Escroquerie à la vente à prix d’appel

L’escroquerie à la vente à prix d’appel sur internet constitue la quatrième et la dernière des nouvelles arnaques de notre série estivale.

Rien ne marche aussi bien qu’une mise à jour d’une vieille technique d’escroquerie connue sous le nom de vente à prix d’appel. Sous sa forme classique,  cette arnaque consiste à attirer dans un magasin des clients potentiels par des publicités sur un produit offert à prix promotionnel. Une fois dans le magasin, les clients constatent que le produit en question est épuisé ou qu’il n’est pas présent pour une raison ou pour une autre.

vente à prix d'appelUn vendeur essaiera alors de persuader les clients d’acheter un autre produit plus cher, ou alors d’inciter les clients à faire d’autres achats. A la fin, les clients dépensent chez ce commerçant, qui a réussi à les attirer dans son magasin, en prétextant la vente à prix d’appel d’un produit qu’il n’avait jamais eu l’intention de mettre à disposition en quantités satisfaisantes.

Transposée à internet, la vente à prix d’appel peut se traduire par un escroc promettant un morceau d’information et, à la place, offrant quelque chose d’indésirable comme un cheval de Troie ou des logiciels malveillants. La vente à prix d’appel s’est trouvée une vrai place sur le web, où il est facile de faire passer un logiciel malveillant dans un fichier PDF ou autre.

Par exemple, des pirates informatiques avaient réussit à obtenir les adresses e-mail de milliers de directeurs financiers au marché noir, puis les ont incité à télécharger des logiciels malveillants. En utilisant les noms achetés, les hackers se sont présentés comme le service des impôts et ont envoyé des courriels à tout le monde, affirmant que les codes des impôts des entreprises pour l’année avaient changé. Le courriel offrait un PDF « pratique » de tous les changements qui, bien sûr, était infecté par un keylogger (un logiciel capable d’enregistrer chaque touche du clavier frappée sur l’ordinateur de la victime).

Après que les directeurs financiers aient involontairement téléchargé le logiciel nuisible, les escrocs ont analysé les frappes jusqu’à ce qu’ils soient en mesure de recueillir les noms d’utilisateur et mots de passe du système de paie de chacune des entreprises. Les pirates ont finalement réussi à se connecter au service de paie et à ajouter quelques bénéficiaires supplémentaires sans attirer les soupçons!

La vente à prix d’appel s’opère également à plus grande échelle au niveau des sondages et enquêtes d’opinion. Sur internet, les entreprises procèdent souvent à des sondages et des enquêtes en ligne qui promettent en échange quelque chose de gratuit – que ce soit une tablette ou un séjour tous frais payés. Les internautes répondent à ces sondages en ligne avec la promesse d’un paiement en espèces ou un cadeau à l’horizon, mais ils se trouvent peu à peu poussés dans une situation où ils doivent souscrire à plusieurs abonnements ou acheter des produits supplémentaires, afin d’obtenir leur récompense « gratuite ».

Ce schéma a été utilisé à travers d’autres médias, y compris les téléphones, mais il reste l’une des escroqueries les plus persistantes et réussies, la rentabilité de cette technique étant sans soute liée à la crise économique.

Escroquerie par usurpation d’identité

L’usurpation d’identité d’un proche sur internet constitue la troisième partie de notre saga estivale sur les nouvelles arnaques du web

L’usurpation d’identité est une nouvelle technique d’escroquerie sur internet. On a vu que les pirates se faisaient passer pour votre banque, votre fournisseur d’électricité ou des services informatiques, hé bien ils se font même passer pour vous.

usurpation d'identitéEn effet, une des nouvelles techniques parmi les plus faciles pour les escrocs, c’est de se faire passer pour un ami proche ou un parent. Les fraudeurs ayant au préalable piraté et pénétré la boite e-mail d’une personne, identifient alors une connaissance proche. Ensuite, après usurpation d’identité de la personne à qui ils ont piraté la boite e-mail, ils entrent en contact avec le proche parent en question.

Les plus proches amis sont généralement les cibles les plus faciles, car il est simple de les convaincre d’ouvrir un fichier qui contient un virus. Et ainsi de suite, les escrocs peuvent passer à d’autres victimes dans la liste des contacts trouvés dans la boite e-mail.

La réussite des campagnes de spams ou pourriels traditionnels est en général une question de quantité. Il faut en envoyer un grand nombre pour que cela fonctionne. Mais à présent le modèle s’essouffle, les gens commencent à connaitre l’escroquerie et de moins en moins de victimes mordent à l’hameçon.

Consacrer plus de temps à moins de cibles potentielles devient de plus en plus lucratif. Pourquoi essayer de faire croire à quelqu’un que son compte en banque a été piraté alors qu’il n’est pas client de la banque en question ? Au contraire, trouver le nom du conseiller bancaire d’un individu en ayant piraté la boite e-mail de cet individu, voilà une base solide pour une future tentative d’arnaque ! Pas besoin d’une attaque sophistiquée, un e-mail standard de phishing avec usurpation d’identité du conseiller bancaire en question se révélera très efficace.

Vous trouvez également des informations sur la page consacrée à cette nouvelle escroquerie basée sur le piratage de boite e-mail

Le phishing ciblé

Le phishing ciblé est la première des 4 nouvelles techniques dont nous allons parler dans notre dossier spécial de l’été.

Au cours des dernières années, le phishing ciblé a progressé pour devenir peu à peu l’une des grandes tendances des arnaques en ligne. Il s’agit d’une technique utilisée par les escrocs pour viser spécifiquement un individu ou une entreprise. Le but n’étant quant à lui pas nouveau puisqu’il s’agit d’accéder à des informations ou à des comptes bancaires.

phishing cibléDans une tentative d’hameçonnage classique, l’escroc va envoyer des milliers de courriels à des inconnus en espérant qu’une ou deux personnes vont être prises au piège. Cette fois-ci, dans une tentative de phishing ciblé, le fraudeur va se concentrer sur une victime, en travaillant son « attaque » pour présenter des arguments convaincant qui pourront berner sa proie et lui faire communiquer des informations secrètes.

Dans ce scénario, l’escroc est aussi doté de connaissances en piratage informatique puisqu’il doit d’abord être en mesure de pénétrer dans la boîte e-mail d’une victime sans méfiance. Mais, une fois introduit dans le compte courriel, au lieu de faire une razzia sur les données et de quitter le compte rapidement, le criminel prend le temps d’analyser les informations qu’il trouve.

Ensuite, le pirate se fait passer pour une entreprise importante, comme une banque ou EDF. Il envoie alors un e-mail personnalisé à la personne à qui il a précédemment piraté la boite mail en expliquant l’existence d’un problème avec le compte de la victime. Il prend alors soin d’inclure des détails probant comme le numéro de compte de la victime qu’il aura trouvé dans de vrais courriels de banques ou d’EDF.

L’escroc pousse alors la victime à changer rapidement son mot de passe via un lien fourni dans le courriel. La victime est dupée et l’escroc est ensuite capable d’accéder au compte de la personne.

Redoubler de vigilance lorsque vous recevez un mail d’une entreprise dans laquelle vous êtes client et qui évoque un problème avec votre compte, il pourrait s’agir d’un phishing ciblé. La meilleure stratégie consiste à appeler cette entreprise par téléphone pour avoir une confirmation.

Notre prochain article traitera des arnaques aux services informatiques. Rendez-vous dans quelques jours.