Ne cliquez pas! Ce SMS de livraison de repas pourrait être malveillant

Le COVID-19 a eu un impact sur presque toutes les industries. Malgré les restrictions de mouvement pendant la pandémie, le commerce électronique et les services de livraison de nourriture ont explosé. Alors que la demande de kits de repas à faire soi-même a augmenté, les escroqueries par usurpation d’identité ont également connu un pic. Récemment, la société de cybersécurité Tessian a averti les consommateurs d’être vigilants face à l’évolution des fraudes liées à la livraison de kits repas. Les escrocs trompent les utilisateurs en envoyant des messages de phishing (Smishing) qui apparaissent comme des offres de services de livraison de kits de repas légitimes tels que HelloFresh et Gousto au Royaume-Uni.

Dans smishing attaques, les fraudeurs envoient un message spécialement conçu (SMS) incitant l’utilisateur à cliquer sur une URL malveillante cachée dans le texte.

Les chercheurs de Tessian ont affirmé que la campagne d’hameçonnage des kits de repas cible les consommateurs involontaires, qui reçoivent des SMS malveillants et des textes WhatsApp leur demandant de donner leur avis pour gagner un prix. L’URL malveillante dans le message conduit les utilisateurs vers un faux site conçu pour voler des informations financières sensibles et des informations d’identification de compte.

Capitaliser sur les tendances de consommation

Des faux vaccins aux résultats des tests en passant par les offres d’emploi frauduleuses, les acteurs de la menace tirent pleinement parti de la pandémie. L’intention derrière ces escroqueries est de conduire les utilisateurs vers un site de phishing – de toutes les manières possibles – et de les inciter à saisir leurs données personnelles.

Message de smishing des attaquants

«Tout au long de la pandémie, nous avons vu des cybercriminels sauter sur des sujets d’actualité et se faire passer pour des marques bien connues, avec une sophistication croissante. Souvent, les escrocs enregistrent de nouveaux domaines Web pour créer de faux sites Web convaincants, attirer leurs victimes vers ces pages à l’aide d’escroqueries par hameçonnage, puis récolter des informations précieuses », a déclaré Tim Sadler, PDG et cofondateur de Tessian.

Les messages de smishing contiennent souvent des phrases accrocheuses telles que “vous avez gagné à une loterie” pour attirer l’attention des utilisateurs. La plupart de ces messages sont criblés de fautes d’orthographe.

«Les fautes d’orthographe sont un signe révélateur qu’elles ne proviennent pas d’une source légitime; les marques feront rarement de telles erreurs dans leurs campagnes marketing. Gardez également un œil sur les messages des entreprises et des clients provenant de numéros inconnus ou de numéros commençant par un indicatif régional tel que +44, car ils sont régulièrement associés à des textes frauduleux. Ces escroqueries sont de plus en plus difficiles à repérer, les auteurs proposant régulièrement de nouvelles tactiques pour convaincre les utilisateurs de suivre leur lien et de saisir leurs données confidentielles. En règle générale, si vous n’êtes jamais sûr que quelque chose est une arnaque, alors supposez que c’est le cas. Vous pouvez toujours vérifier la légitimité d’un message directement auprès de l’entreprise », a ajouté Sadler.

Mesures d’atténuation

Tessian a également recommandé certaines mesures de sécurité pour empêcher les attaques de smishing. Ceux-ci inclus:

• Si vous recevez un SMS vous demandant de suivre un lien, ignorez-le – au moins jusqu’à ce que vous ayez confirmé s’il est légitime ou non en contactant l’entreprise en question via un autre canal de communication.
• Inspectez le numéro de téléphone de l’expéditeur – les numéros inconnus ou les numéros longs à 11 chiffres commençant par un indicatif régional, tel que +44, sont souvent associés à des textes frauduleux. Les grandes institutions envoient généralement des messages texte à partir de numéros de code court.
• Vérifiez les fautes d’orthographe ou de grammaire. Les messages légitimes des grandes entreprises contiennent rarement des erreurs.
• Visitez les canaux de médias sociaux de l’entreprise pour voir qu’ils ont averti leurs clients des escroqueries potentielles qui ont circulé et recherchez si d’autres clients ont reçu le même message.

«Les escroqueries par SMS sont incroyablement convaincantes et sont de plus en plus fréquentes. De plus en plus d’entreprises utilisent les SMS comme canal de marketing pour atteindre leurs clients et les informer des commandes en ligne. Étant donné que 9 personnes sur 10 ouvrent leurs textes, il est probable que le message sera lu. Ainsi, même si vous ne vous attendez peut-être pas à une livraison, les escrocs tenteront toujours leur chance. Usurpant souvent l’identité d’une marque légitime et utilisant des méthodes sophistiquées telles que l’inclusion d’une URL raccourcie d’apparence légitime ou d’un appel à l’action urgent, ils espèrent que leurs cibles se sont inscrites à une forme de service de livraison à domicile, cliquent sur le lien et craquent pour l’arnaque », a déclaré Charles Brook, spécialiste du renseignement sur les menaces chez Tessian.