Sécurité des comptes en télétravail : arnaques, mots de passe et Wi-Fi public

Comment reconnaître une arnaque à l'emploi

Un faux recruteur a besoin de deux choses : votre confiance et quelque chose de vous, le plus souvent de l'argent ou des données personnelles. Les conseils de la FTC sur les arnaques à l'emploi décrivent ces schémas, et ils valent aussi pour les fausses offres d'entraînement d'IA. Sept vérifications, dans l'ordre où vous les rencontrerez :

1. L'offre promet beaucoup d'argent pour peu de travail. La FTC la qualifie de presque certainement frauduleuse.
2. On vous demande de payer quelque chose. Une formation, un kit de démarrage, une licence logicielle ou du matériel entrent tous dans ce cas. Un vrai employeur ne vous fait pas payer pour commencer.
3. Un chèque arrive et on vous dit d'en renvoyer une partie. Le conseil de la FTC est de ne jamais compter sur un chèque qui semble encaissé.
4. Le travail consiste à recevoir et à réexpédier des colis. C'est une arnaque, pas un emploi.
5. On vous réclame des coordonnées bancaires ou un numéro d'identité avant toute offre. La FTC avertit que des informations remises pour une prétendue « paie » peuvent mener à une usurpation d'identité.
6. Vous ne pouvez pas confirmer qui est le recruteur. Recherchez l'entreprise et le nom de la personne avec des mots comme « arnaque » ou « plainte », comme le suggère la FTC, et vérifiez que la plateforme du message est bien celle à laquelle vous avez postulé.
7. On vous presse de répondre vite. L'urgence est une raison de ralentir et de vérifier.

Nos guides sur comment vérifier qu'un emploi à distance est réel, comment repérer les emplois légitimes d'entraînement d'IA et éviter les arnaques et les signaux d'alerte en entretien détaillent chacun de ces points. Pour une plateforme précise, voyez Mercor est-elle fiable ? et Micro1 est-elle fiable ?.

Si vous avez déjà payé ou partagé des données sensibles, la page de la FTC sur ce qu'il faut faire si vous avez été victime d'une arnaque en donne les étapes, et vous pouvez signaler les faits sur ReportFraud.ftc.gov.

Un mot de passe pour chaque plateforme

Si vous réutilisez un mot de passe, une seule fuite ouvre tous les comptes qui le partagent, et les comptes qui servent à être payé sont ceux qui valent la peine d'être volés. Votre adresse e-mail est généralement la voie de récupération de tous les autres, donc un mot de passe de messagerie volé est le pire scénario.

Les recommandations actuelles du NIST pour les services qui vérifient les mots de passe (SP 800-63B-4) sont utiles ici, car elles s'éloignent d'habitudes que beaucoup suivent encore :

• Un mot de passe qui est le seul facteur doit comporter au moins 15 caractères. Lorsqu'il est associé à un second facteur, le minimum est de huit.
• Les services ne devraient pas imposer un mélange de types de caractères, ni forcer des changements périodiques, sauf en cas d'indice de compromission.
• Les services devraient comparer les nouveaux mots de passe à des listes de mots de passe courants et compromis, et autoriser les gestionnaires de mots de passe et le copier-coller.

En pratique, une longue phrase de mots sans rapport, unique pour chaque plateforme, est plus solide et plus facile à vivre qu'un mot de passe court enjolivé de symboles. Vous le changez quand vous avez une raison, par exemple un avis de fuite de données.

Il existe trois façons réalistes de conserver de nombreux mots de passe uniques :

• Le gestionnaire intégré à votre navigateur ou à votre téléphone. Gratuit et déjà présent, mais lié à une famille d'appareils.
• Un gestionnaire de mots de passe indépendant, comme Bitwarden, 1Password ou NordPass. Il fonctionne sur plusieurs appareils. Le mot de passe principal devient la clé de tout, il doit donc être long, unique et protégé par un second facteur.
• Un carnet papier gardé chez vous. Il ne peut pas être piraté à distance, mais il peut se perdre, s'abîmer ou être lu par quiconque vous rend visite.

Quel que soit votre choix, activez l'authentification multifacteur. La FTC note qu'elle aide à tenir les escrocs à l'écart même lorsqu'ils ont votre mot de passe. Une adresse e-mail distincte pour les plateformes de travail évite aussi qu'une fuite venue d'un site marchand ne les atteigne.

L'hameçonnage est l'une des façons dont beaucoup de mots de passe sont volés. Les conseils de la FTC sur l'hameçonnage indiquent que les entreprises légitimes n'envoient pas par e-mail ni par SMS un lien pour mettre à jour vos informations de paiement. Si un message dit qu'il y a un problème avec votre compte, fermez-le et contactez l'entreprise via un site ou un numéro que vous connaissez déjà.

