Pourquoi un VPN ne peut pas arrêter une page de phishing bien construite

Une page de connexion convaincante se charge parfaitement à travers un tunnel chiffré, cadenas compris, et vole pourtant le mot de passe. Ce n’est pas une défaillance du VPN ; c’est le VPN qui fonctionne exactement comme prévu. Le tunnel protège le chemin vers le serveur que vous avez choisi, pas l’identité de ce serveur. Croire le contraire est le mythe qu’il faut retirer.

Ce que le tunnel protège réellement

Un VPN chiffre le trafic entre votre appareil et la sortie du fournisseur, et masque votre adresse source à la destination. Il n’inspecte pas la page, ne valide pas l’organisation qui la porte et ne compare pas le site à une liste de fraudes connues. La destination que vous avez tapée est la destination que vous atteignez, chiffrée.

C’est un gain réel de confidentialité face aux observateurs locaux et une limite réelle face à la tromperie. L’attaquant profite du même chiffrement que vous. Un observateur dans un café et un escroc professionnel sont des menaces différentes avec des contre-mesures différentes, et un seul outil couvre rarement les deux.

Le cadenas certifie la connexion, pas le propriétaire

Un certificat prouve que le domaine que vous avez atteint contrôle la clé de ce domaine. Un attaquant peut obtenir un certificat valide pour example-login-secure.com sans rien prouver sur l’entreprise qu’il imite. HTTPS protège alors votre mot de passe en route vers l’attaquant, ce qui n’est pas la protection que vous vouliez. Lisez l’adresse, pas le logo.

Face à une alerte de compte inattendue, ouvrez la véritable application ou passez par un favori auquel vous faites déjà confiance. N’utilisez pas le lien du message, et n’appelez pas non plus le numéro qu’il contient, car cela fait du message la source de sa propre vérification.

Les filtres et les gestionnaires de mots de passe sont des indices

Certains produits VPN ajoutent un filtrage des sites malveillants, et les navigateurs, les résolveurs DNS et les outils de poste peuvent bloquer des destinations connues comme mauvaises. La couverture varie selon le produit, l’abonnement et la nouveauté de la page, donc une page qui se charge n’est pas une preuve de sécurité. Les listes de filtrage sont aussi en retard sur les domaines récemment enregistrés, et c’est exactement ce qu’utilise une campagne nouvelle. Un gestionnaire de mots de passe qui refuse le remplissage automatique sur un domaine discordant est un signal utile. Traitez-le comme une invitation à vous arrêter et à lire l’adresse.

Les refontes légitimes cassent aussi la correspondance du remplissage automatique, donc l’indice n’est pas un verdict. Lisez quelle protection le produit installé active réellement avant de supposer que le tunnel en inclut une. Une page marketing qui liste une fonction de protection contre les menaces ne prouve pas qu’elle est active sur votre appareil.

Si vous avez déjà saisi le mot de passe

Utilisez la procédure de récupération du vrai service, changez le mot de passe exposé et changez-le partout où il a été réutilisé. Passez en revue les sessions actives et les méthodes d’authentification supplémentaires, car un mot de passe volé a peut-être déjà servi.

Signalez l’incident à l’équipe de sécurité du travail si un compte ou un appareil géré est concerné. Gardez le message d’origine pour cette équipe, mais ne transférez pas le lien actif aux collègues comme avertissement. Si vous avez ouvert une pièce jointe ou exécuté quelque chose, suivez aussi les consignes de sécurité des appareils de la plateforme, car le vol d’identifiants et les logiciels malveillants sont deux problèmes distincts.

Activer un VPN après coup ne peut pas reprendre le mot de passe au destinataire. Le tunnel protège le trafic ultérieur ; la récupération traite ce qui est déjà parti.