À la pêche pour vos informations: l’hameçonnage vocal et par texto expliqués

Saviez-vous que 85 % des attaques d’hameçonnage se produisent via des messages textes, des jeux, des applications sociales et de productivité ou par téléphone? Lisez la suite pour savoir comment vous pouvez vous protéger contre les attaques d’hameçonnage vocal et par texto ainsi que ce qu’il faut faire si vous êtes victime d’une tentative d’hameçonnage.

L’hameçonnage par texto

Comme le nom l’indique, l’hameçonnage par texto est une arnaque d’hameçonnage qui utilise un service de messagerie instantanée (ou SMS) et qui ressemble à une communication provenant d’une source de confiance. Ces messages contiennent souvent des URL ou des liens malveillants qui, lorsqu’on clique sur ces derniers, seront utilisés pour voler toutes les informations personnelles que vous entrez.

Les attaques d’hameçonnage par texto sont à la hausse, car les messages textes ne nécessitent pas d’authentification au-delà d’un numéro de téléphone. Cela signifie que les destinataires de ces tentatives d’hameçonnage par texto doivent déterminer par eux-mêmes si le message est frauduleux ou légitime. En outre, certaines organisations légitimes envoient des messages textes à partir de numéros de téléphone usurpés, empruntés ou partagés, ce qui rend les tentatives d’hameçonnage de ce type encore plus difficiles à repérer.

Contrairement aux courriels d’hameçonnage, les URL intégrées dans les messages textes peuvent être difficiles à vérifier sans ouvrir accidentellement le lien. La plupart des URL dans les attaques d’hameçonnage par texto sont également raccourcies à l’aide de programmes pour raccourcir les adresses URL, ce qui complique encore davantage la tâche de déterminer si le message est légitime ou représente une menace.

L’hameçonnage vocal

L’hameçonnage vocal est aussi appelé hameçonnage téléphonique. Détecter une attaque d’hameçonnage vocal peut représenter un défi, car les cybercriminels sont en mesure de modifier l’identifiant de l’appel pour que le numéro affiché ressemble à un numéro qui vous est familier ou d’une personne de confiance. La technologie VoIP (voix sur IP) est également courante lors d’attaques d’hameçonnage vocal à partir de plates-formes telles que Skype ou Zoom.

De nombreux utilisateurs de VoIP n’ont pas besoin de fournir des données d’identification d’appelant valides, ce qui facilite la possibilité de commettre une fraude. Cependant, les forces de l’ordre et les systèmes judiciaires sont conscients de l’existence des attaques d’hameçonnage vocal et tentent activement d’informer le public de cette menace et de traquer les cybercriminels. Plus tôt cette année, le FBI et la CISA ont émis une alerte avertissant la population des dangers des attaques que représente ce type d’attaque. Ils ont également noté que les cybercriminels vérifient les médias sociaux des employés et d’autres informations accessibles au public pour rendre les attaques d’hameçonnage vocal plus convaincantes.

Ce que les cybercriminels veulent que vous fassiez

Comme lors des autres types d’attaques d’hameçonnage, les cybercriminels qui utilisent l’hameçonnage vocal ou par texto s’attendent à ce que vous réagissiez rapidement sans tenir pleinement compte de la situation et que vous donniez vos informations personnelles. Ces attaques sont conçues pour jouer avec vos émotions et vous faire réagir sous le coup de la peur, de la surprise ou de la colère, entre autres émotions. La meilleure chose que vous puissiez faire pour vous protéger est de vous arrêter et de réfléchir avant de réagir.

