Comment une fraude complexe a surpris 1 000 clients d’une grande banque française

Près de 1 000 clients d’une des principales banques françaises, la Crédit Agricoleont vu leurs coordonnées bancaires saisies dans le cadre d’une campagne de phishing sophistiquée, a-t-on révélé.

Les victimes ont été encouragées à saisir les détails de leur compte via un faux e-mail d’apparence officielle qui les dirigeait vers un site Web imitant l’espace en ligne officiel de la banque.

Ces informations ont ensuite été utilisées par des escrocs pour se faire passer pour des employés de l’agence locale de la victime lors d’appels de suivi, au cours desquels environ 83 personnes ont été amenées à envoyer de l’argent depuis leur compte.

Cela a conduit à des appels à une vigilance accrue à l’égard des escroqueries en ligne, provenant notamment de sources apparemment fiables.

Comment a fonctionné l’arnaque ?

L’opération, réalisée en juin, a été relayée début août par plusieurs sites technologiques, avant d’être reprise par le média national RMC.

Avec ce type d’escroquerie, les fraudeurs commencent par choisir une entreprise ou un groupe important et fiable à imiter, généralement une banque ou une institution financière.

« Ce que cela signifie pour les escrocs, en particulier dans le domaine du phishing, c’est un grand nom, avec de nombreux clients potentiels à victimiser », a déclaré le média Cybernews à propos de l’opération.

Une fois l’entreprise choisie, les fraudeurs mettent en place un système de messagerie de masse avec une adresse e-mail qui semble provenir de l’entreprise d’origine qu’ils prétendent être.

Les adresses e-mail ressembleront aux adresses officielles utilisées, mais avec une légère différence orthographique ou en utilisant un format différent.

Les fraudeurs utilisaient des logiciels sophistiqués utilisés par les grandes entreprises pour envoyer des e-mails en masse.

« Pour faire simple, il s’agit d’un de ces e-mails « donotreply@trustedcompany.com » que la plupart d’entre nous ont reçus à plusieurs reprises de la part de fournisseurs de services en qui nous avons confiance » utilisés dans l’arnaque, ajoute Cybernews.

En raison de l’apparence convaincante de l’adresse e-mail, celles-ci ne sont souvent pas signalées comme spam et entrent dans votre boîte de réception principale, renforçant ainsi leur légitimité.

Les fraudeurs peuvent envoyer environ 7 000 emails par jour à l’aide d’un logiciel d’emailing de masse et, avec un pool d’environ 21 millions de clients du Crédit Agricole, peuvent faire fonctionner le système pendant de longues périodes.

Les faux e-mails peuvent être accompagnés de diverses demandes – modification des mots de passe ou des informations de compte, notification frauduleuse concernant l’accès d’une personne à votre compte, etc. – mais tous visent à diriger les gens vers un faux site Web.

Ces sites Web sont conçus pour imiter les fraudeurs officiels de l’entreprise, en copiant la mise en page, la police, les photos, etc. sur le site. Cependant, l’adresse du site Web (URL) sera différente.

Dans l’arnaque ci-dessus, les utilisateurs ont été dirigés vers un faux site Web et invités à saisir leurs informations de connexion bancaires pour confirmer qu’ils avaient toujours le contrôle de leur compte.

On rapporte que 912 personnes ont saisi leurs coordonnées de cette façon.

Une attaque à deux volets

Il ne s’agit cependant que de la mise en place de l’arnaque, qui utilise une approche à deux volets.

Les banques ont mis en place une série de mesures de sécurité supplémentaires pour prévenir les violations.

Par exemple, si quelqu’un se connecte à un compte à partir d’un nouvel appareil – comme un escroc qui a pris vos informations de connexion en utilisant son propre ordinateur – et tente d’envoyer de l’argent vers un autre compte, la demande doit généralement être vérifiée dans l’application téléphonique, alertant ainsi la victime potentielle.

D’autres cas d’authentification à deux facteurs, tels que les messages texte ou les e-mails, contribuent également à réduire le risque que des fraudeurs attaquent directement les comptes de cette manière.

