Faire des achats en ligne en toute sécurité – ITSAP.00.071

Comprendre les menaces courantes liées aux achats en ligne

Les achats en ligne peuvent vous exposer, tout comme votre organisation, à des risques de vol d’identité, de compromission de compte et de pertes financières. Les auteurs de menace utilisent aujourd’hui un éventail croissant de techniques pour donner une apparence légitime et digne de confiance à des sites Web, à des publicités et à des messages frauduleux. Certaines de ces techniques peuvent être automatisées ou renforcées à l’aide de l’intelligence artificielle (IA), ce qui rend les arnaques plus difficiles à détecter. Voici quelques méthodes couramment utilisées par les auteurs de menace pour accéder aux comptes des utilisatrices et utilisateurs et obtenir des renseignements sensibles :

• des sites de commerce électronique frauduleux qui recueillent vos renseignements ou vos données de paiement lorsque vous effectuez un achat, sans fournir les biens ou services promis;
• des sites frauduleux de traitement des paiements, notamment de fausses pages de paiement ou de fausses demandes de paiement provenant d’un tiers, qui perçoivent de l’argent pour des transactions fictives ou non autorisées;
• des sites Web qui n’utilisent pas de connexions chiffrées (par exemple, HTTPS), ce qui augmente le risque d’interception de vos renseignements, particulièrement lorsque vous utilisez un réseau public ou non sécurisé;
• des sites Web ou des marchés en ligne qui n’offrent pas de protections de base aux consommatrices et consommateurs et qui ne vérifient pas l’identité des vendeurs, ce qui accroît le risque de fraude;
• des arnaques par usurpation d’identité dans lesquelles des cybercriminels copient les noms, les logos et l’image de marque de véritables détaillants ou entreprises de livraison;
• des liens d’achat ou des codes QR frauduleux diffusés au moyen d’applications d’achat malveillantes, de publicités sur les médias sociaux, de courriels ou de messages texte;
• des demandes visant à contourner le processus officiel de paiement, par exemple en exigeant un paiement par virement électronique, carte-cadeau ou cryptomonnaie, ou en demandant le remboursement d’un prétendu trop-payé.

L’apparence professionnelle d’un site Web, la présence d’une icône de cadenas, l’utilisation d’une connexion chiffrée ou l’affichage d’une marque connue ne garantissent pas qu’un site est légitime. De nombreux sites d’achats frauduleux sont conçus pour imiter étroitement des détaillants de confiance et exploiter la confiance que les utilisatrices et utilisateurs accordent aux marques qui leur sont familières.

Reconnaître les signes d’une arnaque

Les sites d’achats frauduleux, y compris ceux créés à l’aide d’outils d’IA, peuvent sembler légitimes et convaincants. Les vérifications suivantes peuvent vous aider à déterminer si un site Web est sécuritaire.

Vérifier l’apparence et le fonctionnement du site Web

• Repérez les éléments de conception de mauvaise qualité qui donnent au site une apparence peu professionnelle.
• Vérifiez que les liens, les boutons et les éléments de navigation fonctionnent correctement.
• Assurez-vous que le site fournit des coordonnées claires, comme une adresse, une adresse courriel ou un numéro de téléphone.
• Consultez les politiques de protection de la vie privée, de retour et de remboursement et assurez-vous qu’elles sont claires.
• Méfiez-vous des demandes de renseignements personnels ou de paiement qui ne sont pas nécessaires pour effectuer votre achat.

Faire preuve de prudence à l’égard des offres inhabituelles et des messages suspects

• Comparez les prix et méfiez-vous des offres qui semblent trop belles pour être vraies.
• Examinez les frais d’expédition, les droits et les frais supplémentaires afin de repérer toute anomalie et portez une attention particulière aux frais inattendus qui augmentent considérablement le coût total.
• Méfiez-vous des tactiques de pression visant à vous faire agir rapidement, comme les messages indiquant qu’une offre est à durée limitée ou qu’il s’agit de votre dernière chance d’en profiter.
• Restez à l’affût des messages de suivi ou des demandes provenant prétendument du service à la clientèle qui signalent un problème lié à votre paiement, à la livraison, aux frais de douane, à un remboursement ou à l’état de votre commande et qui exigent une intervention urgente.

Se protéger lors des achats en ligne

Les mesures ci-dessous peuvent aider à protéger vos renseignements et ceux de votre organisation lorsque vous effectuez des achats en ligne. Bien que ces pratiques réduisent les risques, aucune d’entre elles ne peut les éliminer complètement.

Faire des recherches sur le détaillant

Avant d’effectuer un achat :

• recherchez des avis indépendants ailleurs que sur le site Web du détaillant;
• vérifiez depuis combien de temps le détaillant exerce ses activités et si sa présence en ligne est bien établie;
• recherchez des plaintes, des signalements d’arnaques ou des problèmes non résolus rapportés par la clientèle;
• communiquez avec le service à la clientèle avant d’effectuer un achat important afin de vérifier qu’il répond aux demandes;

Lorsqu’un produit est annoncé sur une plateforme de médias sociaux ou une place de marché en ligne :

• vérifiez si le vendeur ou le compte a été authentifié par la plateforme;
• consultez les commentaires de plusieurs personnes ayant effectué un achat vérifié ou confirmé et recherchez des tendances récurrentes dans les évaluations;
• privilégiez les places de marché en ligne réputées qui offrent des politiques claires en matière de retours et de protection contre la fraude pour les vendeurs tiers.

