Pourquoi les clés d'accès sont difficiles à hameçonner
Une clé d'accès remplace votre mot de passe par un secret qui réside sur votre téléphone ou votre ordinateur portable et qui est lié à un site web bien précis. Lorsque vous vous connectez, votre appareil vérifie l'adresse web réelle avant de faire quoi que ce soit. Arrivez sur une page frauduleuse imitatrice et la clé d'accès refuse tout simplement de fonctionner — il n'y a ni code ni mot de passe qu'un escroc puisse récupérer et réutiliser.
Cette protection est réelle, et c'est pourquoi les clés d'accès valent la peine d'être utilisées. Le piège n'est pas la clé d'accès. C'est tout le reste avec quoi votre compte vous permet encore de vous connecter.
Le point faible : vos connexions de secours
Lorsque vous configurez une clé d'accès, les anciennes méthodes de connexion restent généralement activées — un mot de passe, un code par SMS, un code d'application ou un lien de réinitialisation par e-mail. Elles sont là « au cas où », pour que vous ne soyez pas bloqué si vous perdez votre appareil.
Les escrocs le savent. Plutôt que de lutter contre la clé d'accès, ils vous orientent vers l'un de ces moyens de secours plus faibles, car un code que vous pouvez lire ou taper est quelque chose qu'on peut vous soutirer. La clé d'accès a fait son travail ; l'arnaque l'a simplement contournée.
L'astuce, en termes simples
La manœuvre de « rétrogradation » : une fausse page de connexion masque discrètement l'option de clé d'accès et ne propose que « se connecter avec un code » ou « utiliser plutôt votre mot de passe ». Vous suivez le mouvement et saisissez le code — que l'escroc tape au même instant sur le vrai site.
Le faux « renforcement de sécurité » : un message ou une fenêtre surgissante affirme que vous devez « vous réenregistrer » ou « ajouter une nouvelle clé d'accès ». En le suivant, vous enregistrez en réalité l'appareil de l'escroc sur votre compte. Et l'appel du service d'assistance : quelqu'un se faisant passer pour l'assistance vous demande de lire à voix haute un code de récupération « pour vérifier votre identité ». Dans tous les cas, la clé d'accès a tenu — vous avez simplement été guidé pour la contourner.
Comment vous protéger
Méfiez-vous de toute connexion qui contourne votre clé d'accès. Si une page réclame soudain un code ou un mot de passe alors que votre clé d'accès fonctionne d'habitude sans problème, arrêtez-vous et ouvrez le site vous-même depuis un favori ou son application. Ne lisez jamais un code ou une phrase de récupération à voix haute à qui que ce soit — un vrai service d'assistance ne le demandera pas. Et ignorez les invites « ajoutez une nouvelle clé d'accès » que vous n'avez pas déclenchées ; n'ajoutez des clés d'accès que depuis les réglages de l'application elle-même.
Lorsqu'un service le permet, désactivez les moyens de secours les plus faibles : abandonnez les codes par SMS au profit d'un code d'application ou d'une deuxième clé d'accès. Et gardez vos fichiers les plus sensibles entièrement hors du circuit de connexion — stockés dans un espace chiffré sur votre propre appareil, pour que même un compte en ligne piraté ne révèle rien.
Où Sealby intervient
Sealby conserve vos photos, notes et fichiers privés dans un coffre-fort chiffré avec AES-256 sur votre iPhone, que vous seul pouvez déverrouiller. Ce n'est pas un service de connexion et il ne peut pas gérer vos clés d'accès — et il ne le prétend pas.
Ce qu'il partage avec les bonnes habitudes en matière de clés d'accès, c'est une idée : une serrure ne vaut que ce que vaut son double. Gardez ce qui compte le plus derrière une serrure que vous seul contrôlez, et considérez toute demande de passer à une voie d'accès « de secours » comme une raison de ralentir.
Ceci est de l'information générale, pas un avis de sécurité. Les techniques d'arnaque et les réglages de compte changent avec le temps et varient selon le service et l'appareil — consultez des sources actuelles et fiables et traitez avec prudence toute étape de connexion inattendue.