Sophos décèle une campagne de phishing par fax

Le dernier reproche que l’on puisse faire aux escrocs en ligne, c’est leur manque d’imagination quant aux moyens à utiliser pour commettre leurs méfaits. Le laboratoire de recherche de Sophos rapporte en effet une nouvelle tactique pour soutirer les deniers des internautes.

Un courriel soit disant envoyé par Paypal (le système de paiement notamment utilisé sur eBay) informe son destinataire qu’un pirate tente d’effacer le mot de passe de son compte. « Nous voudrions nous assurer que votre compte n’a pas été utilisé par une personne tierce », poursuit le message avant d’inviter l’utilisateur à remplir un formulaire joint et de le renvoyer… par fax! Pourquoi s’embêter à créer des sites Web infectieux sur lesquels attirer les victimes quand celles-ci sont prêtes à communiquer directement, en clair, leurs données personnelles?

Une campagne de courte durée

Le formulaire, qui emprunte la charte graphique de Paypal, demande les coordonnées et mots de passe du compte de la victime ainsi que son numéro de carte bancaire. Rien de moins. Aussi grossière soit-elle, la manipulation pourrait fonctionner. « Il est possible que les personnes qui savent qu’elles doivent redoubler d’attention quand aux saisies des informations personnelles sur un site Web piégé pourrait penser que remplir et renvoyer par fax le formulaire joint s’avère plus sécurisé », estime Graham Cluley, consultant pour Sophos, dans son message d’alerte. Autrement dit, les règles de base de la sécurité que les internautes commencent à appréhender dans le monde numérique seraient négligées dans le monde matériel.

Si la méthode est judicieuse (en terme de manipulation humaine plus que technologique), la campagne pourrait vite prendre fin. Selon le consultant, les organisateurs de cette nouvelle arnaque ont commis une gaffe en fournissant un numéro téléphonique pour joindre le fax (mais avaient-ils un autre choix?). « Paypal et les autorités vont suivre cette piste pour compléter leur enquête », justifie-t-il. A moins que les criminels n’aient déjà disparu de la circulation après avoir profité de la crédulité de quelques victimes. Dans les deux cas, cela mettra un terme à cette nouvelle attaque par phishing.