Attaques populaires d’hameçonnage vocal et par texto

Hameçonnage par texto — Escroquerie à la fausse offre d’emploi : de nombreuses escroqueries par hameçonnage profitent de la vulnérabilité des personnes à la recherche d’un emploi. Voici des exemples d’escroqueries courantes qui ont été signalées au Centre antifraude du Canada :

- Habillage de voiture

- Faux chèque

- Agent financier

- Client mystère

Toutes ces escroqueries impliquent le dépôt d’un faux chèque dans votre compte bancaire personnel, puis le dépôt de fonds dans un compte bancaire frauduleux. Avec l’escroquerie d’habillage de voiture, l’attaquant envoie un message affirmant que vous pouvez gagner de l’argent en apposant sur votre véhicule le logo d’une « entreprise ». Si vous répondez au message d’hameçonnage, vous recevrez des instructions supplémentaires ainsi que le chèque falsifié par la poste. Les escroqueries de client mystère et de chèque contrefait fonctionnent de la même manière, bien qu’avec l’escroquerie de client mystère, on puisse vous demander d’acheter des cartes prépayées ou des cartes-cadeaux en plus de déposer le chèque contrefait. L’escroquerie de l’agent financier implique de recevoir de l’argent de comptes compromis ou d’autres victimes de fraude sur votre compte personnel. Il vous est ensuite demandé de déposer l’argent, souvent sous forme de Bitcoins, à un représentant de l’entreprise. Cette escroquerie est particulièrement dangereuse, car vous pouvez être arrêté pour blanchiment d’argent.

Hameçonnage vocal – Fraude des contribuables ou de l’Agence du revenu du Canada: pour cette escroquerie par hameçonnage vocal, le cybercriminel prétendra travailler pour l’ARC ou Services Canada et prétendra qu’un ou plusieurs des éléments suivants se sont produits dans son compte :

- Un numéro d’assurance sociale compromis

- Une affaire en instance contre vous

- Un arriéré d’impôts

- Des soldes impayés

- Un crime financier a été commis

L’appelant profitera généralement de votre crainte que quelque chose de terrible se soit produit en raison d’un numéro d’assurance sociale compromis, ou d’avoir commis, sans le savoir, un crime financier. Les attaquants utilisent cette peur pour exiger que vous leur divulguiez des informations sensibles, sans quoi ils affirment que vous risquez d’être arrêté, expulsé ou condamné à une amende. Habituellement, le paiement est demandé sous forme de cartes prépayées ou de cartes-cadeaux, de Bitcoins ou de transferts effectués à l’aide d’entreprises de services monétaires.

Le CAFC tient à jour une liste détaillée des escroqueries par hameçonnage signalées, que vous pouvez trouver ici.

Comment vous protéger des attaques d’hameçonnage vocal et par texto

Il existe de nombreuses façons de vous protéger contre les attaques d’hameçonnage vocal et par texto. Voici les trois principales façons dont vous pouvez éviter d’être victime de tentatives d’hameçonnage vocal et par texto :

- Faites preuve de bon sens : arrêtez-vous et réfléchissez avant de répondre aux messages vocaux, aux messages texte ou aux courriels. Rappelez-vous que les cybercriminels veulent que vous agissiez rapidement et sans réfléchir; en fait ils comptent même là-dessus!

- Ne répondez pas : si vous recevez un appel d’un numéro qui est bloqué, qui semble inconnu ou suspect, n’y répondez pas! En ne répondant pas ou en raccrochant un appel, vous protégez vos informations privées et frustrez les cybercriminels qui veulent les voler.

- Signalez-les : aux États-Unis, la Federal Trade Commission facilite le signalement des escroqueries téléphoniques. Au Canada, si vous avez été victime d’une arnaque, d’une fraude ou de la cybercriminalité, communiquez avec votre service de police local. Nous vous encourageons également à signaler un cas de fraude, de fraude ou de cybercriminalité en soumettant un rapport au Centre antifraude du Canada.

Au Canada, la plupart des cybercrimes et des fraudes ne sont pas signalés à la police. En 2020, la GRC a commencé à mettre à l’essai un nouveau système de signalement de la cybercriminalité et de la fraude qui devrait être pleinement opérationnel en 2023-2024. Ce nouveau système permettra aux enquêteurs d’établir des liens entre des rapports similaires, d’identifier et de classer par ordre de priorité les menaces et les incidents signalés, ainsi que de coordonner les enquêtes aux niveaux national et international.