Fini l'hameçonnage, place au harponnage

[elle]

Depuis des années, les courriels frauduleux et les logiciels malveillants se propagent sur l'internet. Grâce à de l'information tirée de sites comme Facebook et LinkedIn, la menace est toutefois plus ciblée que jamais: courriels personnalisés, coordonnées financières précises et sollicitation apparemment légitime provenant de personnes ou d'institutions connues. L'internet n'a jamais paru si menaçant...

Un internaute pris à l'étranger se dit prêt à vous vendre son véhicule remisé à Montréal si vous acceptez de le payer en ligne. Une collègue en voyage en Afrique vous demande de faire un virement bancaire de toute urgence pour la dépanner. La banque vous envoie un courriel contenant votre numéro de carte de crédit et vous exhorte à changer votre mot de passe à la suite d'une fraude au Moyen-Orient. Ça semble normal? Ça ne l'est pas. C'est la plus récente vague de fraudes en ligne, plus raffinée que jamais. Et les Québécois n'y échappent pas.

L'automne dernier, Chéli Sauvé-Castonguay et son copain s'apprêtaient à faire l'achat d'une nouvelle propriété. C'est un moment excitant dans la vie de tout jeune couple: posséder enfin sa propre maison. C'est aussi angoissant: l'hypothèque, les rénovations, les mauvaises surprises... Par exemple, la disparition soudaine des 10 000$ qui avaient été mis de côté pour le premier versement hypothécaire.

«Dix mille dollars, c'est une somme énorme pour nous. Imagine en plus quand tu essaies d'acheter une maison! Ça m'a vraiment fait paniquer», raconte la jeune professionnelle montréalaise.

C'est à ce moment qu'un représentant de la banque RBC lui a téléphoné pour l'avertir qu'elle était victime d'une fraude: plusieurs retraits successifs de sommes variables dans son compte d'épargne avaient alarmé le service de sécurité de l'institution bancaire.

Pourtant, quelques jours plus tôt, Mme Sauvé-Castonguay, animatrice à MusiquePlus, avait rempli un formulaire envoyé par courriel par la RBC, qui visait justement à renforcer les mesures de prévention contre l'hameçonnage. Comment les pirates ont-ils pu déjouer cette sécurité additionnelle?

En fait, ce sont eux qui lui ont envoyé le courriel. Celui-ci a redirigé la pauvre victime vers un site établi en Russie qui reproduisait à merveille celui de la RBC, a récupéré son nom d'usager et son mot de passe et a permis aux malfaiteurs de virer ses économies vers un autre compte, d'où elles ont été retirées et probablement expédiées à l'extérieur du pays par envoi postal.

C'est un cas classique de fraude bancaire en ligne. Malgré les avertissements et les mesures de sécurité renforcées, le phénomène continue de progresser au Canada. Depuis 10 ans, la valeur de ces fraudes a crû de plus de 60% au pays, selon le peu de statistiques que publient les institutions financières canadiennes à ce sujet.

Facebook: une arme pour les pirates

Ce n'est pas en 2011 que ça va ralentir. La popularité fulgurante des réseaux sociaux comme Facebook et LinkedIn, au Canada, donne de nouvelles armes aux pirates informatiques étrangers. Ils n'hésitent pas non plus à voler les listes d'envoi de grandes entreprises. McDonald's s'est d'ailleurs fait prendre, l'an dernier.

Grâce à ces données, même s'ils sont établis en Europe de l'Est, aux États-Unis ou en Amérique du Sud, les pirates nous connaissent comme s'ils étaient nos voisins immédiats, constate David Poellhuber, fondateur de Zerospam, une société montréalaise qui combat les courriels frauduleux pour le compte d'institutions bancaires et de fournisseurs de services internet.

«Facebook, c'est le WikiLeaks de l'information privée. Avec tout ce qu'on y trouve, les fraudeurs ont les moyens de créer des messages particulièrement ciblés. En 2011, je ne serais pas surpris qu'on voie un cas de fraude de plusieurs millions de dollars dans la haute direction d'une grande entreprise canadienne, lié à l'utilisation excessive d'un site de ce genre», dit-il.

