Pratiques, gratuites, amusantes, écolo, les cartes de voeux virtuelles vont à nouveau déferler sur les réseaux. 4,5 millions de Français s'y sont essayés l'an dernier, ils devraient être deux fois plus nombreux cette année.

Une aubaine pour les cybercriminels, qui voient dans les cartes virtuelles un excellent vecteur pour propager virus ou chevaux de Troie et attirer d'infortunés destinataires sur de faux sites.

Le phénomène est bien suivi par les experts en sécurité, qui appellent chaque année les internautes à la plus grande vigilance. « Il faut se méfier des services inconnus qui proposent des cartes virtuelles, en particulier sur les réseaux sociaux comme MySpace. Ceux qui ont pignon sur rue, comme Dromadaire ou Cybercartes en France, sont a priori sans risque », prévient Dominique Loiselet, directeur général de Websense France.

Des attaques plus sophistiquées

Selon l'éditeur, une des attaques les plus courantes consiste à insérer un lien piégé dans l'e-mail informant le destinataire qu'il a reçu une carte virtuelle. Celui-ci est alors redirigé vers un site malveillant, où l'attendent codes malicieux et autres formulaires destinés à lui soutirer des informations personnelles.

« Nous constatons depuis quelques semaines la multiplication d'attaques plus sophistiquées, où un code de seulement quelques octets s'exécute lors d'un clic du destinataire dans l'e-mail. Ce code, qui passe inaperçu avec la plupart des outils de sécurité, télécharge ensuite progressivement d'autres codes pour atteindre sa taille réelle et son objectif », précise Dominique Loiselet.

Comment repérer ces cartes piégées ? Il n'y a malheureusement pas de solution miracle, d'autant que, parfois, l'expéditeur - involontaire - de la carte piégée est connu du destinataire, ce qui trompe la vigilance de celui-ci.

Les conseils de sécurité habituels sont donc de mise : ne pas ouvrir un e-mail suspect (expéditeur de la carte inconnu ou nom du fournisseur de service abscons), veiller à mettre à jour systématiquement son antivirus et son firewall, qui pourront intervenir si le code malveillant est déjà connu, ne pas cliquer sur un exécutable qui serait envoyé en pièce jointe, et, bien sûr, ne jamais communiquer ses coordonnées bancaires sur un site lambda...

Auteur : Julie de Meslon, 01net.