Les utilisateurs Apple sont mis en garde contre une fraude d’Ingénierie Sociale dans laquelle des criminels se font passer pour des représentants bancaires et utilisent FaceTime pour pousser leurs victimes à exposer des informations financières sensibles.
- L’arnaque commence souvent par une fausse alerte de fraude
- Connaître des informations personnelles ne prouve rien
- La conversation passe à FaceTime
- Le partage d’écran est l’étape critique
- Les codes temporaires peuvent contourner une importante protection
- L’urgence est un signal d’alerte majeur
- Ne pas appeler le numéro indiqué dans un message suspect
- Ne jamais partager un écran bancaire avec un appelant inattendu
- Apple affirme que les identifiants doivent rester privés
- Les appels FaceTime suspects peuvent être signalés à Apple
- Si des informations ont déjà été exposées, il faut agir vite
- FaceTime est le canal, pas la vulnérabilité
Cette attaque ne nécessite pas de casser la sécurité de FaceTime, de contourner le chiffrement d’Apple ou de pirater un iPhone à distance.
Les criminels ciblent plutôt la confiance de l’utilisateur.
Ils cherchent à convaincre le véritable titulaire du compte que son compte bancaire ou sa carte de crédit est menacé et qu’une coopération immédiate est nécessaire.
Une fois que la victime pense parler à un véritable employé de banque, l’escroc peut déplacer la conversation vers FaceTime puis demander le partage d’écran.
Si la victime ouvre son Online Banking pendant que l’écran est visible, des mots de passe, numéros de compte et codes de sécurité temporaires peuvent être exposés.
Lire plus
Le stratagème montre pourquoi la Cybersécurité moderne doit protéger les utilisateurs non seulement contre les Malware et les vulnérabilités de Software, mais aussi contre la manipulation psychologique.
L’arnaque commence souvent par une fausse alerte de fraude
La première étape se déroule généralement par SMS ou téléphone.
La victime peut recevoir un message affirmant qu’une activité suspecte a été détectée sur un compte bancaire ou une carte de crédit.
Le message peut mentionner une opération prétendument non autorisée et demander au destinataire d’appeler immédiatement un numéro.
Ce numéro ne doit pas être considéré automatiquement comme fiable.
Si le message a été créé par des criminels, il peut conduire directement au groupe organisant l’arnaque.
Dans d’autres cas, l’escroc appelle en premier et prétend travailler pour le service Fraud ou sécurité de la banque.
Il peut affirmer qu’une vérification supplémentaire est nécessaire avant de pouvoir stopper une transaction, protéger le compte ou annuler une activité non autorisée.
L’objectif est de créer de la peur avant que la victime ait le temps de vérifier indépendamment la situation.
Connaître des informations personnelles ne prouve rien
Un escroc sophistiqué peut déjà connaître certaines informations sur la personne ciblée.
Cela peut inclure son nom, son téléphone, son adresse, son employeur ou d’autres données apparemment privées.
Connaître ces informations ne prouve pas que l’appelant travaille pour la banque.
Les données personnelles peuvent provenir de Data Breaches, de bases publiques, de Social Media, d’anciennes fraudes ou d’autres sources.
Les attaquants utilisent ces éléments pour paraître plus crédibles.
Si le prétendu représentant connaît le nom et plusieurs détails personnels de la victime, le début de la conversation peut sembler authentique.
Apple avertit également que les auteurs d’Ingénierie Sociale utilisent souvent des informations personnelles pour gagner la confiance de leurs cibles avant de demander des identifiants sensibles ou de l’argent.
La conversation passe à FaceTime
Après avoir établi le contact, le criminel peut suggérer de passer d’un appel vocal classique à FaceTime.
Ce changement peut renforcer l’impression de légitimité parce que FaceTime est un service familier utilisé quotidiennement par les propriétaires d’iPhone, d’iPad et de Mac avec leur famille, leurs amis et leurs collègues.
Une conversation en direct donne aussi davantage de possibilités à l’escroc de répondre aux inquiétudes de la victime.
Si celle-ci commence à douter, l’attaquant peut immédiatement la rassurer, répéter que le compte est en danger et continuer à exercer une pression.
L’escroc peut prétendre que FaceTime est nécessaire pour la vérification d’identité, l’enquête sur une fraude ou une autre procédure de sécurité bancaire.
Mais FaceTime ne permet pas de confirmer que l’interlocuteur travaille réellement pour l’institution financière qu’il prétend représenter.
Le partage d’écran est l’étape critique
La phase la plus dangereuse arrive lorsque le prétendu représentant bancaire demande à la victime de partager son écran.
Screen Sharing est une fonction légitime de FaceTime et peut être utile avec des personnes connues et de confiance.
Elle devient dangereuse lorsqu’un inconnu regarde l’écran.
L’escroc peut demander à la victime d’ouvrir le site de la banque ou l’application de Mobile Banking et de se connecter alors que le partage reste actif.
Les informations financières affichées par la banque peuvent alors devenir visibles pour l’attaquant.
Selon le service, il peut s’agir des numéros de compte, soldes, opérations récentes, informations de connexion et codes temporaires.
CBS News a rapporté que les escrocs utilisant cette technique peuvent regarder en temps réel les victimes exposer leurs mots de passe, numéros de compte et même des codes de sécurité à usage unique.
Les codes temporaires peuvent contourner une importante protection
De nombreux établissements financiers utilisent Multi-Factor Authentication pour protéger les comptes en ligne.
Un Password seul peut donc ne pas suffire au criminel.
L’attaquant peut également avoir besoin d’un One-Time Verification Code envoyé sur l’appareil de confiance du client.
