Attaque phishing : une campagne d’escroquerie sophistiquée cible les 2,5 milliards d’utilisateurs de Gmail
Alerte au phishing. Le phishing est une méthode d’escroquerie malheureusement très répandue dans l’écosystème crypto. Pour rappel, cette méthode basée sur le social engineering vise à tromper un utilisateur en usurpant l’identité d’un protocole, d’une entreprise ou d’une personnalité publique. Un récent rapport publié par un utilisateur de Google alerte face à l’explosion de ce type de pratique sur la messagerie Gmail.
Les 2,5 milliards d’utilisateurs de Gmail à risque
Gmail, la boîte mail du géant Google compte plusieurs milliards d’utilisateurs. Sans grande surprise, les escrocs y voient une source illimitée de victimes potentielles.
Ainsi, la semaine dernière, nos confrères de Forbes ont rapporté une histoire qui fait froid dans le dos. Ils ont rapporté la mésaventure de Sam Mitrovic, un consultant pour Microsoft qui a été la cible d’une arnaque extrêmement sophistiquée. Ce dernier avait lui-même partagé sa mésaventure sur son blog personnel.
Les détails de l’attaque phishing ciblant Gmail
En pratique, il a failli tomber dans le piège d’un appel téléphonique particulièrement bien ficelé. Tout a commencé par une tentative de récupération de compte Gmail, suivie d’un appel du « support » de Google qui se voulait rassurant, bien qu’assez étrange.
Évidemment, il ne s’agissait pas du support de Google, mais d’une manœuvre du hacker. Celui-ci a utilisé un service d’IA pour se faire passer pour un agent du support Google. Lors de cet appel, le hacker a affirmé que le compte de Mitrovic avait été compromis depuis une semaine.
Ce dernier a eu le bon réflexe, à savoir chercher sur Google le numéro d’appel. Jusqu’ici le doute reste limité, car le numéro semble légitime. En effet, il serait lié à un service de Google Assistant, ce qui aurait pu tromper n’importe qui.
Afin de s’assurer de son interlocuteur, Mitrovic dévoile avoir demandé que ce dernier lui envoie un email pour adresser la situation.
« Quelques instants plus tard, l’e-mail arrive et, à première vue, il semble légitime – l’expéditeur provient d’un domaine Google. »
Heureusement, Mitrovic sait qu’il peut être facile d’usurper un numéro de téléphone ou un email.
« Cependant, il est facile de falsifier une adresse e-mail, et je remarque que le champ “À” contient une adresse e-mail habilement nommée GoogleMail à InternalCaseTracking dot com (un domaine non lié à Google). »
Une prudence qui aura permis à Sam Mitrovic de ne pas tomber dans le piège. Malheureusement ce n’est pas le cas de tout le monde.
Comment se protéger face à ce type d’attaques ?
Pour se protéger face à ce type d’attaques, quelques bonnes pratiques sont essentielles.
Premièrement, ne répondez jamais aux e-mails ou appels suspects prétendant venir du support Google. En effet, Google ne vous contactera pas de manière inattendue.
Ensuite, vérifiez toujours l’activité récente de votre compte Gmail, accessible dans les paramètres de sécurité. Si vous recevez des notifications de récupération de compte que vous n’avez pas initiées, ignorez-les et modifiez immédiatement votre mot de passe.
Enfin, ne vous précipitez pas. Les escrocs comptent sur votre panique. Prenez le temps de vérifier les informations et de contacter le vrai support de Google si nécessaire.
De son côté, face à ces menaces croissantes, Google renforce ses mesures de sécurité avec le Programme de Protection Avancée. Ce service, initialement destiné aux personnalités à haut risque (journalistes, activistes), est désormais plus accessible grâce à l’ajout des passkeys, une alternative sécurisée aux mots de passe. De ce fait, pour se connecter, un hacker devra non seulement posséder vos identifiants, mais aussi accéder à votre téléphone et à vos données biométriques.
En pratique, les attaques phishing peuvent prendre tout type de forme. La semaine dernière, l’entreprise LEGO a vu son site exploité. Le hacker a par la suite intégré une bannière annonçant le lancement d’un LegoCoin frauduleux sur le site. Heureusement, la bannière n’aura été mise en ligne qu’une quarantaine de minutes.
Renaud H.
Ingénieur en software et en systèmes distribués de formation, passionné de cryptos depuis 2013. Touche à tout, entre mining et développement, je cherche toujours à en apprendre plus sur l’univers des cryptomonnaies et à partager le fruit de mes recherches à travers mes articles.
