COVID-19 : attention aux arnaques informatiques !

Tsunami de 2004, tremblement de terre en Haïti en 2010, Coronavirus en 2020 : quel est le point commun entre ces catastrophes naturelles et cette épidémie ? Outre le fait qu’ils ont causé la mort de nombreuses personnes, ces trois événements ont été exploités par les cybercriminels.

L’objectif est toujours le même : profiter de ces tragédies pour escroquer des internautes. Et la méthode ne change pas ! L’appât se présente toujours sous la forme d’un email officiel.

Le 26 décembre 2004, un séisme de magnitude 9,3 provoque une vague géante dans l’océan Indien. Très rapidement, des escrocs envoient des milliers d’emails demandant notamment de l’argent au nom de l’ONG anglaise Oxfam. Mais les coordonnées bancaires indiquées dans le courrier correspondent à un obscur compte à Chypre…

Le 12 janvier 2010, Haïti est frappé par un tremblement de terre. Dès le lendemain, le FBI signale des emails imitant des ONG pour récupérer des dons.

Nous assistons actuellement aux mêmes campagnes d’emails avec l’épidémie de coronavirus.

Les arnaques se sont tellement multipliées ces dernières semaines que l’Organisation mondiale de la Santé (OMS) a dû publier un avis invitant les gens à être vigilants. La plupart de ces tentatives d’escroquerie reposent en effet sur des emails usurpant son identité.

Ci-dessous, un faux email envoyé par l’OMS à des internautes italiens (source : Sophos)

Écrit en italien et prétendant émaner d’un fonctionnaire transalpin de l’OMS, le message insiste sur le caractère régional de l’épidémie.

Autre exemple repéré par l’éditeur de sécurité Sophos :

La plupart des courriers électroniques invitent les destinataires à télécharger un document Microsoft Word pour obtenir plus d’informations. Une fois téléchargé, le fichier Word active un logiciel malveillant, permettant aux attaquants d’accéder à des données sensibles.

De son côté, l’éditeur de sécurité Kaspersky a découvert des fichiers malveillants présents sous plusieurs formats (PDF, mp4 et docx) et mentionnant dans leur nom « coronavirus ». Le nom des fichiers indique dans certains cas que le contenu donnerait des instructions pour se protéger du virus, informerait sur les derniers cas découverts et les zones touchées en temps réel ou même indiquerait les procédures à suivre pour la détection du virus, ce qui n’a encore jamais été dévoilé.

« En réalité, ces fichiers contiennent un grand nombre de menaces, des chevaux de Troie comme des vers informatiques, capables de détruire, bloquer, modifier ou copier des données, et aussi d’interférer avec les opérations en cours, sur les ordinateurs ainsi que les réseaux », prévient Kaspersky.

Pourquoi les cybercriminels exploitent-ils toujours la même technique ? Parce que ce type d’attaque malveillante a démontré depuis longtemps son efficacité !

Selon une étude publiée en 2017 par Proofpoint, un éditeur de sécurité, près de 90 % des clics sur des URL ou des pièces jointes malveillantes ont lieu dans un délai de 24 heures après la remise de l’email. 25 % de ces clics se produisent en seulement 10 minutes !  En clair, les internautes se précipitent sur ces emails piégés.

Appelée phishing (ou hameçonnage), cette escroquerie consiste à créer et à envoyer un email ayant une apparence légitime (avec la présence du logo officiel d’une organisation mondiale ou d’une ONG dans le cas du COVID-19 ).

Le but ? Profiter du contexte d’urgence ou de peur pour leurrer les destinataires et les inciter à télécharger un logiciel malveillant ou à saisir des informations confidentielles, voire à faire un virement sur un compte bancaire.

Quel que soit le prétexte (de façon générale, tous les événements internationaux et l’actualité peuvent être exploités par les pirates, mais également l’actualité réglementaire pour duper les entreprises), il est indispensable de respecter quelques règles de base.

1-Ne vous précipitez pas

Comme nous l’avons vu avec l’étude de Proofpoint, les internautes cliquent très (trop) vite sur le lien ou la pièce jointe d’un email. Les attaques de phishing reposent toujours sur les mêmes ressorts psychologiques : la peur (de voir son forfait mobile ou son compte bancaire bloqué), la bonne affaire, la tragédie… Résultat, vous paniquez et vous cliquez sans réfléchir.

2-Faites attention aux fautes d’orthographe et de grammaire

Beaucoup de cybercriminels ne font pas de fautes, mais d’autres en font en revanche. Prenez le temps nécessaire pour analyser les messages et détecter les signes prouvant qu’ils sont effectivement frauduleux. Qui n’a jamais reçu un email du Crédit Agricole alors que votre banque est la Société Générale ?

3-Ne faites rien !

C’est la meilleure parade contre le phishing, car les antivirus et les solutions antispam ne peuvent pas détecter en temps réel toutes ces attaques. Si vous êtes en train de travailler, ne consultez pas vos emails.

On ne peut pas faire correctement deux choses à la fois. Faites une pause et consultez à tête reposée vos emails. En cas de doute, appelez votre banque ou votre opérateur internet pour vérifier l’authenticité de l’email.

Vous pouvez aussi passer le curseur (SANS cliquer dessus) de votre souris sur le lien URL intégré dans le corps de l’email : vous pourrez ainsi constater une adresse étrange du style www.oms.covid.ru.