13.02.2024 - L'OFCS reçoit régulièrement des signalements concernant des comptes de médias sociaux piratés ou des commandes en ligne non voulues. Dans de nombreux cas, l’escroquerie provient d’un compte de messagerie électronique piraté. Malheureusement, on sous-estime souvent l’importance de protéger ces comptes.
Une commande non voulue...
Des particuliers signalent régulièrement qu’ils ont reçu des factures pour des commandes qu’ils n’ont pas passées. Il peut s’agir par exemple de cartes-cadeaux numériques, les escrocs profitant du fait qu’elles ne doivent pas être envoyées par la poste mais peuvent être simplement téléchargées après l’achat. La victime se retrouve ainsi avec une facture pour un produit qu’elle n’a jamais commandé. Au préalable, les criminels doivent avoir pu accéder à la boutique en ligne.
... ou un compte de médias sociaux piraté
Des détenteurs de comptes de médias sociaux annoncent fréquemment à l’OFCS que des escrocs leur ont volé leurs données d’accès. Les criminels utilisent par exemple ces comptes pour écrire à des contacts des victimes afin de leur demander de l’argent sous un prétexte quelconque ou pour mettre en ligne des publicités frauduleuses. Malheureusement, il est souvent long et difficile de reprendre le contrôle d’un compte de médias sociaux piraté. Dans certains cas, c’est même impossible.
Une mine d’or
Souvent, les escrocs n’attaquent pas ces comptes directement, mais détournent un accès par courriel. En effet, un compte de messagerie constitue généralement une véritable mine d’informations pour les pirates. Ces derniers obtiennent ainsi un aperçu de la vie quotidienne et des contacts de leur victime. En fouillant la boîte de réception, la corbeille et les archives, ils peuvent découvrir les comptes qu’elle possède auprès de différents fournisseurs, médias sociaux, boutiques en ligne et autres services web. La plupart du temps, les criminels trouvent ce qu’ils cherchent et peuvent se concentrer sur les cibles qui les intéressent. Si ce n’est pas le cas, ils peuvent toujours revendre les données d’accès sur le darknet.
Le problème avec la réinitialisation de mots de passe
Pour accéder aux services en ligne, les pirates n’ont pas besoin du mot de passe du compte visé : il leur suffit de saisir l’adresse électronique de la victime sur le site web du prestataire et de cliquer sur « Mot de passe oublié ».
Cette action génère soit un nouveau mot de passe, soit un lien permettant de réinitialiser le mot de passe. Dans les deux cas, le résultat est envoyé au compte de messagerie de la victime, auquel les escrocs ont déjà accès.
C’est évident : un compte de messagerie piraté peut avoir une grande valeur. Pour y accéder, les criminels ont tout d’abord besoin du mot de passe. Ils peuvent l’obtenir de différentes manières :
- attaque par hameçonnage lors de laquelle la victime dévoile elle-même le mot de passe de son compte ;
- mot de passe trop court ou trop simple que les pirates peuvent facilement deviner ou trouver par tâtonnement ;
- fuite de données d’un prestataire de services en ligne contenant des données d’identification, les escrocs tentant alors d’accéder au compte en utilisant ces combinaisons de mots de passe et d’adresses électroniques.
Mesures de précaution
Voici les mesures que l’OFCS recommande pour protéger son compte de messagerie électronique.
- Choisir un mot de passe d’au moins douze caractères composé de lettres majuscules et minuscules, de chiffres et, si possible, de caractères spéciaux.
- Ne pas réutiliser les mots de passe.
- Utiliser l’authentification à deux facteurs. Avec cette dernière, la connexion requiert par exemple, en plus du mot de passe, un code à plusieurs chiffres qui est généré et affiché dans une application (p. ex. « Authenticator »). Pas de panique : la configuration est facile et ne doit être réalisée qu’une seule fois. En outre, dans de nombreux cas, le code ne doit pas être saisi systématiquement, mais seulement lorsque l’on se connecte à partir d’un appareil inconnu. Avec une authentification à deux facteurs, les criminels doivent déployer beaucoup plus d’efforts pour prendre le contrôle du compte.
- Saisir le mot de passe du compte de messagerie uniquement dans la messagerie web (vérifier l’URL) ou dans une application de messagerie sur ordinateur ou téléphone mobile. Il ne faut jamais accepter d’entrer son mot de passe sur des pages web que l’on a ouvertes à partir de liens reçus dans des courriels.
- Employer si possible plusieurs adresses électroniques en fonction des différents usages.
Vous trouverez de plus amples informations sur le site de l’OFCS :
Vous pouvez vérifier vous-même si votre adresse électronique figure dans une fuite de données (connue à ce jour) sur la page du projet « Have I Been Pwned » (https://haveibeenpwned.com/). Ne vous inquiétez pas : il est très probable que ce soit le cas. L’essentiel est de savoir quelles autres données ont été divulguées en sus de l’adresse. Si un mot de passe a été dérobé, l’OFCS recommande de le changer.
Il est également conseillé de vérifier sur un autre outil si votre adresse électronique fait partie d’une fuite de données, par exemple sur « Identity Leak Checker » de l’Institut Hasso Plattner de l’université de Potsdam (Allemagne). En effet, même si une adresse électronique n’apparaît pas comme compromise dans un outil, elle peut très bien être signalée comme telle dans un autre.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 13.02.2024
