03.06.2025 - Le phishing fait partie depuis des années des cyberdélits les plus fréquemment signalés. Il s’agit d’un phénomène de masse. Les cybercriminels envoient de grandes quantités d’e-mails dans l’espoir qu’un petit pourcentage des destinataires se fasse piéger. Les attaquants misent ici sur la quantité plutôt que sur la qualité. L’OFCS observe toutefois de plus en plus d’attaques ciblées. Ces dernières sont certes moins nombreuses et plus coûteuses, mais offrent un meilleur taux de réussite. La semaine dernière, un cas particulier utilisant une méthode en deux étapes a été signalé à l’OFCS, illustrant la complexité croissante des attaques par hameçonnage.
Semaine 22 : Hameçonnage en deux étapes, ou comment les pirates contournent les mesures de sécurité classiques
La semaine dernière, un cas particulier d’attaque en deux temps a été signalé à l’OFCS, témoignant de la sophistication croissante des tentatives d’hameçonnage. La nouvelle technique utilisée commence de manière apparemment anodine par l’envoi d’un e-mail qui semble provenir d’une banque. Dans le cadre d’une prétendue directive de conformité d’un établissement financier et afin de garantir l’exactitude des données clients, il est demandé à l’utilisateur de mettre à jour ses informations personnelles.
Après avoir cliqué sur le lien, une page web s’ouvre. Elle ressemble à s’y méprendre au site web de la banque correspondante. Des données telles que des numéros de contrat (p. ex. contrat e-banking), des noms et des numéros de téléphone y sont demandés. De nombreux internautes saisissent ces informations sans se poser de questions, car elles ne semblent pas particulièrement sensibles à première vue. Il n’est pas nécessaire d’indiquer les données de carte de crédit ou les mots de passe. Une fois les données saisies, l’utilisateur est redirigé vers la page d’accueil de la banque correspondante.
Il ne s’agit donc pas d’une attaque de phishing classique. Habituellement, l’OFCS recommande d’ailleurs simplement d’être particulièrement vigilant sur les sites web qui demandent des informations sensibles telles que des données de carte de crédit ou des mots de passe. C’est précisément ce qui rend cette méthode si dangereuse, comme le montre la suite de l’attaque.
L’appel
Cette collecte de données ne constitue toutefois que la première étape de cette escroquerie. La deuxième étape a lieu quelques jours plus tard. Les pirates reprennent contact, cette fois-ci par téléphone. Ils se font passer pour des représentants de la banque. Le numéro de téléphone affiché correspond bien à celui du prestataire financier concerné.
Ils s’adressent à la victime en utilisant son nom correct et glissent dans la conversation des informations personnelles telles que son adresse ou des détails sur sa carte bancaire. Ils prennent leur temps et la conversation dure souvent plusieurs minutes. L’objectif est de gagner la confiance de la victime grâce à la conversation et aux informations obtenues. Une fois que c’est chose faite, le faux employé de banque lui révèle la véritable raison de son appel et prétend qu’un virement frauduleux vers un hôtel à Milan a été effectué et doit être bloqué. Pour arrêter cette transaction, il demande à la victime de scanner un code QR avec son application e-banking afin de sécuriser son compte.
Ce que la victime ignore, c’est qu’en scannant ce code QR, elle donne aux fraudeurs l’accès à son compte e-banking. Cette procédure permet aux escrocs de contourner le deuxième facteur d’authentification.
Les attaques de phishing ciblées sont à la mode
Alors que les campagnes de phishing classiques misent sur le volume, l’OFCS observe également une augmentation des attaques ciblées. Celles-ci sont certes plus complexes, mais semblent offrir de meilleures chances de réussite.
Les attaques de phishing par petites annonces en sont une illustration typique. Les fraudeurs se font passer pour des acheteurs potentiels sur des sites de petites annonces et prétendent vouloir payer via un service sécurisé. Les victimes sont alors redirigées vers des sites web d’apparence authentique, où elles saisissent leurs données. Dans ces cas également, la confiance est d’abord établie. En faisant référence à une vente sur une plateforme de petites annonces, l’e-mail de phishing ne tombe pas du ciel, mais s’inscrit dans un contexte familier. La méthode est bien connue et repose sur un principe simple mais efficace : le scepticisme naturel diminue considérablement lorsque les victimes se trouvent dans un environnement connu ou que leur interlocuteur dispose déjà de nombreuses informations à leur sujet.
Mesures
- Méfiez-vous également des requêtes anodines. Même si aucune donnée sensible n’est demandée, il peut s’agir de la première étape d’une attaque. Si vous fournissez des données personnelles, celles-ci peuvent être utilisées pour des attaques ciblées.
- Ne scannez les codes QR avec l’application e-banking que si vous êtes absolument certain/e d’être sur le site d’origine. Ne communiquez jamais vos codes TAN ou vos mots de passe. Un prestataire sérieux ne vous les demandera JAMAIS par téléphone ou par e-mail.
- Ne communiquez aucune donnée personnelle ou sensible par téléphone.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 03.06.2025
