Maître-chanteur 2.0

Depuis quelques mois, les arnaques à la webcam et aux photos volées connaissent un boom. Digne d’un mauvais thriller, ces emails jouent sur la peur et la honte pour vous faire chanter.
Comment éviter le piège...

Véritable arnaque mais faux piratage

De plus en plus d’internautes reçoivent des messages frauduleux s’attaquant à leur intimité. Leur nouvelle cible ? Les utilisateurs francophones d’où des emails à la traduction douteuse. Ci-dessous le courriel reçu par Marie (un prénom d’emprunt).

De : marie.dubureau@atb-avocat.com
Envoyé : mercredi 20 février 2019 08:15
À : Marie SNOW <marie.dubureau@atb-avocat.com>
Objet : Alerte de sécurité!

Je vous salue!

J'ai de mauvaises nouvelles pour vous.
10/11/2018 - ce jour-là, j'ai piraté votre système d'exploitation et obtenu un accès complet à votre compte à partir: marie.dubureau@atb-avocat.com

Pas la peine de changer le mot de passe, mon logiciel malveillant l'intercepte à chaque fois.

Comment c'était ?
Le logiciel du routeur auquel vous étiez connecté ce jour-là comportait une vulnérabilité.
J'ai d'abord piraté ce routeur et y ai placé mon code malveillant.
Lorsque vous êtes entré sur Internet, mon cheval de Troie était installé sur le système d'exploitation de votre appareil.

Après cela, j'ai effectué une sauvegarde complète de votre disque (j'ai tout votre carnet d'adresses, l'historique des sites de visionnage, tous les fichiers, les numéros de téléphone et les adresses de tous vos contacts).

Il y a un mois, je voulais verrouiller votre appareil et demander un peu d'argent pour le déverrouiller. Mais j’ai jeté un œil sur les sites que vous visitez régulièrement, et j’ai eu grand plaisir à voir vos ressources préférées. Je parle de sites pour adultes.

Après cela, une idée m'est venue à l'esprit.
J'ai fait une capture d'écran du site Web intime où vous contentez-vous (comprends-tu ce que je veux dire?). Après cela, j'ai fait une vidéo de votre plaisir (en utilisant la caméra de votre appareil). Il s'est avéré magnifique!

Je suis fermement convaincu que vous ne voudriez pas montrer ces photos à vos parents, amis ou collègues. Je pense que 328€ est une très petite somme pour mon silence.
En plus, j'ai passé beaucoup de temps sur toi!

J'accepte de l'argent uniquement en Bitcoins.
Mon portefeuille BTC: 10EOAbSboaXXXXXXxxxxxXXXXxxx

Vous ne savez pas comment reconstituer un portefeuille Bitcoin?
Dans n'importe quel moteur de recherche, écrivez "comment envoyer de l'argent à un portefeuille de la BTC". C'est plus facile que d'envoyer de l'argent à une carte de crédit!

Pour le paiement, vous avez un peu plus de deux jours (exactement 50 heures).
Ne vous inquiétez pas, la minuterie commencera au moment où vous ouvrez cette lettre. Oui, oui .. Cela a déjà commencé!

Après paiement, mon virus et vos photos sales avec vous s’autodétruisent automatiquement.
Si je ne reçois pas le montant spécifié de votre part, votre appareil sera bloqué et tous vos contacts recevront une photo avec vos "joies".

Je veux que tu sois prudent.
- N'essayez pas de trouver et de détruire mon virus! (Toutes vos données sont déjà téléchargées sur un serveur distant)
- N'essayez pas de me contacter (ce n'est pas faisable, je vous ai envoyé un email depuis votre compte)
- Divers services de sécurité ne vous aideront pas. formater un disque ou détruire un périphérique ne vous aidera pas non plus, puisque vos données sont déjà sur un serveur distant.

P.S. Je vous garantis que je ne vous dérangerai plus après le paiement, car vous n'êtes pas ma seule victime.
C’est un code d’honneur des hackers.

À partir de maintenant, je vous conseille d'utiliser de bons antivirus et de les mettre à jour régulièrement (plusieurs fois par jour)!

