Un courriel anodin, une adresse semblant légitime, mais pourtant tout est faux. C’est le piège dans lequel sont tombés des centaines de clients du Crédit Agricole, la première banque de France. Cette campagne de phishing, révélée le 5 août par les chercheurs de Cybernews, cible directement les 21 millions de clients de l’établissement. Au moins 912 personnes ont déjà transmis leurs identifiants bancaires sans le savoir, et ce chiffre pourrait encore augmenter.
EN BREF
- 912 clients du Crédit Agricole victimes d’une attaque de phishing sophistiquée.
- Les pirates utilisent des outils professionnels pour contourner les filtres anti-spam.
- Un classement interne des escrocs, avec des primes pour les meilleurs, a été découvert.
Le scénario de cette escroquerie repose sur un classique du phishing : un message encourage les victimes à « renouveler l’enregistrement » de leur appareil de confiance, sous peine de perdre l’accès à leur compte. Bien que cette méthode soit courante, les hackers ont réussi à contourner les filtres anti-spam traditionnels.
Pour mener à bien leur opération, ils ont réussi à s’emparer de 149 clés API SendGrid volées ainsi que de trois comptes AWS compromis. Cela leur a permis d’envoyer environ 7 000 courriels par jour, se glissant derrière des adresses en apparence fiables, telles que celles commençant par « ne-pas-répondre ». Une méthode qui montre à quel point les internautes les plus vulnérables restent des cibles privilégiées.
Contrairement à ce que l’on pourrait penser, les identifiants bancaires récupérés par les escrocs n’étaient pas immédiatement utilisés pour vider les comptes. Ils servaient plutôt à affiner leur connaissance des victimes. En consultant le solde disponible, le nom de l’agence locale et même celui du conseiller bancaire, les pirates identifiaient les profils les plus rentables à exploiter.
Les chercheurs rapportent que les identifiants bancaires étaient utilisés principalement pour obtenir des données supplémentaires sur la victime. Les escrocs ont effectué au moins 83 paiements directement par téléphone, proposant un faux service personnalisé à chaque cible. Cette méthode rappelle d’autres arnaques téléphoniques qui se sont récemment multipliées.
Une découverte troublante a été faite lors de l’examen d’un serveur public utilisé par les hackers : un véritable classement interne des cybercriminels, organisé comme dans une entreprise classique. Au moins sept personnes auraient participé à ce stratagème, chacune étant évaluée selon les profits générés. Le membre le plus performant profitait d’une prime de 3 000 euros, à la manière d’un système de récompense d’« employé du mois ».
Cela démontre le niveau de professionnalisation atteint par certains réseaux de fraude, loin de l’image du pirate isolé agissant dans l’urgence. Les chercheurs de Cybernews soulignent une faille structurelle : « les organisations et entreprises françaises continuent de laisser des fichiers sensibles exposés dans des systèmes accessibles depuis internet », fournissant sans le vouloir les outils nécessaires à ces campagnes de phishing.
Chaque courriel suspect pourrait dissimuler un classement, une prime, une équipe entière. Face à une organisation aussi bien rodée, la vigilance individuelle demeure la meilleure arme. Un appel inattendu de votre banque mérite toujours d’être vérifié directement auprès de votre agence. Avez-vous déjà reçu ce type de message alarmant, vous demandant de « renouveler » un appareil ?