Le Smishing c’est quoi ?
Smishing, abréviation entre « SMS » et « phishing », est une nouvelle escroquerie en ligne. Il consiste à envoyer des SMS assez convainquant pour inciter la cible du Smishing à faire une action : cliquer sur un lien, télécharger un programme (malveillant) ou envoyer des informations privées.
Avec 3.5 milliards de smartphones partout dans le monde, tous permettant de recevoir des sms, les cibles sont nombreuses pour les escrocs.
Avec un contenu de message crédible comme par exemple : un avis d’envoi de la poste, un concours ou encore un remboursement en attente… les victimes ont tendance à exécuter facilement la manipulation demandée.
Le fonctionnement du Smishing
La plupart des attaques de Smishing fonctionnent comme le phishing par email.
Les informations que souhaitent recueillir les escrocs peuvent être diverses :
- Codes d’identification des comptes en ligne
- Informations personnelles sur l’identité
- Numéro de carte de crédit
Parfois, le but est d’inciter la cible à se rendre sur un site frauduleux. Pour ce faire, le contenu du Smishing sera probablement en lien avec une enseigne connue :
- Vérification des informations de paiement
- Règlement des frais d’envoi postaux
- Cadeau ou remise suite à une commande
- Validation d’une commande (jamais effectuée)
Le Smishing peut également proposer le téléchargement d’une pièce-jointe qui permet la propagation de logiciels malveillants ou espions.
Quel que soit le procédé utilisé, le but est, comme pour le phishing, de récupérer des données personnelles pour de l’usurpation d’identité, des données financières pour différentes escroqueries, conclure des abonnements non désirés ou encore récupérer les codes d’accès à vos différentes applications ou comptes en ligne.
L’ingénierie sociale, principe de fonctionnement du Smishing
On appelle ingénierie sociale, les techniques de fraude utilisées par les cybercriminels. L’objectif est de subtiliser les données personnelles des victimes en les mettant en confiance.
Cette manipulation psychologique permet de pousser la cible à effectuer ce qui est demandé, sans se rendre compte du danger.
Les arnaqueurs vont exploiter la bonne foi, la disponibilité, l’insécurité des personnes ciblées, pour gagner leur confiance et leur soutirer des informations personnelles.
Les exemples d’attaques d’ingénierie sociale
Les fraudeurs utilisent des techniques qui varient énormément. Ils peuvent être très créatifs et de nouvelles tentatives de tromperie apparaissent tous les jours. Découvrez quelques exemples d’attaques pour vous permettre d’identifier plus clairement les menaces potentielles :
- L’appâtage (« baiting ») : des agences gouvernementales de plusieurs États américains ont été victimes de la technique de l’appâtage en 2018. Ils ont reçu des enveloppes, timbrées de Chine, contenant une lettre et un CD-Rom. Le CD contenait un code malveillant caché parmi des documents à l’apparence innocente.
- La technique du prétexte (« pretexting ») : un rapport de 2019 de Verizon a révélé que les criminels se font souvent passer pour des collègues de travail pour tromper leurs victimes, en se faisant passer par exemple pour le service RH ou financier d’une entreprise.
- L’hameçonnage (« phishing ») : en 2020, une attaque d’hameçonnage a envoyé des emails semblant provenir de l’Organisation Mondiale de la Santé (OMS). Le message contenait de fausses informations sur les actions à mener pour empêcher la propagation du coronavirus. Après avoir essayé de télécharger le document en pièce jointe, les victimes ont été redirigées vers un site internet frauduleux.
Les signes pour repérer le Smishing
En premier lieu, le SMS arrivera d’un numéro que vous ne connaissez pas.
Si le contenu de ce SMS vous demande d’envoyer de l’argent, de cliquer sur un lien, de télécharger une pièce-jointe ou encore de transmettre des informations personnelles, alors méfiez-vous.
Si le SMS vous fait ressentir de la peur, de la culpabilité ou une urgence : n’oubliez pas que les cybercriminels font appel à l’ingénierie sociale. Et évidemment, toujours prendre avec beaucoup de recul les offres trop belles pour être vraies : vous avez gagné au loto mais vous n’avez jamais joué ? l’arnaque semble évidente.
Et n’oubliez jamais : aucune enseigne ne vous demandera jamais votre mot de passe. Vos informations personnelles d’identité sont à donner avec la plus grande précaution.
Parlez-en autour de vous, demandez l’avis de vos proches et attendez d’être sûr de la provenance du SMS avant de répondre.
Au moindre doute : effacez le SMS.