Naviguer sur le Web en toute sécurité

Lorsque vous visitez des sites d’achats en ligne :

• configurez le Bouclier canadien de CIRA sur votre réseau domestique ou vos appareils afin d’aider à bloquer les sites Web malveillants connus;
• privilégiez les sites Web qui utilisent des connexions chiffrées (HTTPS) pour mieux protéger vos renseignements;
• tenez compte des avertissements de sécurité de votre navigateur et ne poursuivez pas votre navigation vers des sites signalés comme étant non sécuritaires;
• ne vous fiez pas uniquement à la présence d’une icône de cadenas ou à l’apparence d’un site Web pour déterminer s’il est légitime;
• faites preuve de vigilance lorsque vous effectuez des achats à partir d’un appareil mobile, car les adresses URL raccourcies et l’espace d’affichage limité peuvent rendre les sites frauduleux plus difficiles à repérer.

Protéger vos comptes

Pour réduire les risques liés à vos comptes et à vos paiements :

• créez une phrase de passe unique et forte pour chacun de vos comptes en ligne;
• évitez de réutiliser les mêmes phrases de passe pour vos comptes d’achats en ligne, de courriel et de services financiers;
• utilisez l’authentification multifacteur (AMF) résistante à l’hameçonnage lorsqu’elle est offerte;
• vérifiez régulièrement les relevés de votre carte de crédit afin de repérer toute transaction inhabituelle;
• utilisez un mode de paiement sécurisé offert par une grande institution financière, comme une carte de crédit qui comprend une protection contre la fraude ou des mécanismes de contestation des frais;
• utilisez des numéros de carte de crédit virtuels ou des comptes assortis de limites de dépenses lorsque vous faites affaire avec des détaillants que vous ne connaissez pas.

Prendre des précautions supplémentaires

Pour réduire davantage les risques, vous devriez faire ce qui suit :

• communiquez uniquement les renseignements personnels strictement nécessaires;
• utilisez l’option d’achat en tant qu’invité lorsqu’elle est offerte afin de réduire la probabilité que le détaillant conserve (ou partage) vos renseignements personnels
  • si vous créez un compte, protégez-le au moyen d’une phrase de passe forte et de l’AMF;
• sauvegardez régulièrement vos appareils et installer les plus récentes mises à jour de sécurité.
  • utilisez des réseaux Wi-Fi sécurisés protégés par un mot de passe et évitez d’effectuer des achats lorsque vous êtes connecté à un réseau Wi-Fi public;
• faites preuve de prudence à l’égard des courriels, des messages texte et d’autres messages promotionnels offrant des aubaines spéciales;
• accédez directement aux sites Web officiels des détaillants plutôt que de cliquer sur des liens.

Mesures à prendre après un incident lié à un achat en ligne

Il est parfois difficile de reconnaître les menaces et les arnaques. Il est même possible que vous ne vous rendiez compte de la situation qu’après le vol de votre argent ou la communication de vos renseignements. Même si vous n’êtes pas certaine ou certain d’avoir été arnaqué, il est important d’agir rapidement. Si vous croyez avoir été victime d’une arnaque ou d’une compromission potentielle, prenez les mesures suivantes pour signaler l’incident et en atténuer les conséquences.

Étape 1 : Informez votre organisation

Si l’achat a été effectué au nom de votre organisation ou s’il impliquait des comptes, des appareils ou des moyens de paiement de l’organisation, signalez l’incident à votre équipe de sécurité, au soutien technique ou à la haute direction. Un signalement rapide permet de réduire les risques supplémentaires et de faciliter les activités d’intervention et de rétablissement de l’organisation.

Étape 2 : Communiquez avec l’émetteur de votre carte de crédit

Signalez immédiatement la transaction suspecte. Demandez à votre institution financière ou à l’émetteur de votre carte de crédit d’annuler ou de renverser la transaction et vérifiez s’il est nécessaire de surveiller le compte ou de remplacer la carte.

Étape 3 : Réinitialisez les comptes touchés

Modifiez les mots de passe de tous les comptes touchés, notamment vos comptes d’achats en ligne, de courriel et de médias sociaux. Utilisez des phrases de passe fortes et uniques, et activez l’AMF résistante à l’hameçonnage lorsqu’elle est offerte. Si vous avez utilisé le même mot de passe sur d’autres sites ou comptes, changez-le également et utilisez dorénavant un mot de passe différent pour chacun de vos comptes.

Étape 4 : Signalez l’incident

Signalez la fraude ou un cybercrime au Centre antifraude du Canada ou appelez au 1-888-495-8501. Vous devriez également signaler les tentatives d’arnaque même si vous n’avez pas perdu d’argent, car cette information aide à protéger les autres.

Pour en savoir plus

• Utiliser le chiffrement pour assurer la sécurité des données sensibles (ITSAP.40.016)
• Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032)
• Sécurisez vos comptes et vos appareils avec une authentification multifacteur (ITSAP.30.030)
• Application des mises à jour sur les dispositifs (ITSAP.10.096)
• Les réseaux privés virtuels (ITSAP.80.101)
• Comment reconnaître un commerce en ligne frauduleux