07.02.2023 - Le nombre de signalements transmis au NCSC, qui s'élevait à 726 la semaine dernière, a légèrement augmenté. Une des tentatives d'hameçonnage notamment faisait miroiter une connexion à un réseau 6G ultrarapide. L'arnaque, qui comporte plusieurs étapes, se révèle particulièrement complexe. Elle permet aux cybercriminels de voler les données personnelles des victimes à partir du portail client, puis de les utiliser à leurs dépens.
Hameçonnage par téléphone: drame en quatre actes
Les cybercriminels redoublent d'ingéniosité pour amener leurs victimes à utiliser la fonction de paiement sur leur téléphone et à communiquer leurs données de carte de crédit. La semaine dernière, le NCSC a pris connaissance de leur dernière invention, un processus très sophistiqué.
Acte I: gagner la confiance de la victime
L'arnaque commence par un appel sur WhatsApp: un cybercriminel se fait passer pour un employé d'un service de télécommunication. Il prétend que le numéro de téléphone de la victime a temporairement été bloqué afin de le connecter au réseau 6G – raison pour laquelle l'appel se déroule via WhatsApp – et qu'il souhaite l'accompagner tout au long du processus de déblocage. En outre, il promet à son interlocuteur un dédommagement de 400 francs pour le prétendu blocage de son numéro. Pendant l'appel, le pirate saisit le numéro de téléphone de la victime sur le portail officiel de l'opérateur téléphonique et génère ainsi un code à usage unique qui est envoyé par SMS. Il demande ensuite à la victime de le lui communiquer, car ce code lui permet de se connecter directement à son compte et de consulter son dossier client, y compris son contrat.
Les cybercriminels profitent donc du fait qu'on puisse se connecter à son compte client au seul moyen d'un code à usage unique, envoyé directement sur son propre téléphone, sans avoir besoin d'un identifiant ni d'un mot de passe.
Acte II: utiliser le service de paiement
Une fois qu'il a accès au compte client de sa victime, le cybercriminel peut activer la fonction de paiement sur son téléphone, là aussi au moyen d'un code à usage unique. Cette fonction permet d'ajouter directement à sa facture téléphonique le montant d'achats effectués auprès d'entreprises partenaires. Le montant limite est fixé à 400 francs. Pour ne pas l'excéder, le pirate procède à quatre achats de 100 francs chacun auprès de l'un des commerces partenaires, probablement des bons cadeaux, puisque ceux-ci ne peuvent pratiquement pas être retrouvés.
De nouveau, le cybercriminel demande à sa victime de lui communiquer le code qu'elle a reçu et prétend que les montants affichés lui seront crédités.
Acte III: hameçonner la carte de crédit
Le cybercriminel ne s'arrête pas aux bons cadeaux; il tente ensuite de récupérer les données de la carte de crédit de la victime, que son complice contacte sur WhatsApp en se faisant également passer pour un conseiller. Pour prouver son identité, il lui envoie le contrat qu'il a obtenu dans l'acte I.
En raison d'une prétendue nouvelle procédure de facturation, la victime est invitée à saisir ses données de carte de crédit sur une page Internet ayant l'apparence du site de l'opérateur téléphonique. Il s'agit en réalité d'une page d'hameçonnage.
Acte IV : tout est bien qui finit bien
Dans le cas qui a été signalé au NCSC, cette dernière étape a éveillé les soupçons de la victime, qui se rend dans un point de vente de l'opérateur téléphonique. La tentative d'arnaque est rapidement identifiée et déjouée. L'opérateur téléphonique s'est montré clément et n'a pas facturé à la victime les montants décomptés par la fonction de paiement. Quant à la page d'hameçonnage, elle a été bloquée peu après le signalement. Il ne reste qu'un seul bémol: les cybercriminels ont pu mettre la main sur les données personnelles mentionnées dans le contrat et peuvent les utiliser pour d'autres méfaits.
Recommandations:
- Ne communiquez jamais de codes ou de mots de passe par téléphone.
- Limitez les coûts de la fonction de paiement au plus petit montant possible ou désactivez-là. Les opérateurs téléphoniques peuvent également bloquer ces services de manière permanente.
- Si vous avez un doute sur la véracité d'un appel, raccrochez et rappelez au numéro officiel de l'entreprise que vous trouverez sur son site Internet.
- Ne laissez jamais votre interlocuteur vous mettre sous pression.
- N'oubliez pas que les expéditeurs de SMS et les numéros de téléphone peuvent facilement être falsifiés.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 07.02.2023