C’est pourquoi ces codes temporaires ont une grande valeur pour les fraudeurs.
Le modèle de sécurité suppose que seul le véritable titulaire du compte voit et utilise ce code.
S’il apparaît pendant le partage d’écran ou si la victime est convaincue de le lire à voix haute, l’attaquant peut obtenir l’information supplémentaire nécessaire à une connexion ou une transaction non autorisée.
Ces codes doivent être protégés avec le même niveau de confidentialité qu’un mot de passe.
Un prétendu employé bancaire ne devrait pas demander au client d’exposer ses informations d’Authentication via FaceTime.
L’urgence est un signal d’alerte majeur
La pression est l’une des caractéristiques les plus constantes des arnaques d’Ingénierie Sociale.
L’appelant peut affirmer que de l’argent est volé immédiatement, qu’une carte a été compromise, que le compte va être bloqué ou qu’un transfert doit être stoppé dans quelques minutes.
Cette urgence est volontaire.
L’attaquant ne veut pas que la victime raccroche, contacte elle-même la banque ou demande conseil à quelqu’un d’autre.
Apple avertit que les escrocs créent fréquemment un fort sentiment d’urgence afin de priver les utilisateurs de temps pour réfléchir.
Une institution financière légitime ne devrait pas s’opposer à ce qu’un client termine un appel inattendu puis rappelle via un numéro officiel.
Si l’interlocuteur insiste pour que la victime reste en ligne, ce comportement doit lui-même être considéré comme suspect.
Ne pas appeler le numéro indiqué dans un message suspect
Lorsqu’un message inattendu prétend provenir d’une banque et fournit un numéro, il ne faut pas l’utiliser automatiquement.
La méthode la plus sûre consiste à rechercher indépendamment les coordonnées de la banque.
Le numéro imprimé au dos d’une carte de débit ou de crédit est une possibilité.
L’application officielle ou le site officiel de l’établissement peuvent également fournir les coordonnées légitimes.
Le principe important consiste à créer un nouveau canal de communication qui ne provient ni de l’appelant suspect ni du message.
Cela empêche le même criminel de contrôler à la fois l’alerte et la prétendue solution.
Ne jamais partager un écran bancaire avec un appelant inattendu
Une demande non sollicitée de partager l’écran d’un iPhone, iPad, Mac ou ordinateur pendant une conversation bancaire doit être considérée comme un Red Flag majeur.
Une banque légitime n’a pas besoin de regarder un client saisir son Password d’Online Banking.
Il faut aussi se méfier si quelqu’un demande d’ouvrir une Payment App, un compte d’investissement, un Cryptocurrency Wallet ou tout autre service financier pendant le partage.
Refuser le Screen Sharing peut stopper une partie centrale de l’attaque.
Si le prétendu représentant affirme que le compte ne peut pas être protégé sans accès à l’écran, il faut raccrocher puis contacter soi-même la banque.
Apple affirme que les identifiants doivent rester privés
Les recommandations officielles d’Apple indiquent de ne jamais partager Passwords, Security Codes ou autres informations d’Account Security.
Apple précise qu’elle ne demandera jamais un Apple Account Password ou un Verification Code pour fournir du Support.
La société recommande également de ne pas saisir des identifiants sur un site simplement parce qu’une personne au téléphone le demande.
La même règle doit être appliquée aux comptes bancaires.
Passwords, One-Time Codes et informations de Recovery servent à confirmer que le véritable titulaire autorise l’accès.
Les communiquer à un tiers peut affaiblir les protections conçues pour sécuriser le compte.
Les appels FaceTime suspects peuvent être signalés à Apple
Apple propose un processus spécifique pour signaler des appels FaceTime suspects.
Les utilisateurs recevant un appel suspect semblant provenir d’une banque ou d’une institution financière peuvent capturer une Screenshot des informations de l’appel et la transmettre à Apple.
Les liens FaceTime suspects reçus via Messages ou Mail peuvent également être signalés.
Apple recommande que la Screenshot inclue le numéro de téléphone ou l’Email Address ayant envoyé le lien.
Conserver ces informations permet de documenter la tentative de fraude sans avoir à poursuivre la conversation avec l’escroc.
Si des informations ont déjà été exposées, il faut agir vite
Toute personne pensant qu’un Password ou Verification Code a été exposé doit agir rapidement.
Le mot de passe bancaire doit être modifié immédiatement.
Si le même Password a été utilisé sur d’autres sites ou services, chacun doit recevoir un mot de passe différent et unique.
Il faut examiner les activités bancaires récentes pour repérer les transactions inconnues.
Si de l’argent a déjà été transféré ou qu’une activité suspecte apparaît, le service Fraud de la banque doit être contacté dès que possible via un numéro vérifié.
Un signalement rapide donne à l’établissement davantage de temps pour enquêter, protéger le compte et déterminer si les fonds peuvent être récupérés.
FaceTime est le canal, pas la vulnérabilité
L’existence d’une arnaque bancaire via FaceTime ne signifie pas que FaceTime lui-même a été compromis techniquement.
Les criminels utilisent un outil de communication légitime pour mener une opération d’Ingénierie Sociale.
Cette distinction est importante.
Une plateforme sécurisée ne peut pas protéger totalement un utilisateur convaincu de révéler volontairement des informations.
Il faut donc évaluer ce que demande l’interlocuteur plutôt que de supposer qu’il est fiable simplement parce que la conversation se déroule sur un service Apple familier.
Toute demande inattendue de Password, One-Time Code, Screen Sharing ou transfert immédiat doit être considérée comme un signal d’alerte, qu’elle arrive via FaceTime, téléphone, Email ou SMS.
