Attention, les attaques phishing par SMS se multiplient

Le smishing est la contraction de “SMS” et “phishing”. Comme une attaque phishing, ou hameçonnage, une offensive de smishing vise à collecter les identifiants et les données sensibles d’un utilisateur. Pour récupérer ces informations, les pirates envoient des messages factices usurpant l’identité d’un individu ou d’une entité.

Ces dernières années, les cybercriminels se sont notamment fait passer pour la poste, l’assurance maladie, un opérateur téléphonique ou encore un service de streaming populaire, comme Netflix. Plus récemment, les hackers n’ont pas hésité à tirer sur la corde sensible en prétendant être des enfants. Dans ce cas-là, la victime reçoit un message d’un numéro inconnu indiquant que son fils ou sa fille a cassé son téléphone. De cette manière, ils parviennent à endormir la vigilance et la méfiance de leurs cibles. Celles-ci ne tardent pas à contacter le numéro inconnu pour s’enquérir de la position de leur enfant.

À lire aussi : Attention, de plus en plus de QR codes cachent une attaque phishing

Une explosion de plus de 300 % dans le monde

D’après les recherches effectuées par Proofpoint, le nombre d’attaques de smishing a explosé au cours de l’année écoulée. Les chercheurs ont constaté une hausse de 312 % des offensives dans le monde. Certains pays ont même enregistré une augmentation supérieure à 600 %. C’est le cas du Royaume-Uni, où les SMS se faisant passer pour un enfant se multiplient.

Comme l’explique Proofpoint, il s’agit d’une technique très efficace d’ingénierie sociale. Dans ce type d’arnaque, les voleurs utilisent la manipulation psychologique plutôt que des astuces informatiques pour obtenir des informations confidentielles. En l’occurrence, les criminels exploitent « l’anxiété parentale pour contourner notre prudence habituelle », relayer la cible sur WhatsApp, et finalement réclamer un transfert d’argent de toute urgence.

« Les cybercriminels consacrent beaucoup de temps et d’efforts (souvent des semaines) à établir la confiance avec leurs victimes ciblées en entamant ce qui commence comme une conversation bénigne et inoffensive conçue pour tromper leur vigilance et contourner les défenses techniques et humaines. Il existe de nombreuses variantes de ces attaques et tous les utilisateurs de portables doivent être particulièrement sceptiques face à tout message provenant d’expéditeurs inconnus », explique Stuart Jones, chercheur chez Proofpoint.

Dans d’autres pays, comme les États-Unis, les experts ont découvert de nombreux SMS frauduleux se faisant passer pour « un ami ou une connaissance d’affaires » cherchant à entrer en contact. D’ailleurs, les escroqueries au recrutement se sont également multipliées. Dans ce cas-ci, le message prétend provenir d’un recruteur à la recherche d’un employé. Après quelques messages, le faux recruteur relaiera la victime sur une application de messagerie instantanée. Ils chercheront alors à soutirer de l’argent à la cible en prétextant des frais à avancer. En parallèle, ils vont s’emparer d’une montagne de données personnelles.

Une croissance en berne

Proofpoint a par ailleurs constaté une baisse de la croissance du nombre d’attaques phishing par SMS. D’après les chercheurs, la croissance du smishing s’est étiolée « au cours des 18 derniers mois dans de nombreuses régions ». Dans la plupart des pays, le nombre d’attaques cesse progressivement d’augmenter à mesure que le phishing par SMS s’inscrit durablement dans le monde du cybercrime.

En clair, les attaques de smishing sont tout simplement devenues omniprésentes, regrette Proofpoint. Surtout, les opérations sont devenues de plus en plus sophistiquées. De nombreux escrocs s’appuient en effet sur l’intelligence artificielle générative pour rédiger des messages convaincants. En miroir de Proofpoint, Europol, l’agence européenne de police criminelle, estime que le monde criminel a massivement adopté l’IA générative. Avec des outils comme ChatGPT, ou le dangereux WormGPT/ FraudGPT, ils peuvent rédiger des messages de phishing persuasifs et exempts de fautes, ce qui complique leur détection…