Le mail avait l'air trompeur – et l'était effectivement. Une cliente reçoit un e-mail de Swisspass avec un objet pressant: «Votre compte client sera supprimé dans 30 jours». Pour le conserver, on lui recommande de se connecter à son compte client dans les 30 jours qui suivent.
Mais la formation en cybersécurité de son employeur se rappelle à son bon souvenir: attention à la pression temporelle, aux menaces et à l'adresse de l'expéditeur avec «@mailing.swisspass.ch.» Elle appelle la hotline des CFF. Celle-ci l'invite à la prudence: de nombreux e-mails de phishing circulent - également sur ce thème. Elle ne devrait se connecter à Swisspass que via la page officielle.
Faux ou pas faux ?
La cliente de Swisspass s'adresse au bimensuel alémanique «Beobachter». Interrogée, une porte-parole de l'Alliance SwissPass, l'organisation sectorielle des transports publics, informe le média que le mail reçu est effectivement authentique.
Swisspass procède depuis plus d'un an à un «housekeeping» et supprime les logins qui n'ont pas été utilisés depuis plus de 18 mois. Le problème: les e-mails de phishing sont de plus en plus performants, de plus en plus crédibles et professionnels. Les escrocs sont souvent si créatifs que les e-mails de phishing ne sont pas reconnaissables au premier coup d'œil, fait savoir Swisspass à la demande du «Beobachter».
Pour les clients, il devient parfois impossible de distinguer la correspondance authentique des tentatives de phishing. De même, de fausses publicités et contributions au nom des CFF apparaissent régulièrement sur Facebook, Instagram et d'autres plateformes de réseaux sociaux. Souvent, les escrocs font de la publicité pour des abonnements CFF à un prix dérisoire ou pour des bons d'achat. La prudence est donc de mise en ce qui concerne les e-mails ou les posts au nom des CFF ou de Swisspass.
«Se méfier par principe»
Mais dans ce cas, comment ces entreprises peuvent-elles réellement communiquer avec leurs clients si leur crédibilité est directement remise en question? Pour protéger les données de ses clients, l'entreprise indique qu'elle poursuit en permanence des campagnes de phishing et qu'elle entretient des échanges avec le Centre national de cybersécurité afin de bloquer rapidement les pages Swisspass falsifiées. En outre, l'authentification à deux facteurs est proposée aux clients comme niveau de sécurité supplémentaire.
Interrogés par le «Beobachter», les CFF conseillent de se méfier des e-mails «que vous recevez sans y avoir été invité ou de manière inattendue.» Ils conseillent ainsi aux destinataires concernés de supprimer ou de signaler les e-mails suspects, de ne pas ouvrir de liens ou de pièces jointes, de ne pas divulguer de données personnelles et, en cas d'incertitude, d'appeler la hotline des CFF. Celle-ci coûte toutefois 8 centimes par minute - ce qui peut vite s'additionner si l'on veut se renseigner sur un mail.
