5 fraudes par hameçonnage à éviter en 2023

Les escroqueries par hame­çonnage sont une forme de fraude par ingénierie sociale. Elle est conçue pour vous inciter à partager des informations privées ou pour vous convaincre de cliquer sur des liens ou des pièces jointes qui mènent ensuite vers des logiciels malveillants ou à des sites frauduleux.

Comment fonctionnent les fraudes par hame­çonnage ?

Pour faire simple nous pouvons dire que l’hame­çonnage consiste à associer un texte à une URL. Ce qui signifie que les attaques de type hame­çonnages peuvent se produire n’importe où, à partir du moment où vous pouvez recevoir des communications numériques, comme les courriels, les SMS (appelés aussi messages directs d’hame­çonnage ou notifications des médias sociaux). L’hame­çonnage constitue donc un risque permanent et est l’une des formes les plus répandues de cyberattaque.

Pour les rendre ces hame­çonnages aussi attrayants que possible, les criminels à l’origine de ces attaques ont tendance à tirer profit de l’évolution des habitudes et des préférences. Par exemple, un événement d’actualité mondiale telle que l’invasion de l’Ukraine a donné lieu à plus de 2 000 tentatives d’hame­çonnage bloquées en mars 2022 (source : F‑Secure Threat Intelligence).

L’hame­çonnage n’est pas plus facile à repérer

Malgré leur augmentation en nombre et donc leur grande exposition, les arnaques par hame­çonnage ne sont pas devenues pour autant plus faciles à détecter. Par le passé, certaines tentatives d’hame­çonnage pouvaient être identifiées par des éléments tels qu’une mauvaise grammaire, souvent comique. Mais les progrès de la technologie de type IA, et des modèles génératifs de langage (LLM) tels que ChatGPT ont permis aux escrocs de paraître plus légitimes que jamais.

Vous avez probablement vu un courriel ou un SMS de phishing où vous pouviez instantanément détecter l’attaque, en raison d’une faute de grammaire ou d’orthographe, explique Abdullah-Al Mazed, Senior Technical Product Manager chez F‑Secure. Malheureusement, grâce aux développements des grands modèles de langage (LLM), ces jours appartiennent désormais au passé. ChatGPT démontre à quel point le traitement du langage naturel (NLP) a déjà progressé et combien il est facile de rédiger un courrier ou un article de blog très convaincant à l’aide d’une simple poignée de mots-clés.

S’informer sur les escroqueries par hame­çonnage

Alors que les menaces d’hame­çonnage continuent d’évoluer, il n’a jamais été aussi important d’utiliser une protection internet pour vous prémunir contre ces menaces. Il est aussi très important de s’informer.

Dans cet article nous allons distinguer cinq principales attaques de phishing en 2023, et vous expliquer comment les identifier et, donc, de les éviter.

1. Hame­çonnage de comptes de réseaux sociaux

D’après les données Threat Intelligence de F‑Secure, Facebook, WhatsApp, Instagram et LinkedIn étaient les principales plateformes de médias sociaux ciblées par des escroqueries par hame­çonnage en 2022. Les criminels qui ciblent ces plateformes tentent d’obtenir vos identifiants de médias sociaux, vos informations personnelles et vos données financières.

Comment repérer ce genre d’attaque ? Ces attaques se présentent souvent sous la forme de demandes d’amis et de messages provenant de profils inconnus puis vous proposent des liens vers des pages web.

Comment éviter ces attaques ? Activez votre navigation sécurisée. N’acceptez pas les demandes d’amis provenant de profils inconnus. Définissez une autre adresse électronique ou un autre numéro de téléphone pour récupérer votre compte. Utilisez des mots de passe uniques et une authentification à deux facteurs.

2. Le phishing au nom de Netflix

Netflix est devenu l’application de prédilection des amateurs de télévision et de cinéma, avec environ 233 millions d’abonnés dans le monde (source : Statista). En raison de cette popularité, Netflix a été l’une des marques les plus ciblées par le phishing via courriel en 2022, avec une augmentation de 50 % des escroqueries en son nom entre janvier et décembre 2022 (source : Volume mensuel de spam basé sur le piège à spam de F‑Secure).

Comment repérer ces attaques ? Ces courriels informent les destinataires que leur paiement automatique a été refusé. Pour y remédier, les victimes sont incitées à mettre à jour leurs informations de facturation au moyen d’un lien menant à une fausse page de connexion. Une fois que la victime a fourni ses données de connexion, les attaquants ont pu prendre le contrôle du compte.

Comment les éviter ? N’ouvrez aucun lien suspect vous avertissant d’un paiement refusé ; connectez-vous plutôt à votre compte et vérifiez l’état de votre paiement.

