Ingénierie sociale et tromperie

L’ingénierie sociale est une tromperie visant à extorquer de l’argent ou des données sensibles – coordonnées bancaires, identifiants, numéros de téléphone – à des utilisateurs ordinaires. C’est la catégorie la plus grave de cette liste, car Yandex peut afficher un avertissement concernant le site directement dans les résultats de recherche.

Les trois tactiques décrites par Yandex

• Obtenir le clic. Titres racoleurs et contenu trompeur : faux sites d’information, imitations de services de rencontres ou de loteries, offres de biens gratuits ou absurdes, prix et plateformes d’argent facile.
• Fabriquer la confiance. Usurper l’identité d’un site officiel par le biais de domaines, d’éléments d’interface et de contenu similaires ; publier de faux avis positifs ou de fausses informations.
• Collecter des données. Fausse page de paiement demandant des informations de carte bancaire ; faux formulaires de connexion et de récupération de compte ; formulaires promettant l’accès à du contenu en échange d’un numéro de téléphone ou d’une carte et ne tenant jamais leurs promesses – y compris les formulaires qui activent discrètement un abonnement payant à renouvellement automatique dont l’utilisateur ne voit jamais les conditions.

L’hypothèse que Yandex fait à votre sujet

Le guide de correction est remarquable pour ce qu’il suppose : si votre site est suspecté d’ingénierie sociale, il a peut-être été compromis par des attaquants. La première consigne est de rechercher du code malveillant, et non de revoir votre marketing. Les pages de phishing sont régulièrement hébergées sur des sites légitimes piratés – dans un sous-répertoire oublié, sur un sous-domaine inutilisé, à l’intérieur d’un dossier de téléchargements – sans que le propriétaire ne les voie jamais.

Où chercher sur un site que vous pensez être propre

• Fichiers ajoutés ou modifiés récemment dans des répertoires accessibles en écriture Web, en particulier les téléchargements.
• Sous-domaines et répertoires que personne ne maintient : anciennes campagnes, copies de staging, CMS obsolète.
• Pages dans les rapports d’index de la console que vous ne reconnaissez pas – Yandex les a explorées, ce qui signifie qu’elles existent.
• Comptes administrateur que vous n’avez pas créés et plugins dont personne ne se rappelle l’installation.

La version de cette infraction pour les sites légitimes

Deux schémas peuvent être totalement involontaires : un abonnement dont les conditions de renouvellement sont divulguées ailleurs qu’au moment du paiement, et un formulaire de prospects promettant quelque chose que l’utilisateur ne reçoit pas réellement. Les deux correspondent à la description de la collecte de données sous de faux prétextes, indépendamment de l’intention initiale. Indiquer les conditions à côté du bouton plutôt que dans un document lié ne coûte rien et lève toute ambiguïté.