Reconnaître les messages LuxID légitimes

Pourquoi est-ce important

Les attaques de hameçonnage usurpent souvent l'identité de services de confiance pour vous inciter à partager votre mot de passe ou vos informations personnelles. Savoir à quoi ressemblent les communications légitimes de LuxID vous aide à repérer les faux et à protéger votre compte.

E-mails de LuxID

LuxID envoie des e-mails depuis deux adresses, chacune ayant un objectif différent :

• notification@msg.luxid.lu - Notifications de compte transactionnelles (création de compte, vérification d'adresse e-mail, changements de mot de passe, mises à jour du compte). Ces e-mails sont toujours déclenchés par une action que vous, ou une personne sur votre compte, avez initiée. Ils ne sont jamais promotionnels.
• support@luxid.lu - Réponses de l'équipe de support LuxID, en réponse à une demande de support que vous avez envoyée.

Si vous recevez un e-mail prétendant provenir de LuxID mais envoyé depuis une adresse différente, ne cliquez sur aucun lien et ne téléchargez aucune pièce jointe.

À quoi ressemblent les e-mails de LuxID

• Ils sont liés à une action que vous avez récemment effectuée sur votre compte LuxID.
• Ils ne vous demandent jamais de partager votre mot de passe dans une réponse.
• Les liens dans l'e-mail pointent vers login.luxid.lu, account.luxid.lu ou www.luxid.lu - survolez n'importe quel lien pour le vérifier avant de cliquer.
• Ils peuvent contenir un code de vérification que vous saisissez vous-même sur la page LuxID. LuxID ne vous demandera jamais de renvoyer un code par e-mail.

Comment vérifier l'expéditeur et les liens

Le nom affiché sur un e-mail (par exemple « LuxID ») peut être défini sur n'importe quoi, vérifiez donc les détails vous-même plutôt que de vous fier au nom.

Révélez la véritable adresse de l'expéditeur :

• Sur un ordinateur, cliquez sur le nom de l'expéditeur, ou sur la petite flèche ou Détails à côté, pour développer l'adresse e-mail complète.
• Sur un téléphone, appuyez sur le nom de l'expéditeur en haut du message pour voir l'adresse complète.
• Une adresse e-mail LuxID authentique se termine exactement par @msg.luxid.lu ou @luxid.lu. Méfiez-vous des imitations comme notification@luxid-support.com ou notification@msg.luxid.lu.example.com - le vrai domaine est la partie située juste avant la première / ou la fin de l'adresse.

Vérifiez la destination d'un lien avant de l'ouvrir :

• Sur un ordinateur, placez le pointeur de votre souris sur le lien sans cliquer - la véritable destination apparaît en bas de la fenêtre ou dans une petite infobulle.
• Sur un téléphone ou une tablette, appuyez longuement sur le lien (sans le toucher brièvement) jusqu'à ce qu'un aperçu de la véritable adresse apparaisse.
• La destination doit être sur login.luxid.lu, account.luxid.lu ou www.luxid.lu. Si elle pointe ailleurs, ne l'ouvrez pas.

Une fois sur une page LuxID, vous pouvez aussi confirmer que vous n'êtes pas sur une copie - consultez Vérifier que vous êtes sur une page LuxID authentique.

SMS de LuxID

Les SMS de LuxID sont envoyés avec le nom d'expéditeur LuxID.

remarque

Dans certains pays, la réglementation locale peut remplacer le nom de l'expéditeur par un numéro court (par exemple en Belgique). Certains pays peuvent aussi ajouter automatiquement une instruction « STOP » au message - elle est ajoutée par l'opérateur, et non par LuxID. LuxID a enregistré l'identifiant d'expéditeur « LuxID » dans les pays qui offrent cette option, mais ce n'est pas une garantie que le message arrivera avec notre nom affiché, ni qu'une autre personne ne puisse pas usurper notre identifiant d'expéditeur.

Le seul objectif des SMS de LuxID est de délivrer un code à usage unique

LuxID ne vous enverra jamais un SMS contenant un lien, une demande de rappel ou une demande d'informations personnelles. Un SMS LuxID légitime délivre uniquement un code, et contient :

• Votre code à usage unique
• Une référence de transaction - un code court qui apparaît également sur la page LuxID demandant le code à usage unique, afin que vous puissiez confirmer que le SMS correspond à votre tentative de connexion en cours
• La durée de validité du code (valable 15 minutes)
• Une balise de domaine pour LuxID que certains téléphones utilisent pour proposer le remplissage automatique du code

Si vous recevez un SMS prétendant provenir de LuxID qui ne respecte pas ce format, ou qui vous demande de cliquer sur un lien ou de partager des informations, ne répondez pas.

