Signaler un faux e-mail Social Security

Quand la décision de signalement change

Les consignes officielles fournies posent une règle de sécurité claire, mais n’indiquent ni adresse de transfert, ni formulaire web, ni voie de signalement auprès d’un fournisseur de messagerie pour ces e-mails. Ne devinez pas une adresse, ne la copiez pas d’un e-mail suspect et ne supposez pas qu’une ancienne adresse de transfert marche encore.

Appliquez cette règle :

• Si l’e-mail demande de l’argent, des cartes cadeaux, de la crypto, de l’or, un échange d’espèces ou le secret, arrêtez là.
• S’il demande des informations sensibles, ne les donnez pas avant d’avoir confirmé vous-même que le site est un site officiel du gouvernement fédéral.
• S’il vous faut un canal de signalement public, trouvez-le directement depuis un site officiel du gouvernement, pas depuis l’e-mail.
• Si le message a atteint une boîte professionnelle, suivez le processus de signalement d’incident de l’organisation, tout en gardant le message.

Exemple : appliquer l’alerte de la SSA OIG

Un e-mail affirme que votre numéro de Social Security est menacé et vous demande d’acheter des cartes cadeaux ou de virer de la cryptomonnaie pour protéger le compte. Le moyen de paiement et la demande de secret correspondent à ce que, selon la SSA OIG, la SSA et l’OIG ne demanderont jamais.

Claimed sender: "Social Security Administration"
Message request:
"Transfer cryptocurrency immediately to protect your information.
Do not discuss this matter with anyone."
Decision:
Do not reply, pay, or share information.
Preserve the message.
Independently open an official federal government website before
using any reporting option or providing details.

Cet exemple est une règle de décision, pas une liste des traits d’un vrai e-mail de la Social Security. Les documents officiels confirment que les escrocs peuvent envoyer de faux e-mails, mais n’indiquent pas quand ni comment la Social Security envoie de vrais e-mails. N’approuvez pas un message parce que son nom d’expéditeur semble plausible.

Si vous examinez le message pour une réponse à incident interne, conservez l’original en sécurité selon le processus de votre organisation. Ne diffusez pas largement le contenu sensible et ne publiez pas les données personnelles de l’e-mail. Pour un cas grand public similaire, voyez comment signaler un e-mail d’hameçonnage Amazon.

L’étape sûre suivante

Partez de vos preuves :

• Si vous n’avez que l’e-mail suspect, cessez d’interagir et trouvez vous-même un site officiel du gouvernement avant de signaler ou de partager quoi que ce soit.
• Si vous avez déjà répondu, payé ou partagé des informations, passez par des canaux officiels trouvés vous-même et par le processus d’incident de l’organisation. Les consignes citées ne donnent aucune procédure de remédiation précise.
• Si ce type de message a atteint une boîte professionnelle, vérifiez si l’organisation a des consignes claires de signalement et des contrôles techniques. Le guide de sécurité e-mail couvre les pratiques qui réduisent l’exposition aux e-mails malveillants.
• Si vous gérez un domaine et voulez revoir sa sécurité e-mail publique, utilisez l’outil de score de sécurité e-mail. Il inspecte les signaux publics du domaine, mais ne peut dire si un e-mail Social Security est frauduleux, le signaler à une agence publique, ni prouver comment une boîte de réception l’a traité.

Évaluez la sécurité e-mail de votre organisation

Un e-mail usurpant la Social Security rappelle de vérifier comment le personnel repère et remonte les messages suspects. Revoyez vos contrôles de sécurité e-mail et votre processus de signalement, avec les preuves du message réel.

Lire le guide de sécurité e-mail

Un guide de sécurité e-mail ne peut ni valider un site de signalement, ni récupérer de l’argent, ni établir si la Social Security a envoyé un e-mail donné.