Les hackers ne se limitent plus aux e-mails pour voler vos données : la technique du phishing par SMS, ou smishing, est de plus en plus répandue.

Vous connaissez déjà probablement le phishing ou hameçonnage, cette technique qui consiste à tromper l’internaute par e-mail en se faisant passer pour un tiers de confiance. L’objectif du phishing est d’inciter la victime à fournir des informations personnelles et/ou bancaires pour en faire ensuite un usage frauduleux.

Désormais les hackers ne se limitent plus aux e-mails de phishing. Ils tentent également de tromper leurs victimes en utilisant d’autres canaux comme les SMS. En quoi consiste le phishing par SMS ? Comment fonctionne-t-il ? Comment se protéger du phishing par SMS? Voici nos conseils.

Qu’est-ce que le phishing par SMS?

Définition et objectifs du phishing par SMS

On utilise parfois le terme de « smishing », contraction de « SMS » et de « phishing », pour parler du phishing par SMS. Il s’agit tout simplement d’une variante du phishing par e-mail.

Peu importe le canal, par e-mail ou par SMS, l’objectif reste le même : inciter la victime à cliquer sur un lien et à saisir des informations confidentielles (identifiants de messagerie, coordonnées bancaires, par exemple) pour les utiliser dans un but malveillant (usurpation d’identité, vol d’argent, etc.).

Le cœur du phishing par SMS est donc le vol d’informations confidentielles.

Certains messages poussent la victime à cliquer sur un lien ou à ouvrir une pièce jointe infectée pour l’amener à télécharger un logiciel malveillant qui prendra le contrôle de son appareil. Les hackers pourront ainsi accéder à ses comptes et à ses données.

L’essor du phishing par SMS

Les internautes passent de plus en plus de temps sur leurs smartphones. Le SMS est de plus en plus utilisé par les marques à des fins marketing et par les diverses institutions avec lesquelles nous communiquons. Les hackers déplacent donc leurs efforts vers le smishing.

Face à la recrudescence des tentatives de phishing par SMS, certaines entreprises mettent en place des solutions techniques permettant de bloquer les connexions sur des sites malveillants à partir d’un smartphone. Les particuliers ne disposent généralement pas de ce genre de solutions. Ils sont également moins vigilants par SMS.

Lorsqu’on reçoit un SMS contenant un lien, il n’est pas possible de survoler ce lien pour vérifier s’il s’agit bien d’un lien légitime. De plus, les hackers cachent souvent les liens frauduleux derrière des URLs raccourcies.

Exemples de phishing par SMS

Voici trois exemples fréquents de smishing.

« Une connexion suspecte a été détectée sur votre compte. Cliquez sur ce lien pour vérifier l’activité de votre compte… »
« Nous avons essayé de livrer votre colis 00065492849, mais il n’y a aucun affranchissement. Suivez les instructions ici… »
« Après examen de votre dossier d’assurance maladie, nous avons déterminé que vous recevrez un remboursement de 235 € 30. Remplissez le formulaire de remboursement en cliquant sur ce lien… »

Comment fonctionne le phishing par SMS?

Le déroulement d’une tentative de smishing

Le mode opératoire des tentatives de phishing par SMS est globalement toujours le même. La victime reçoit un SMS suspect semblant émaner d’un tiers de confiance ou d’une institution connue (service de santé, impôts, banque, entreprise de livraison de colis, etc.).

Le message est censé éveiller la curiosité de la victime pour l’inciter à cliquer sur un lien. En cliquant sur ce lien, la personne est redirigée sur un site Internet frauduleux, qui reprend souvent l’apparence d’un site légitime. Une fois sur le site, la personne est invitée à saisir des informations personnelles et/ou bancaires (identifiants de connexion à sa messagerie, données de carte bancaire, etc).

En cliquant sur un lien ou en téléchargeant une pièce jointe frauduleuse, la victime peut également être amenée à télécharger un malware ou logiciel malveillant. Une fois téléchargé sur le téléphone, le malware peut récupérer des données personnelles comme des mots de passe ou des listes de contacts.