Plutôt que d’utiliser ces informations pour vider directement le compte bancaire d’une victime, les escrocs ont donc pris des détails sur la victime (son agence locale, le nom de son conseiller bancaire personnel, le solde du compte, etc.) afin de pouvoir se faire passer pour du personnel sur place.

Ils attendent quelques semaines, puis appellent la victime en prétendant venir de la succursale, utilisant les informations volées lors de la violation initiale pour gagner confiance et légitimité.

Cela peut être combiné avec des systèmes téléphoniques avancés qui peuvent masquer les numéros et même rediriger les appels pour donner l’impression qu’ils proviennent directement de votre agence locale ou de votre conseiller personnel.

Les fraudeurs utilisant cette méthode appellent généralement avec un faux avertissement concernant le compte de la victime, généralement indiquant que quelqu’un d’autre tente d’y accéder, et vous informant que vous devez de toute urgence réinitialiser vos informations.

Ils vous demanderont ensuite vos informations sensibles, telles que les mots de passe de votre compte, etc., ou vous demanderont de transférer temporairement des fonds directement vers un autre compte.

Dans l’arnaque ci-dessus, environ 83 victimes ont distribué de l’argent de cette manière.

Les escrocs auraient également disposé d’un « classement permettant aux opérateurs de phishing de se faire concurrence pour voir qui pourrait gagner le plus en exploitant leurs victimes », rapporte Cybernews.

Les fraudeurs utilisent généralement cette astuce non seulement pour gagner en légitimité et augmenter leurs chances d’obtenir des informations, mais aussi parce que dans ces cas-là, les victimes sont considérées comme remettant volontairement les fonds.

Cela rend plus difficile pour les autorités d’enquêter sur les fraudeurs, mais cela rend également plus difficile pour les victimes de demander une indemnisation ou un remboursement à leur banque, car elles ont été informées à l’avance du transfert et les fonds n’ont pas été transférés sans leur consentement.

Signes révélateurs à surveiller

Contacté par le site technologique 01net en août, Crédit Agricole a déclaré que « la tentative de fraude a été déjouée et dure depuis deux mois ».

La banque a déclaré qu’elle n’était pas elle-même victime de fraude – puisque ses propres systèmes de sécurité n’avaient pas été violés – mais que des clients individuels en étaient des victimes.

Les clients doivent donc redoubler de vigilance, car ils sont directement ciblés.

Les conseils standards concernant la sécurité anti-arnaque restent primordiaux :

Vérifiez soigneusement l’adresse de tous les e-mails entrants, car même s’ils semblent être une adresse légitime, ce n’est peut-être pas le cas. Vérifiez en ligne si une telle adresse e-mail est légitime ou si vous avez déjà reçu un e-mail provenant de cette adresse exacte.

Ne cliquez sur aucun lien directement à partir d’un e-mail ou d’un SMS – ouvrez votre navigateur, accédez vous-même au site Web de la banque et connectez-vous directement de cette manière.

Si la demande est légitime, vous devriez ainsi pouvoir retrouver le lien correspondant via votre espace personnel.

Si vous cliquez sur un lien direct via votre courrier électronique, vérifiez l’adresse du site Web (URL) pour vous assurer qu’il n’y a pas de fautes d’orthographe indiquant qu’il s’agit d’un faux site Web. Encore une fois, ces faux sites sont extrêmement sophistiqués et peuvent ressembler à ceux que les fraudeurs se font passer pour eux.

Ne divulguez aucune information personnelle sur aucun compte – en particulier les mots de passe – ailleurs que sur le site officiel.

Les banques conseillent continuellement à leurs clients de ne jamais demander d’informations bancaires personnelles au téléphone, ni de demander aux gens d’effectuer des virements, etc., lors d’un appel.

Si quelqu’un qui vous appelle vous le demande, raccrochez et appelez directement le service client de votre banque ou l’agence locale. Ne rappelez pas simplement le numéro qui vous a appelé, mais recherchez le numéro en ligne pour vous assurer de joindre la banque et non un escroc.