Phishing ciblé : quand le faux message connaît votre nom

Le phishing classique ressemble à de la pêche au chalut : des millions de messages identiques, en espérant qu’une poignée de destinataires mordent à l’hameçon. Le phishing ciblé, ou spear-phishing, ressemble plutôt à de la pêche au harpon. L’escroc choisit sa victime, se renseigne sur elle et lui écrit un message sur mesure. Il en envoie beaucoup moins, mais chacun a bien plus de chances de réussir.

Phishing ciblé visant une victime précise

Ce qui rend un message crédible

Un message de phishing ordinaire commence par « Cher client ». Un message ciblé contient votre nom, votre adresse, le nom de votre banque ou de votre conseiller, une commande que vous avez réellement passée, votre numéro fiscal ou votre numéro de contrat. Ce niveau de détail désarme la méfiance : comment un inconnu pourrait-il savoir tout cela ?

En 2013, nous décrivions le cas d’un pirate qui s’introduisait dans une boîte e-mail, lisait les vrais courriers de la banque ou d’EDF, puis écrivait à sa victime en reprenant ses numéros de compte. Cette méthode existe toujours (voir le piratage de boîte e-mail), mais il y a aujourd’hui beaucoup plus simple.

D’où viennent les informations

  • **Les fuites de données.** Opérateurs, enseignes, mutuelles, plateformes de santé, administrations : les fuites de fichiers clients se succèdent, et ces données sont revendues ou publiées. La fuite qui a touché la DGFiP en est un exemple, avec des informations fiscales très précises (voir notre article sur le phishing ultra-ciblé après cette fuite).
  • **Les réseaux sociaux.** Votre employeur, vos proches, vos vacances, votre date de naissance, le nom de votre animal : tout ce qui est public peut servir à construire un prétexte.
  • **Un premier message réussi.** Un faux SMS de colis à 1,99 € donne à l’escroc votre carte et votre nom. Il sait ensuite quelle est votre banque, et le faux conseiller peut vous appeler.

Les formes les plus courantes

**Le faux conseiller bancaire.** Il vous appelle, connaît votre nom, votre banque et vos dernières opérations, et vous demande de valider une opération « pour la bloquer ». C’est la forme de phishing ciblé qui coûte le plus cher aux particuliers.

**Le faux message administratif personnalisé.** Impôts, Assurance maladie, CAF, ANTS : le message cite votre situation réelle et vous demande de régulariser un paiement.

**La fraude au président et au faux fournisseur.** En entreprise, un comptable reçoit un e-mail du « dirigeant » ou d’un fournisseur habituel, annonçant un changement de coordonnées bancaires ou demandant un virement urgent et confidentiel. Les montants se comptent en dizaines de milliers d’euros.

**Le QR code piégé.** Coller un faux QR code sur un horodateur ou en envoyer un par courrier permet de contourner les filtres anti-phishing des messageries, qui n’analysent pas les images.

Se défendre quand le message sait tout de vous

La règle de base doit changer : **la connaissance de vos informations ne prouve pas l’identité de l’expéditeur.** Considérez votre nom, votre adresse et même votre numéro de client comme des données potentiellement publiques.

  • Ne passez jamais par le lien, le numéro ou le QR code fourni dans le message. Rendez-vous vous-même sur le site ou l’application officiels, ou rappelez le numéro que vous connaissez.
  • Méfiez-vous de l’urgence et du secret : « avant ce soir », « ne parlez de rien à votre agence ».
  • Activez la double authentification sur votre messagerie : c’est elle qui protège tout le reste, puisque c’est par la messagerie qu’on réinitialise vos autres mots de passe.
  • En entreprise, faites confirmer tout changement de RIB par un appel, au numéro habituel du fournisseur.

Pour signaler un message, utilisez Signal Spam pour les e-mails, le 33700 pour les SMS, et Phishing Initiative pour les adresses de faux sites. D’autres exemples sont réunis sur notre page Phishing.

Les nouvelles techniques des escrocs

Article publié en 2013 : les chiffres et les services cités ont pu évoluer depuis. Pour une information à jour, consultez notre page Arnaque sur le web.

Découvrez les quatre nouvelles techniques qu’utilisent les escrocs pour obtenir de l’argent sur Internet

Cet été, nous proposons une étude des nouvelles techniques employées par les fraudeurs pour gagner de l’argent sur le web.