3. Sujets d’actualité : L’Ukraine

Les escroqueries par hame­çonnage utilisent souvent des sujets d’actualité, car il est plus facile d’attirer l’attention lorsque les gens sont déjà intéressés par le sujet. Ainsi, la guerre en Ukraine a été l’un des principaux sujets utilisés dans les campagnes de phishing en 2022. Certaines de ces arnaqueurs profitent de la volonté d’aider des gens. D’autres s’appuient sur des motivations plus égocentriques.

Comment repérer ces attaques ? Ce type d’hame­çonnage s’est propagé par courrier électronique au nom d’organisations caritatives telles que la Croix-Rouge. Les victimes ont été conviées à faire un don de crypto-monnaie. Ailleurs, ces fraudeurs ont incité les victimes à contacter des filles ukrainiennes sexy à la recherche d’amour. Croyant converser avec des femmes ukrainiennes, les victimes ont créé un profil payant sur une plateforme de rencontre, et certaines ont dû payer davantage pour continuer à discuter ou pour débloquer plus de photos.

Comment les éviter ? Toute communication demandant un paiement en crypto-monnaie est un signal d’alarme. Ne faites confiance qu’à des organisations caritatives bien connues. Utilisez les informations de paiement indiquées uniquement sur leur site web. Et n’oubliez pas : les personnes qui cherchent sincèrement l’amour ne demandent pas de crypto-monnaie avant de vous parler.

4. Les escroqueries de type « Salut maman » par smishing

Les cyber­criminels utilisent tous les moyens émotionnels dont ils disposent, et les escroqueries de type Salut maman en sont un rappel particulièrement désagréable. Ces arnaques se présentent sous la forme d’un smishing (hame­çonnage par messagerie téléphonique) et commencent généralement par un message WhatsApp envoyé par un escroc à partir d’un numéro de téléphone inconnu et commençant par les mots Salut maman ou Salut papa.

Comment repérer ces arnaques : L’arnaqueur dit au destinataire que le téléphone de l’enfant est cassé et que le numéro d’où il envoie le message est son nouveau numéro de téléphone. Il demande ensuite de l’argent pour payer une facture urgente ou pour acheter un nouveau téléphone ; en prétextant qu’il a besoin d’argent parce qu’il ne peut pas accéder à sa banque sans l’ancien téléphone ; ou autres raisons.

Comment les éviter ? Il est difficile pour des parents de prendre du recul lorsque leur enfant est en danger ou qu’il a besoin d’une aide urgente. C’est exactement ce sur quoi misent ces escrocs (dans leur cas, littéralement). Si vous recevez un tel message, appelez l’ancien numéro ou envoyez un message à votre proche sur les médias sociaux pour vérifier qu’il s’agit bien de la bonne personne. Et surtout n’envoyez jamais d’argent à des personnes qui vous contactent à partir de numéros inconnus.

5. Fraudes par hame­çonnage liées aux jeux

La popularité croissante des jeux free-to-play (F2P) tels que Fortnite, dont la rémunération passe par l’achat dans le jeu de skins, d’armes, etc. a entraîné une nette augmentation du nombre d’arnaques ciblant les joueurs. Il peut s’agir d’arnaques au vote ou d’offres gratuites. D’après les données de F‑Secure, Steam et Roblox sont les plateformes de jeux les plus ciblées par les cyber­criminels, représentant 66 % de toutes les plateformes de jeux ciblées (source : F‑Secure Threat Intelligence).

Comment repérer ces procédures : En 2022, les fraudeurs ont commencé à utiliser une technique appelée voting scams qui permet de voler des comptes Steam. La fraude commence dans un canal Steam ou Discord, avec un message semblant provenir d’un ami, demandant à la victime de suivre un lien et de voter pour son équipe. Le lien renvoie à une page d’hame­çonnage. Une fois que la victime a cliqué sur le lien, son compte Steam est transféré au fraudeur.

Dans les escroqueries visant les utilisateurs de Roblox, les faudeurs ont utilisé des vidéos YouTube pour inciter les enfants à cliquer sur un lien afin d’obtenir des Robux gratuits (monnaie du jeu), le lien menant les spectateurs vers des sites de phishing où les criminels pouvaient récolter des informations de connexion. Les hameçonneurs ont également détourné des comptes Roblox avec la même technique, en utilisant de fausses annonces d’utilisateurs (le système de messagerie de Roblox dans le jeu).

Comment ne pas tomber dans le piège ? Activez la protection de votre navigation. Ne saisissez pas vos données de connexion en dehors d’un service de jeu particulier. En règle générale, évitez les offres gratuites, car il s’agit souvent d’un piège. Sensibilisez vos enfants à l’hame­çonnage et aux escroqueries en partageant cet article avec eux.