L'infographie ci-dessous liste ce qu'il faut laisser hors d'un mot de passe.

Image : NordVPN.

Avez-vous besoin d'un VPN pour travailler à distance ?

Un VPN chiffre le trafic entre votre appareil et le fournisseur du VPN. Cela compte sur les réseaux publics. La FTC a averti que le Wi-Fi public gratuit est souvent peu sûr, et ses conseils sur les applications VPN les décrivent comme un moyen de protéger les informations personnelles envoyées sur un Wi-Fi ouvert. Si vous travaillez dans des cafés, des aéroports ou des espaces partagés, c'est un usage raisonnable.

Sur votre réseau domestique, un VPN apporte bien moins. Il n'empêche pas l'hameçonnage, ne répare pas un mot de passe réutilisé et ne fait pas qu'une plateforme vous fasse confiance.

Un point demande de la prudence. Un VPN peut faire apparaître votre connexion comme venant d'un autre pays, et certains sont tentés de l'utiliser lorsqu'une plateforme n'est pas ouverte dans leur région. Les plateformes peuvent vérifier d'où vous travaillez et qui vous êtes, et une connexion qui ne correspond pas peut entraîner un contrôle ou un blocage. Lisez les règles de chaque plateforme avant d'y utiliser un VPN, et n'en utilisez jamais un pour changer le pays depuis lequel vous postulez. Un VPN protège votre connexion. Ce n'est pas un moyen de satisfaire une condition d'éligibilité.

Si vous choisissez un VPN, la FTC suggère de se renseigner sur l'application avant de la télécharger, de lire les autorisations qu'elle demande, de vérifier qu'elle chiffre vos données et de savoir si elle les partage avec des tiers.

Questions fréquentes

Que faire si j'ai cliqué sur un lien suspect ?

Mettez à jour votre logiciel de sécurité et lancez une analyse. Changez ensuite les mots de passe des comptes utilisés sur cet appareil, en commençant par la messagerie, depuis un appareil de confiance. Si vous avez partagé des informations sensibles comme des coordonnées bancaires ou un numéro d'identité, la FTC renvoie vers IdentityTheft.gov pour la suite, et vous pouvez signaler le message sur ReportFraud.ftc.gov.

Un gestionnaire de mots de passe est-il sûr ?

Les recommandations du NIST attendent des services qu'ils les autorisent, car ils rendent les mots de passe uniques praticables. Le risque se déplace vers le mot de passe principal : rendez-le long et unique, et ajoutez l'authentification multifacteur au gestionnaire lui-même. Gardez une méthode de récupération en lieu sûr.

Puis-je utiliser un VPN sur les plateformes d'entraînement d'IA ?

Cela dépend de la plateforme. Certaines vérifient votre localisation et votre identité, et un VPN peut poser problème. Lisez d'abord les pages d'aide de la plateforme et, si elles ne sont pas claires, interrogez le support avant de vous connecter par un VPN.

Limites

Ceci est une information générale, pas un audit de sécurité ni un conseil professionnel. Les pages de la FTC s'adressent à des lecteurs aux États-Unis, et les recommandations du NIST décrivent ce que les services devraient exiger, pas ce que fait chaque plateforme. Les règles des plateformes évoluent, vérifiez donc les règles en vigueur. Nous ne pouvons pas vous dire si une offre précise est authentique.

Des comptes sûrs, c'est la moitié d'une bonne candidature. L'autre moitié, c'est votre CV, que vous pouvez vérifier gratuitement en trois minutes environ.

Sources et lectures complémentaires

• FTC: Job Scams: comment repérer et éviter les arnaques à l'emploi
• FTC: What To Do if You Were Scammed: que faire après une arnaque
• ReportFraud.ftc.gov: signaler une arnaque à la Commission fédérale du commerce des États-Unis
• NIST SP 800-63B-4: Authentication and Authenticator Management: Recommandations américaines actuelles sur la longueur, les règles de composition, les changements forcés et la vérification contre les mots de passe compromis.
• FTC: How To Recognize and Avoid Phishing Scams: Conseils de la FTC pour reconnaître les messages d'hameçonnage, l'authentification multifacteur et que faire si vous avez cliqué.
• FTC: FTC Provides Tips on Using VPN Apps: Conseils de la FTC sur les applications VPN : se renseigner sur l'application, vérifier les autorisations, le chiffrement et le partage de données (février 2018).

SOJI est un site d'emplois indépendant, sans aucune affiliation avec Mercor ou Micro1. Si vous postulez via nos liens de parrainage et êtes embauché, SOJI peut percevoir une commission, sans frais pour vous, et cela n'influe pas sur les offres que nous publions. Plus d'informations sur la page À propos.