23.01.2024 - La semaine dernière, l’OFCS a reçu plusieurs messages concernant la plateforme de petites annonces Etsy. Immédiatement après la création d’un compte, les nouveaux vendeurs reçoivent un message émanant prétendument d’Etsy, leur indiquant qu’une vérification du paiement doit être effectuée pour que le shop puisse être activé. Il s’agit en fait d’un message d’hameçonnage (phising).
La plateforme de vente Etsy est un site de commerce électronique, soit un marché en ligne, créé en 2005 pour l’achat et la vente de produits faits main, d’articles vintage et de fournitures pour artistes. Etsy est moins connu dans notre pays que d’autres plateformes de vente. C’est pourquoi, jusqu’à présent, l’OFCS n’a que rarement été informé d’attaques en rapport avec cette plateforme.
Ces dernières semaines, nous avons toutefois reçu plusieurs messages concernant Etsy, présentant toujours le même schéma. Il s’agit d’une attaque de phishing particulièrement perfide et difficile à détecter. Non seulement les données de carte de crédit sont récupérées, mais la victime est également dupée pour payer une somme d’argent.
Les nouveaux vendeurs en ligne de mire
L’attaque vise les nouveaux vendeurs qui ont récemment ouvert un shop sur Etsy. Les pirates ont trouvé un moyen de repérer rapidement ces nouveaux clients. Dans un test réalisé par l’OFCS, il s’est écoulé à peine 30 minutes entre l’ouverture du shop et la prise de contact par les escrocs.
La perfidie de cette prise de contact est que le message n’est pas envoyé par e-mail, mais via le système de notification interne, le chat d’Etsy. Les escrocs tentent de cette manière de gagner la confiance des nouveaux vendeurs. Ils choisissent les noms et prénoms de manière à faire croire que le message provient d’un service d’assistance interne ou d’un service de vérification. Ainsi, dans le cas actuel, le nom « Verificativ » a été utilisé. Le terme « Support » a également déjà été observé. Ce nom est alors affiché dans le système de notification, donnant ainsi l’impression qu’il s’agit d’une demande officielle de l’équipe d’assistance ou d’une procédure de vérification officielle du processus de paiement.
Dépôt d’une caution comme prétexte
Par la suite, les escrocs affirment que l’ouverture définitive du shop nécessite une vérification du futur mode de paiement. À cette fin, l’utilisateur est redirigé vers une page où il est invité à saisir les données de sa carte de crédit afin de déclencher un paiement d’un montant de 1 000 USD, par exemple. Le prétendu assistant assure en même temps, via le système de notification interne d’Etsy, que le paiement par carte de crédit n’est pas un prélèvement. Il s’agirait d’une simple caution, comme on en trouve dans les agences de location de voitures. Dans ce cas, les versements seraient simplement bloqués, mais pas encore débités.
Après cette première « réservation », une deuxième demande est immédiatement envoyée pour confirmer à nouveau un paiement. Cette fois-ci, il s’agirait de la contre-écriture (annulation) de ces 1 000 USD. En réalité, aucun versement n’a été réservé ou annulé, mais des paiements d’un montant total de 2 000 USD ont été déclenchés. Lorsque la victime a demandé s’il n’y avait pas de contact téléphonique pour en discuter, il lui a été répondu qu’un contact téléphonique ne pouvait être communiqué qu’après le processus de vérification.
Dans cette variante, la crédulité des nouveaux clients est exploitée sans scrupule par le biais du « social engineering ». En règle générale, les nouveaux clients ignorent encore les éventuels processus du prestataire de services concerné. De plus, la prise de contact via le chat interne renforce la confiance de la victime.
Recommandations
- Sur Etsy, les e-mails provenant bien du support sont dans une catégorie «De la part d'Etsy». Cela permet de détecter si la communication est légitime.
- Soyez prudent lorsque vous payez de prétendus frais.
- Ne vous laissez pas mettre sous pression, mais prenez le temps de vérifier les modalités de paiement du prestataire de services concerné.
- Contactez immédiatement l’établissement financier concerné en cas de paiement frauduleux afin qu’il puisse encore bloquer le paiement le cas échéant.
- Déposez une plainte auprès de la police cantonale en cas de préjudice financier.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 23.01.2024
