver. Tout ce qu’il faut pour clarifier
ce problème, c’est que chaque page hors domaine renvoie vers une page du domaine qui y fait référence. Si
vous ne l’avez pas fait et que l’une de vos pages se retrouve sur notre liste par erreur, veuillez mentionner dans votre rapport d’erreur comment nous pouvons trouver le lien de votre site principal vers la page bloquée par erreur.
Cependant, si vous ne faites rien d’autre…

N’envoyez pas de liens bizarres par e-mail ou messagerie instantanée

Il est presque impossible pour nous de vérifier des liens inhabituels qui ne sont apparus que dans vos e-mails ou
messages instantanés. Pire encore, l’utilisation de ce type de liens conditionne vos utilisateurs/clients/amis à
cliquer sur des liens bizarres reçus par e-mail ou messagerie instantanée, ce qui peut les exposer à d’autres
crimes sur Internet
en plus du phishing.

Bien que nous espérons que vous considérez ces recommandations comme relevant du bon sens, nous avons vu de grandes entreprises de commerce électronique
et financières enfreindre ces règles de temps à autre. Les suivre ne fera pas qu’améliorer
votre expérience avec nos systèmes anti-phishing, cela contribuera également à offrir à vos visiteurs
une meilleure expérience en ligne.

Rédigé par Colin Whittaker, Équipe Anti-Phishing