Apprendre en pratique · environ 5 minutes
Pratique : messages suspects
Pratiquez la prochaine étape dans six situations quotidiennes. Chaque réponse a une explication; vous pouvez sauter la question et revenir à elle plus tard.
Les messages et les adresses sont fictifs. Cet exercice, pas l'évaluation de la sécurité de votre compte. Le résultat et les réponses restent seulement sur la page ouverte.
Réponses : 0 sur 6.
Situation 1 sur 6 · SMS
Paiement supplémentaire pour l'envoi
Il y a un message avec le nom de la compagnie de messagerie.
Explication
Une petite pression de temps et de quantité peut réduire la vigilance. Le formulaire peut collecter des données de carte ou de connexion.
Vérifiez le paquet via un canal que vous connaissez indépendamment de votre SMS. N'utilisez pas les coordonnées fournies dans ce message.
HTTPS protège la connexion à l'hôte affiché. Il ne confirme pas qui a envoyé le message ou si le paiement est vrai.
Le montant, le nom de l'expéditeur et HTTPS ne remplacent pas une vérification indépendante de la requête.
Comment vérifier le message suspect →Voir l'étape et l'explication proposées
J'ouvrirai une page de demande ou de transporteur bien connue.
Vérifiez le paquet via un canal que vous connaissez indépendamment de votre SMS. N'utilisez pas les coordonnées fournies dans ce message.
Le montant, le nom de l'expéditeur et HTTPS ne remplacent pas une vérification indépendante de la requête.
Comment vérifier le message suspect →Situation 2 de 6 · Appel téléphonique
Code pour «soutien»
Vous n'êtes pas en train de commencer une connexion. Une personne demandant le soutien appelle pour un code.
Explication
Ne partagez pas les codes de connexion de l'appelant. Utilisez votre propre application ouverte ou les coordonnées du service connu.
La connaissance du nom ne confirme pas l'identité de l'appelant. Le code peut permettre à quelqu'un de compléter la connexion.
Ne révèlez aucune partie du secret. Il ne s'agit pas d'une méthode pour confirmer l'identité du support.
Le code confirme votre opération de connexion; il ne s'agit pas d'informations à donner à la personne-ressource.
Comment utiliser le deuxième ingrédient →Voir l'étape et l'explication proposées
Je ne vous donnerai pas le code, je terminerai l'appel et vérifierai le compte par la voie officielle.
Ne partagez pas les codes de connexion de l'appelant. Utilisez votre propre application ouverte ou les coordonnées du service connu.
Le code confirme votre opération de connexion; il ne s'agit pas d'informations à donner à la personne-ressource.
Comment utiliser le deuxième ingrédient →Situation 3 de 6 · Courriel
Nouveau numéro de compte
Un nouveau numéro de compte apparaît dans le thread de coopération existant. Le message est écrit correctement.
Explication
Si le compte de l'expéditeur a été pris en charge, la réponse peut être envoyée à la même personne qui a envoyé la demande.
L'historique de la conversation et la langue correcte ne garantissent pas que la nouvelle demande a été envoyée par une personne qualifiée.
Utilisez les données que vous avez de la coopération antérieure et vérifiée. Lorsque vous payez, appliquez les règles d'approbation en vigueur dans votre organisation.
Un thread de confiance peut être utilisé pour une nouvelle demande non autorisée. Confirmer les changements inhabituels indépendamment.
Sous-titrage dans les conversations et chat →Voir l'étape et l'explication proposées
Je vais confirmer le changement par un numéro déjà connu ou un autre canal indépendant.
Utilisez les données que vous avez de la coopération antérieure et vérifiée. Lorsque vous payez, appliquez les règles d'approbation en vigueur dans votre organisation.
Un thread de confiance peut être utilisé pour une nouvelle demande non autorisée. Confirmer les changements inhabituels indépendamment.
Sous-titrage dans les conversations et chat →Situation 4 de 6 · Notification de la demande 2FA
Confirmation inattendue
Vous posez le téléphone, et il y a d'autres demandes de connexion que vous ne commencez pas.
Explication
L'acceptation peut permettre une connexion étrangère. Le nombre de notifications ne modifie pas ce risque.
N'approuvez pas la connexion que vous ne démarrez pas. Vérifiez les sessions, le mot de passe et les méthodes d'accès dans les paramètres de l'application connue.