« Bonjour,
Je suis Mme Antoinette Maureen née le 10 décembre 1945 à Genève en Suisse. C’est avec un cœur plein de désespoir que je vous écris. Je suis veuve et je n’ai pas d’enfant. Je souffre d’un cancer en phase finale et je suis hospitalisée en Grande-Bretagne. Mon médecin traitant m’a avisé que mes jours sont finis…. »

nouvelles techniques des hacker
Crédit : devdsp

Cela vous semble familier ? C’est en effet une introduction classique de l’une des arnaques les plus répandues au monde, l’arnaque à l’héritage. Les éléments sont toujours les mêmes : Quelqu’un (de préférence très haut placé sur l’échelle sociale) possède une grosse somme d’argent, mais est très malade et n’a pas d’héritier. Il propose de vous léguer cet argent contre le paiement des frais et de commissions préalables. Mais le résultat est malheureusement connu : vous faites un vrai virement sur le compte d’un escroc et vous recevez un faux chèque qui conclu l’arnaque.

Des techniques plus intelligentes et plus efficaces

Cette escroquerie est une arnaque classique du web, mais Internet n’a fait que donner de nouveaux moyens aux escrocs d’exploiter une technique connue depuis des siècles. Cette arnaque ne cesse d’escroquer des millions aux victimes dupées. Ce schéma, et beaucoup d’autres comme lui, continuent d’inonder les boîtes e-mail quotidiennement, tombant souvent dans le dossier Spam, en attente d’une personne plus enclin à découvrir Western Union à ses dépens.

Mais cela ne veut pas dire que les fraudeurs se reposent sur leurs lauriers. Comme les internautes deviennent plus expérimentés (et sourient à présent face aux mésaventures de princes ivoiriens ou de riches héritières sans enfants), les chances pour les escrocs de trouver une victime innocente diminuent lentement, mais surement. Comme dans n’importe quelle industrie, les fraudeurs recherchent des nouvelles techniques plus intelligentes et plus efficaces. Afin de maintenir leurs rentrées d’argent, ils sont obligés de s’adapter.

Maintenant, de nouvelles techniques inquiétantes apparaissent chez les escrocs, qui relèguent les arnaques classiques à la préhistoire du web. Faire appel aux émotions de la victime est désormais juste une partie de l’arnaque, laquelle inclut désormais des usurpations d’identité, de connaissances et des relations de confiance forgées sur le long terme pour piller un compte bancaire. Ces arnaques sont plus ciblées, plus impitoyables et peuvent attaquer même de grandes entreprises et des programmes gouvernementaux. Il y a ainsi une nouvelle évolution dans l’arnaque sur internet, et cela met tout le monde en danger.

La première de ces nouvelles techniques que nous présenterons sera le phishing ciblé. À paraitre dans notre prochain article.

10 conseils sur les sites de rencontres

Nous recevons régulièrement des commentaires via les formulaires en fin de chaque page du site. Dans l’un d’entre eux, FRED95 partage ses conseils, tirés de son expérience sur les sites de rencontre.

conseils dans le labyrinthe de l'amour

Nous avons fait le choix de diffuser ses conseils en page d’accueil, car nous avons trouvé qu’ils étaient très pertinents. FRED95 ajoute que malgré toutes les arnaques qui existent sur ces sites de rencontre, il a finalement trouvé sa « moitié » via un tel site, une étrangère avec laquelle il a su construire une relation forte.

Il s’agit donc d’un homme qui donne des conseils pour ceux qui sont sur les sites de rencontres à la recherche d’une femme, mais les conseils ci-dessous marchent également pour une femme qui recherche un homme.

Voici quelques conseils à tous ceux qui recherchent leurs moitiés via internet. Il y a plusieurs indices qui peuvent vous faire flairer l’arnaque et vous faire vous poser les bonnes questions :