Les jeux multijoueurs en ligne sont aussi une nouvelle plateforme pour ces menaces, selon lui, comme tout ce qui s'apparente à un lieu sûr mais ne l'est pas. «Les pirates essaient de percer des réseaux auxquels les internautes font confiance, mais qui sont mal protégés. Les jeux en ligne et les sites publics en sont d'excellents exemples.»

Si l'envoi massif de courriels frauduleux, l'hameçonnage, a diminué depuis trois mois, cette nouvelle génération de messages ciblés et hautement personnalisés, appelée harponnage, est en plein essor. Le FBI a décelé les premiers cas en 2005. En 2011, il évalue le harponnage à 6 milliards de courriels, soit 6,3% de l'ensemble des courriels frauduleux.

Bref, les pirates ne mettent plus seulement une ligne à l'eau en espérant que ça morde. Ils lancent une attaque ciblée sur des victimes bien précises. Les lieux de l'attaque sont multiples: boîte de courriel, Facebook, petites annonces sur Kijiji ou LesPAC, tout y passe.

Véritable roman d'espionnage

Il n'y a pas que la façon de leurrer les victimes qui se soit raffinée. Le modus operandi pour faire sortir l'argent du pays est aussi complexe. Quand on écoute Benoît Dupont, directeur du Centre international de criminologie comparée et titulaire de la chaire en sécurité, identité et technologie à l'Université de Montréal, on a l'impression qu'il cite un roman d'espionnage.

En 2011, c'est pourtant la réalité: «C'est une industrie très structurée. Des opérateurs situés à l'étranger utilisent des logiciels malveillants pour infiltrer des ordinateurs au Canada. Ceux-ci reconnaissent l'accès à un site bancaire, notent les codes d'accès et les renvoient à l'opérateur, qui les revend à un tiers. Il offre même un service après-vente: si les codes ne sont pas bons, il en fournit de nouveaux.»

«Ceux qui achètent ces codes en lot dirigent ensuite l'argent vers un autre compte. Ils recrutent des internautes désireux de faire de l'argent facilement, qui retirent ces fonds et les envoient à l'étranger grâce à un service traditionnel, comme Western Union. On soupçonne même des étudiants étrangers d'avoir séjourné au Canada grâce à un visa d'études, et dont la tâche était justement de récupérer cet argent.»

Cette sous-traitance de la fraude internet est inquiétante, mais le professeur Dupont demeure optimiste. «On a l'impression que les banques canadiennes sont impuissantes, mais c'est faux: elles font beaucoup d'efforts pour empêcher la fraude. Même si la valeur des fraudes augmente, au pays, c'est à un rythme inférieur à celui de toutes les transactions.»

Elles sont aussi conciliantes envers les victimes. Chéli Sauvé-Castonguay a été remboursée par RBC, une semaine après la constatation de la fraude. Elle jure qu'elle a retenu la leçon. «Je me méfie de tout. J'ai réduit mes transactions en ligne au strict minimum. Je paie mes factures au guichet. Si la banque m'appelle, je demande un numéro pour les rappeler.» Bref, on ne l'y reprendra plus.

http://technaute.cyberpresse.ca/nouvell ... cueil_POS1

[jazzygirlqc]

Il faut effectivement se méfier comme de la peste de ces couriels qui semblent venir de votre banque et qui vous demandent des renseignements très personnels sur votre compte. Toujours vérifier de vive voix avec un responsable de vos comptes bancaires car les banques n'envoient pas ce genre de couriels et ne vous demanderont jamais des renseignements personnels par internet.

[Le Huron]

Ca parait évident...mais la crédulité n'a pas de bornes : j'ai été obligé de m'insurger récemment chez des personnes avec qui j'étais en contact et auxquelles on demandait d'expédier 50 euros...dans une boite postale..;du New Jersey, pour " valider " leur gain de 100000 dollars à un hypothètique " tirage ". Ce n'était pas des débiles mentaux, mais ils s'apprètaient à le faire !!