Tout comme le phishing, l’hameçonnage par SMS est un vecteur d’attaque qui ouvre la porte aux hackers. Après avoir récupéré des informations, ils peuvent ensuite mener des attaques plus poussées :

Prise de contrôle d’un compte pour intrusion dans un système informatique
Escroqueries bancaires
Usurpation d’identité

Les techniques utilisées par les hackers

La confiance : Les différents leviers utilisés par les hackers durant leurs arnaques par SMS et tentatives de smishing sont désormais bien connus. Ils s’appuient sur la faculté de l’être humain à faire confiance. C’est d’ailleurs pour cela qu’ils détournent l’identité d’institutions ou d’entreprises connues (Microsoft, Netflix, DHL, Google, etc.) pour tenter d’établir la confiance avec la victime ainsi que sa coopération.

L’urgence, la peur, la curiosité : Les hackers jouent également sur l’urgence (exemple : « Vous avez 48 heures pour valider ce virement »), la peur (« Sans action de votre part, votre compte sera suspendu ») ou encore la curiosité. Toutes ces techniques de manipulation psychologique sont regroupées sous l’expression « ingénierie sociale ».

L’appât du gain : Les SMS de phishing font souvent mention d’un remboursement, d’une somme ou d’un virement en attente, d’un gain potentiel, etc. L’être humain étant plutôt curieux, il est parfois très difficile de se retenir de cliquer avec ce genre d’arguments.

D’un point de vue un peu plus technique, le phishing (par mail comme par SMS) s’appuie sur l’utilisation de pièces jointes infectées ou de liens frauduleux menant sur des sites malveillants. Le design de ces sites Internet ressemble plutôt à celui des sites légitimes, mais certains indices peuvent parfois permettre à la victime de détecter qu’elle se trouve sur un site frauduleux : une lettre change dans l’URL du site, ou encore l’extension du site n’est pas correcte (« .com » au lien de « .org », par exemple).

Comment réagir face à un phishing par SMS?

Les principaux conseils pour se protéger du phishing par SMS

Faites preuve de vigilance en cas de suspicion de smishing.

Lorsque vous recevez un SMS douteux, n’agissez pas dans l’urgence, même si le ton du message est menaçant. Demandez-vous si l’information est correcte et cohérente. Vous recevez un SMS qui vous parle d’une livraison de colis, mais vous n’avez aucune commande en cours ? Vous recevez une notification de virement de la part de votre banque, mais vous n’attendez aucun paiement ? Vous recevez un SMS prétendument envoyé par un proche avec une demande d’aide financière ? Ces éléments doivent vous alerter.
Prenez contact avec l’institution en question par un autre canal de communication (par téléphone, par exemple) pour vous assurer de la véracité de l’information.
En cas de doute, ne cliquez pas sur les liens et n’ouvrez pas les pièces jointes.
Si jamais vous avez cliqué sur un lien et que vous êtes redirigé vers un site Internet qui vous semble suspect, ne remplissez pas les champs qui s’affichent. Vous éviterez ainsi de divulguer des informations personnelles, confidentielles ou bancaires.
Signalez le SMS frauduleux en envoyant une copie d’écran à l’adresse suspect@safeonweb.be. Votre signalement sera traité de manière automatique.

Que faire si vous êtes victime de phishing par SMS?

Vous avez divulgué des informations sensibles suite à un SMS de phishing ? Voici quelques conseils à suivre.

– Si vous avez diffusé vos coordonnées bancaires, avertissez votre banque le plus rapidement possible et faites bloquer vos codes d’accès. Si un paiement frauduleux a été effectué, faites opposition.

– Si vous avez diffusé des identifiants de connexion (celui de votre messagerie, par exemple), changez le mot de passe du compte en question. Dans certains cas, vous devrez peut-être faire une démarche de récupération de compte (en vous rendant sur une page d’aide). Si vous utilisez ce mot de passe pour d’autres comptes, changez-le également autant de fois que nécessaire et choisissez désormais des mots de passe différents pour chaque compte.

Si vous avez téléchargé un logiciel malveillant sur votre smartphone, vous devez le supprimer. De nombreux tutoriels disponibles en ligne vous aideront à le faire.

Notre assistance peut vous aider en cas de phishing par SMS : n’hésitez pas à visiter notre page produit Safe & Connected !