Voir le sommaire Ne plus voir le sommaire
Malheureusement, nous recevons tout le temps des e-mails de phishing. Dans la majorité des cas, les systèmes de détection de nos messageries sont suffisamment efficaces pour les rediriger automatiquement vers le dossier Spam. Hormis le fait qu’ils nous obligent à le vider de temps en temps, ces messages d’arnaque n’ont finalement que peu d’impact. Mais, les hackers le savent bien, et c’est pourquoi ils inventent des arnaques de plus en plus sophistiquées !
L’une des stratégies les plus performantes des escrocs pour atteindre cet objectif consiste à se faire passer pour une entité réelle et connue : votre banque, votre fournisseur d’électricité, une société avec laquelle vous avez déjà interagi, etc. Cependant, dans ce cas précis, les pirates ont surpassé cette méthode d’arnaque ! En effet, ils ont réussi à se faire passer pour l’ensemble des utilisateurs de Google, en utilisant même une adresse e-mail officielle de Google.
Lire aussi :
CAF: plus que quelques jours pour faire ce changement et continuer à toucher ses allocations
Cette grosse mise à jour Google Home va bouleverser votre quotidien
Attention à cette arnaque très astucieuse et difficilement repérable !
Un développeur américain, Nick Johnson, alerte sur une tentative de fraude sur X. En effet, ce dernier a reçu un courriel lui indiquant que Google avait été saisi par une ordonnance judiciaire pour fournir des informations concernant son compte.
« J’ai été, il y a peu, la cible d’une attaque de phishing extrêmement sophistiquée. Et j’aimerais la mettre en lumière ici », a-t-il, en effet, publié sur son compte officiel X.
Ce qui est surprenant, c’est que le message provenait de l’adresse « no-reply@google.com », que Google utilise habituellement. Cette adresse comportait même de véritables avertissements de sécurité. Les filtres anti-spam de Google n’ont donc pas détecté la menace.
Le message contenait un lien menant vers un site Web hébergé sur Google Sites, un service officiel de Google pour créer des pages en ligne.
Une adresse comme « sites.google.com » ne suscite pas de soupçons, car elle semble appartenir à Google. Cependant, en cliquant sur des onglets comme « afficher les fichiers » (View case) ou « envoyer des documents supplémentaires » (Upload additional documents), vous êtes dirigé vers des pages. Et sur ces pages, on vous demande alors de fournir des informations personnelles.
Les cybercriminels peuvent ensuite récupérer ces données pour en faire un mauvais usage. Donc, si vous recevez un tel message, il est crucial de ne surtout pas suivre ces instructions !
Mais comment les hackers ont-ils réussi à se faire passer pour le géant américain ?
Il faut admettre que les hackers ont parfaitement ficelé cette tentative de phishing. Selon l’analyse de Nick Johnson, les escrocs ont exploité deux vulnérabilité. La première concerne Google Sites, qui a servi à créer les fausses pages sur lesquelles vous atterrissez à partir de l’e-mail. La seconde a donc servi à authentifier le message comme provenant de Google.
Dans un premier temps, les pirates ont enregistré un nom de domaine. Puis, ils l’ont associé à un compte Google ouvert à cet effet. Ils ont ensuite créé une application Google OAuth en utilisant l’intégralité du contenu de l’e-mail frauduleux comme nom d’application. OAuth est un protocole qui autorise une application à utiliser l’API sécurisée d’un autre site Web au nom d’un utilisateur.
En autorisant le compte Google précédemment créé à accéder à cette application O. Auth, les escrocs ont obtenu un e-mail de notification de sécurité que Google a même signé. Il leur suffisait ensuite de transmettre cet e-mail aux victimes.
Crédit photo © DivertissonsNous