Appels vocaux de LuxID

En remplacement du SMS, LuxID peut délivrer votre code à usage unique via un appel vocal automatisé. Ces appels proviennent de :

• Numéro de téléphone : +33 7 55 53 18 32 (numéro français)

Le numéro français s'explique par le fait que les appels vocaux de machine à humain sont bien réglementés en France, et LuxID se conforme à cette réglementation.

Le seul objectif des appels vocaux de LuxID est de dicter votre code à usage unique

L'appel automatisé lit votre code à voix haute. LuxID ne vous demandera jamais :

• De partager des informations personnelles pendant un appel
• D'appuyer sur des touches ou d'interagir avec un menu
• Votre mot de passe ou vos codes de vérification
• Et ne vous appellera jamais depuis ce numéro pour une autre raison que de délivrer un code que vous avez demandé

Si vous recevez un appel d'une personne prétendant être de LuxID et vous demandant des informations, raccrochez et contactez le support LuxID.

Assurez-vous d'être sur la vraie page LuxID

Un lien dans un message n'est sûr que s'il vous mène à une adresse LuxID authentique. Avant de saisir votre mot de passe ou un code à usage unique, confirmez que vous êtes sur une vraie page LuxID (login.luxid.lu ou account.luxid.lu) et non sur une copie ressemblante. Consultez Vérifier que vous êtes sur une page LuxID authentique pour la liste de contrôle complète des vérifications d'adresse, de connexion et de gestionnaire de mots de passe.

Comment repérer un faux message

Soyez vigilant si un message :

• Provient d'une adresse d'expéditeur ou d'un numéro de téléphone inconnu
• Crée un sentiment d'urgence (« Votre compte sera supprimé dans 24 heures »)
• Vous demande de cliquer sur un lien qui ne pointe pas vers luxid.lu
• Vous demande de partager votre mot de passe, votre code de vérification ou vos informations personnelles en répondant
• Contient des fautes d'orthographe ou une mise en forme inhabituelle
• Arrive sans que vous ayez initié la moindre action sur votre compte LuxID (rappelez-vous : les notifications LuxID sont toujours transactionnelles - déclenchées par une action de votre part)

Méfiez-vous du hameçonnage de code en temps réel

Une arnaque dangereuse vous présente une fausse page LuxID qui demande votre mot de passe puis, quelques secondes plus tard, votre code à usage unique - en relayant les deux à l'attaquant en temps réel. Si une page ou une personne vous demande votre code juste après votre mot de passe alors que vous n'avez pas lancé cette connexion vous-même, arrêtez-vous et ne le saisissez pas. Ne saisissez votre code que sur une connexion que vous avez initiée sur login.luxid.lu.

Que faire si vous suspectez une tentative de hameçonnage

1. Ne cliquez sur aucun lien et ne téléchargez aucune pièce jointe. Si vous devez accéder à votre compte LuxID, tapez l'adresse manuellement dans votre navigateur (par exemple login.luxid.lu ou account.luxid.lu).
2. Ne répondez pas avec des informations personnelles.
3. Ne partagez pas votre code à usage unique - il est destiné uniquement à la page LuxID où vous avez initié l'action.
4. Signalez la tentative de hameçonnage - consultez Signaler une tentative de hameçonnage ci-dessous.
5. Si vous avez déjà cliqué sur un lien ou saisi votre mot de passe sur un site suspect, changez votre mot de passe immédiatement et vérifiez l'absence d'activité suspecte sur votre compte.

Signaler une tentative de hameçonnage

Si un message prétendant provenir de LuxID s'avère être un faux, ou si vous pensez vous être fait piéger par l'un d'eux, signalez-le. Le signalement aide l'équipe de sécurité de POST à enquêter et à bloquer la campagne, ce qui vous protège, vous et les autres utilisateurs.

Envoyez votre signalement - avec une capture d'écran, le numéro de téléphone de l'expéditeur ou l'e-mail transféré - à l'équipe d'intervention CyberSOS de POST Luxembourg. Consultez Signaler une tentative de hameçonnage ou une arnaque pour savoir comment les joindre et ce qu'il faut inclure exactement.

Si vous n'êtes simplement pas sûr qu'un message soit authentique et souhaitez le faire vérifier, vous pouvez aussi demander au support LuxID. Supprimez toute information personnelle (telle que votre mot de passe ou votre numéro de téléphone complet) avant l'envoi.