La suppression d'une application ne supprime pas une session étrangère ou un mot de passe divulgué; il peut également être difficile de récupérer votre propre accès.
Une demande d'approbation inattendue nécessite de vérifier votre compte. Ne l'approuvez pas pour la tranquillité d'esprit.
Réponse à la notification inattendue 2FA →Voir l'étape et l'explication proposées
Je vais refuser la demande et examiner la sécurité du compte moi-même.
N'approuvez pas la connexion que vous ne démarrez pas. Vérifiez les sessions, le mot de passe et les méthodes d'accès dans les paramètres de l'application connue.
Une demande d'approbation inattendue nécessite de vérifier votre compte. Ne l'approuvez pas pour la tranquillité d'esprit.
Réponse à la notification inattendue 2FA →Situation 5 de 6 · Lien dans le message
Nom du service avant @
L'expéditeur vous demande de vous connecter à nouveau. Dans l'adresse affichée, vous pouvez voir un nom familier.
Explication
Le texte avant @ fait partie des données de l'utilisateur dans URL, pas hôte.
La position d'un nom familier au début ne spécifie pas l'hôte. Dans cet hôte URL commence après le caractère @.
L'hôte est un session.invalid. N'ouvrez pas l'adresse pour vérifier ceci: ses ingrédients peuvent être lus dans l'inspecteur local URL.
Lisez l'hôte complet, pas seulement un passage familier du texte. Ce n'est toujours pas un examen de la réputation du site.
Comment lire l'URL →Voir l'étape et l'explication proposées
session.invalide
L'hôte est un session.invalid. N'ouvrez pas l'adresse pour vérifier ceci: ses ingrédients peuvent être lus dans l'inspecteur local URL.
Lisez l'hôte complet, pas seulement un passage familier du texte. Ce n'est toujours pas un examen de la réputation du site.
Comment lire l'URL →Situation 6 de 6 · Information par courrier électronique
Notification après votre quart de travail
Il y a un instant, vous ajoutez vous-même la clé de passage aux paramètres de l'application connue. Maintenant, vous obtenez des informations sur le changement.
Explication
Vous pouvez confirmer votre solde de compte par vous-même. Vous n'avez pas à considérer chaque message comme une fraude ou une connexion via un lien e-mail.
La compatibilité d'un message avec votre action ne garantit pas l'authenticité d'autres requêtes.
La notification n'exige pas la publication du mot de passe. Ne partagez pas les secrets en réponse au message.
Évaluer le contexte et la demande. La confirmation dans une application connue fournit une meilleure base que l'apparition du courriel lui-même.
Se connecter avec Passkey dans la pratique →Voir l'étape et l'explication proposées
Je vais vérifier le changement dans une application connue; la compatibilité temps et action est un contexte utile.
Vous pouvez confirmer votre solde de compte par vous-même. Vous n'avez pas à considérer chaque message comme une fraude ou une connexion via un lien e-mail.
Évaluer le contexte et la demande. La confirmation dans une application connue fournit une meilleure base que l'apparition du courriel lui-même.
Se connecter avec Passkey dans la pratique →Résumé des exercices
Ce résultat ne décrit que les réponses aux exemples. Il ne confirme pas la résistance à l'hameçonnage ou à la sécurité du compte.
Ça vaut le coup de s'entraîner.
- Envoi supplémentaire: Comment vérifier le message suspect
- Code pour «support»: Comment utiliser le deuxième ingrédient
- Nouveau numéro de compte: se faire passer pour une conversation et un chat
- Confirmation inattendue : Réponse à la notification imprévue 2FA
- Nom du service avant @: Comment lire l'URL
- Notification après votre changement: Ouvrir une session avec la clé de passe en pratique
Dans ces exemples, toutes les étapes proposées ont été sélectionnées. Dans la situation réelle, continuer à vérifier la demande par un canal indépendant.
Quels sont les exercices basés sur?
Les règles de vérification des demandes, de protection des codes et des adresses de lecture décrivent les sources ci-dessous.
- NIST — phishing et vérification indépendante des demandes
- FTC — reconnaissance et évitement de l'hameçonnage
- OWASP — Restrictions et attaques contre le MFA
- WhatWG — composants URL
Avez-vous un vrai message suspect maintenant? Allez à Plan d'action →