  1. Combien de filles sérieuses fileraient leurs coordonnées au deuxième ou troisième mail à un inconnu ? De même, l’amour n’arrive pas en 4 ou 5 mails, ça vient progressivement ! Donc, fuyez celles qui tombent amoureuses de vous trop rapidement
  2. Indiquez clairement dès le départ que c’est vous qui viendrez dans leurs pays pour leur rendre visite, en prétextant que c’est une tradition française par exemple. Une jeune fille d’Ukraine ou de Russie prendrait-elle le risque de voyager pour rencontrer un inconnu à l’aéroport ? Non pas vraiment, elles sont autant vigilantes qu’une Française peut l’être.
  3. Posez des questions très personnelles, comme le nom de sa mère, de son père ainsi que plusieurs dates clés comme une date d’anniversaire. Notez les réponses, puis deux trois messages après, reposez la question. Vérifiez également que les questions que vous posez ont des réponses construites qui montrent l’intérêt de l’interlocutrice.
  4. Les belles photos avec une fille parfaitement maquillée, sur la plage, avec un beau soleil… Un conseil, laissez tomber, c’est une photo de mannequin…… Il existe des sites pour vérifier l’origine des photos. Privilégiez les profils avec des photos non professionnelles. Mais les photos ne sont pas gages de bonne foi, épluchez aussi les mails sur la famille, les amis ….
  5. Au bout de quelques semaines, il est possible qu’elles vous laissent leurs numéros de téléphone ou leurs identifiants Skype. Si elles disent avoir un téléphone ou ordinateur chez elles, vérifiez les horaires. Si la personne n’est disponible qu’à certaines heures, méfiance. Si la personne ne répond pas un dimanche, méfiance aussi. Dites-lui que vous l’appellerez à 23 heures heure locale, en prétextant que vous finissez tard ou que des amis vous rendent visite.
  6. Vérifiez son adresse postale en utilisant Chronopost. Ces derniers ne laissent le courrier qu’à la bonne personne (n’oubliez pas pour le test de mettre une enveloppe pré-affranchie avec votre adresse complète)
  7. Sur Skype, une astuce simple : Vous lui demandez d’écrire sur un papier votre nom et de vous le montrer via webcam. Ça donne au moins le mérite d’avoir la vraie personne en face (oui, elles peuvent diffuser des vidéos enregistrées en boucle)
  8. Sachez que les femmes sérieuses dans les autres pays sont autant fières de leur pays, ont leurs familles, leurs amis, leurs traditions, et ont assez de gens dans leur pays pour se marier. Donc toujours avoir à l’esprit qu’un profil sérieux vous parlera de projets, pas le triptyque basique « enfant, maison, pognon »…..
  9. Même si certaines cultures sont tolérantes vis-à-vis de la différence d’âge, ne rêvez pas trop. Les femmes qui cherchent un véritable amour acceptent en général une différence de 10 ans maximum.
  10. Lors du premier voyage, vous serez fiés en premier lieu. Mais attention, un conseil quand même, bien expliquer que s’il y a un problème d’argent pour qu’à son tour la personne rende visite à vos amis et votre famille, vous ne prendrez les billets que si elle vous accompagne à l’ambassade de France pour les visas et que vous préparez les papiers ensemble à votre premier rendez-vous. Si la personne est sincère, elle acceptera. Si vous devez envoyer 100% de l’argent, lâchez là.

Un vrai contact, ça existe

Voilà, j’ajoute qu’il y a autant d’arnaqueuses sur internet dans les autres pays qu’en France. Vous allez avoir 50 contacts avant d’éventuellement en trouver un de bien, mais dans tous les cas ça existe. Je l’ai vécu après un deuil, 3 ans de communication, 3 ans à voyager, elle a vécu aussi un deuil, on se marie dans 3 mois en France, elle a pris des cours de français, passé son permis de conduire, bref arrivé en France, on pourra vivre à deux.

Contrairement à beaucoup d’idées, je n’ai pas payé grand-chose, les filles sérieuses n’attendent pas d’argent. Un peu d’aide en fonction de ces revenus pour les billets d’avion. Culturellement, Messieurs, ce n’est pas 50/50 au resto, ne l’oubliez pas, c’est vous l’homme pour ces Demoiselles. Pour les femmes de France, même un homme pauvre vous offrira quelque chose, c’est une question de tradition et d’honneur. Sur place à chacun de voir l’arnaque, il n’y a pas de profils type.

J’ai peut-être eu de la chance ? Oui, sans doute, j’ai été sur un site de rencontre gratuit, fermé un paquet de comptes bidons, envoyé balader des faux profils, vérifié les photos, les adresses, et parfois, je me suis déplacé pour pas grand-chose. Un dernier conseil, soyez juste cohérents et lucides, même si cela ne semble pas facile à dire. Ayez un confident, un ami ou une amie pour parler de cette relation, et écoutez-les, ils auront le recul et le flair pour une arnaque éventuelle

Bon courage à toutes et tous dans la recherche de votre moitié.