Ne soyez pas en colère contre moi, tout le monde a son propre travail.
Adieu.

Cet email, supposé avoir été envoyé par un « hacker », n’est en réalité qu’une arnaque, un mensonge numérique. Rien n’a été volé, rien n’a été consulté, il s’agit là de « phishing », procédé visant littéralement à « hameçonner » une victime par un ou plusieurs biais : la menace, la récompense, l’erreur, etc.

Le phishing est le plus souvent matérialisé par l’envoi de courriels, comportant ou non des fautes d’orthographe, mais dont la finalité est toujours d’abuser de vous, le cybercriminel se faisant passer pour un organisme, ou une personne de confiance.

Dans le cas de Marie, il s’agit d’un phishing utilisant une technique déjà employée dans d’autres domaines (la téléphonie, les réseaux informatiques, etc.) : le « spoofing ». Le « spoofing » est un terme anglais utilisé pour dénoter l’usurpation d’identité électronique. Il s’agit de se faire passer pour quelqu’un d’autre et de commettre des délits via Internet. L’e-mail « spoofing » consiste à envoyer des mails en utilisant des adresses e-mail existantes (dans notre exemple, l’adresse mail professionnelle de Marie), afin de mieux tromper le destinataire.

Que faire si je reçois ce type de courriel ?

Ne pas paniquer, et ne surtout pas payer !
Enfin, signalez la tentative de chantage via la plateforme gouvernementale : https://www.internet-signalement.gouv.fr 

Comment prévenir ce type d’attaque et me protéger ?

Si vous disposez d’un service informatique, soumettez-leur la difficulté et une solution vous sera apportée sur la base des fonctionnalités existantes (DKIM¹, SPF², DMARC³).

Sachez que dans la grande majorité des cas, votre adresse n’est pas trouvée de façon aléatoire. Les trois cas les plus probables sont :

• une infection/infiltration en interne: un logiciel malveillant est présent ou a été présent sur votre système, et ainsi un cybercriminel a pu récupérer votre adresse de messagerie ;
• une infection/infiltration en externe : une entreprise, un particulier, plus généralement l’un de vos contacts a été victime d’un programme malveillant et votre adresse de messagerie était présente dans le carnet d’adresses qui a été récupéré ;
• un robot/programme : un programme à récupérer votre adresse de messagerie sur un site/forum internet afin de constituer une base de données qui sert aux emaillings d’un cybercriminel.

Au niveau utilisateur, des réponses simples et peu onéreuses (voire gratuites) vous permettent déjà de sécuriser votre infrastructure :

1. Maintenez à jour votre système d’exploitation (Windows, Linux, IOS, Android, etc. ;) sur tous vos appareils (mobile compris).

2. Maintenez à jour votre antivirus sur tous vos appareils (mobile compris).

3. Adoptez une politique de mot de passe solide et fiable (ref site ANSSI https://www.ssi.gouv.fr/guide/mot-de-passe/)

4. N’ouvrez jamais les courriels en provenance d’une adresse de messagerie inconnue, et ne cliquez jamais sur les liens contenus dans les courriels si vous avez le moindre doute sur sa provenance.

5. Adoptez une hygiène de navigation sur Internet saine (exit les sites de téléchargements ou de streaming illégaux)

6. Masquez l’objectif de votre webcam quand vous ne l’utilisez pas (un bout de scotch peut suffire).

Enfin, dans certains cas, le chantage à la webcam ou aux photos volées peut être bien réel. Pour aider les victimes de ces cas réels, la CNIL a publié un article « Réagir en cas de chantage à la webcam » indiquant les bonnes pratiques à adopter en cas de chantage.

¹ Le DKIM (DomainKeys Identified Mail) qui permet à votre serveur de messagerie de valider l’identité d’un expéditeur via une authentification plus fiable.
² Le SPF (Sender Policy Framework) qui permet de définir les serveurs habilités à délivrer des courriels pour le compte de votre nom de domaine (ex : @atb-avocat.com dans notre exemple).
³ Le DMARC (Domain-based Message Authentication, Reporting and Conformance) qui pousse encore plus le niveau de sécurité en permettant de spécifier des règles strictes de délivrance des courriels.