Vous donnez trop d’infos aux hackers pour vous piéger

12 juillet 2018, Joel Ortiz, la vingtaine, sac Gucci à la main, lunettes noires, traverse le hall de l’aéroport international de Los Angeles. Il s’apprête à passer son été dans le sud en Europe. Le FBI va gâcher ses vacances de rêve : Joel sera arrêté avant de passer le portique de sécurité pour usurpation d’identité, piratage et vol de haut niveau. Ce jeune Américain a trompé treize personnes propriétaires de bitcoin et de NFT, scrutant leur activité numérique sur Discord et d’autres réseaux sociaux pour connaitre et parfaitement identifier ses victimes. Pour les hackers, il est de plus en plus courant d’enquêter sur leurs victimes avant d’attaquer. La plupart des cyberattaques par ransomware sont réalisées après un long travail d’investigation pour déterminer une cible dans l’entreprise et un moment opportun pour la piéger.

En 2022, 6 Français sur 10 utilisent les réseaux sociaux et les messageries chaque jour. Ils y passent en moyenne 52 minutes par jour, selon un rapport Médiamétrie. Quant aux jeunes de 15 à 24 ans, ils se connectent 2h19 par jour. Pendant tout ce temps, les utilisateurs sont amenés à poster des photos, des commentaires et liker du contenu. Autant d’infos qui serviront aux hackers qui vous scrutent.

« Si l’on parle d’un patron, les malfaiteurs commenceront par LinkedIn par exemple. Ils chercheront des coordonnées, ils regarderont ses relations, chercheront les proches. Les cybercriminels peuvent aussi télécharger des fuites de données très facilement accessibles pour récupérer un mail et un numéro de téléphone. Ils fouilleront aussi dans les réseaux sociaux intimes, noteront que la cible a une fille. Et, lorsqu’ils devront contourner une question de sécurité, ils donneront le nom de ses enfants ou leur cadeau d’anniversaire, par exemple, ce qui s’avèrera être une bonne réponse », nous explique Alban Ondrejeck, cofondateur d’Anozr Way, société spécialisée dans la cybersécurité et la protection des données.

L’assistante était un hacker

« Cet exemple que je vous raconte est un condensé de faits déjà rencontrés. Les pirates prennent le temps d’enquêter sur leur victime pour renforcer leur stratégie. Entre les fuites de données et tout ce que l’on poste sur les réseaux sociaux, il y a assez d’informations pour déterminer le profil de la victime », ajoute-t-il.

L’arnaque au président est un autre type d’opération essentiellement basée sur l’identification et l’ingénierie sociale. Voler l’identité d’un cadre ou d’un directeur pour demander un virement express, afin de conclure une prétendue transaction urgente, est un fléau encore sous-estimé. Aux États-Unis, le FBI fait état de 21 832 plaintes en 2022, pour des pertes de plus de 2,7 milliards de dollars. En France, une opération a mené à l’arrestation de huit personnes en février dernier, coupables d’avoir dérobé 38 millions d’euros avec cette technique.

« Nous avons également rencontré un cas où le directeur financier recevait des messages de son assistante pour de potentiels virements sur Microsoft Teams. Son compte avait été piraté. Le directeur de l’entreprise a pu se rendre compte à temps de la supercherie, car la dame en question ne travaillait pas le mercredi après-midi », nous raconte Alban Ondrejeck.

Fausses annonces pour vrai vol

Il arrive aussi que les victimes envoient leurs infos directement aux hackers. Une des arnaques les plus courantes consiste à publier une fausse annonce pour une location sur Leboncoin, à demander les photocopies des papiers d’identité aux candidats pour des raisons de sécurité, et disparaitre dans la foulée. Quelques mois plus tard, la victime reçoit un mail de la Banque de France, lui indiquant qu’elle est placée sur liste rouge. Le malfaiteur a ouvert un compte sur une banque ligne en usurpant l’identité, grâce aux documents d’identité, et a souscrit un crédit qu’il ne remboursera jamais.

Il arrive par malheur qu’un étudiant envoie plusieurs cartes et passeports, y compris celle des colocataires et des garants. Des personnes ont témoigné auprès de Numerama avoir eu cinq cas d’ouverture de compte frauduleux, chez Boursorama et Hello Bank, des établissements privilégiés par les hackers.

Une raison de plus pour faire attention si vous comptez déménager cet été. La période estivale est d’ailleurs propice aux piratages, selon le rapport de la société BrightCloud, surtout pour piéger les vacanciers. Évitez peut-être de révéler à tout le monde votre prochaine destination.

Abonnez-vous gratuitement à Artificielles, notre newsletter sur l’IA, conçue par des IA, vérifiée par Numerama !