Une escroquerie par phishing Citibank tente d'extraire des informations personnelles

Une autre escroquerie par phishing ciblant les clients de Citibank a récemment fait le tour. Il a été découvert par un chercheur en passant par la poignée Twitter MalwareHunterTeam, et le site Web de nouvelles Cybersécurité BleepingComputer a également rapporté sur elle. MalwareHunterTeam a annoncé sur Twitter que la page a maintenant été supprimée, mais l'examen de l'arnaque pourrait encore être bénéfique, car cela nous donnera une idée des techniques intelligentes que les hameçonneurs utilisent de nos jours, et cela peut également nous montrer quel genre d'erreurs ils faire. Il y avait beaucoup de fonctionnalités intelligentes et quelques erreurs dans cette campagne particulière.

Malheureusement, nous ne savons pas qui a organisé l'attaque, et nous n'avons aucune idée du type d'astuces d'ingénierie sociale qu'ils ont utilisées pour attirer les victimes vers la page de phishing. Très probablement, l'arnaque commence par un e-mail, mais d'autres astuces ont également été utilisées dans le passé. Ce que nous savons, c'est que la page de phishing était autrefois hébergée sur update-citi [.] Com et qu'elle semblait assez convaincante.

Une campagne de phishing qui recueille une tonne d'informations personnelles

Les captures d'écran que MalwareHunterTeam a partagées sur Twitter montrent que les personnes qui ont craqué pour l'arnaque ont traversé pas mal d'étapes. Tout d'abord, bien sûr, la fausse page de connexion qui demande à la victime le nom d'utilisateur et le mot de passe de son compte bancaire. Cependant, lorsque les informations de connexion sont transmises, la page malveillante n'arrête pas de demander des informations.

La victime est invitée à remplir un formulaire avec son nom, sa date de naissance, son adresse physique et les quatre derniers chiffres de son numéro de sécurité sociale. Après cela, ils doivent saisir les détails de leur carte bancaire dans un autre formulaire. Une fois cela fait, la page leur dit qu'elle essaie de les authentifier - un processus qui peut prendre jusqu'à une minute.

En réalité, personne ne sait exactement ce qui se passe pendant cette période, mais les chercheurs spéculent que pendant que la victime attend d'être "authentifiée", les escrocs essaient d'utiliser les informations de connexion fournies pour pénétrer dans leur compte. Bien sûr, ils ne peuvent pas compromettre immédiatement les comptes des clients qui ont activé l' authentification à deux facteurs (2FA), mais cela ne les empêchera pas d'essayer.

Citibank détecte la tentative de connexion et la victime reçoit un code PIN unique (OTP) sous forme de SMS. Au bout d'une minute environ, la page de phishing demande le protocole OTP, tout comme Citibank. Parce qu'ils pensent qu'ils se connectent au bon endroit, le client le remet et est redirigé vers le vrai site Web de la Citibank. Pendant ce temps, les hameçonneurs disposent de toutes les informations dont ils ont besoin pour compromettre le compte de l'utilisateur.

Les fonctionnalités intelligentes

La chose la plus notable de cette campagne est le fait qu'elle essaie de contourner le système 2FA de Citibank. L'authentification à deux facteurs est souvent considérée comme le seul espoir de l'utilisateur dans un scénario de phishing, mais dans ce cas, les escrocs ont réussi à négocier autour de lui d'une manière assez convaincante.

Ils ont également fait ressembler la page de phishing à la réalité. Les logos et les polices semblent authentiques, et la mise en page est assez similaire au portail en ligne de Citibank. Les hameçonneurs ont également installé un certificat SSL sur la page, ce qui signifie que les navigateurs ont affiché l'icône de verrouillage dans la barre d'adresse. Pendant des années, le cadenas n'a pas été fiable en tant que signe de légitimité d'un site Web, mais certaines personnes continuent de penser qu'il peut garantir leur sécurité.

Comme vous pouvez le voir, l'équipe de phishing qui a lancé l'attaque a décidé de ne pas s'arrêter aux données de connexion et de demander aux victimes de nombreuses autres informations personnelles et financières. Cela signifie que même après que le client se soit rendu compte qu'il a été victime d'une arnaque et qu'il sécurise son compte, les hameçonneurs auront toujours suffisamment d'informations pour effectuer un vol d'identité.

Il faut dire, cependant, que cette stratégie "pour un sou, pour une livre" pourrait se retourner si la victime potentielle faisait plus attention à qui elle donnait ses données.

Les erreurs

Le fait que nous ne sachions pas comment commence l'attaque réelle signifie que nous n'avons pas la configuration d'ingénierie sociale complète. Quoi qu'il en soit, il est peu probable que Citibank demande les informations personnelles des clients existants, et elle est encore moins susceptible de demander les détails des cartes de crédit qu'elle a émises. Si vous gardez cela à l'esprit, vous avez de meilleures chances de réaliser que quelque chose ne va pas et de cliquer sur le bouton "Fermer" avant qu'il ne soit trop tard.

Les utilisateurs les plus attentifs remarqueront également les erreurs grammaticales et typographiques visibles sur presque toutes les pages. Il est ironique de constater que les escrocs continuent de consacrer de plus en plus de temps et d'efforts à l'aspect technique de leurs campagnes, mais ils ne semblent pas disposés à investir dans quelques cours de grammaire. Le niveau d'anglais écrit du phishing moyen est si bas que les fautes de frappe et les phrases maladroites constituent désormais un indicateur assez fiable d'une arnaque. Cependant, ils ne sont pas aussi fiables que l'URL.

En effet, chaque attaque de phishing réussie est évitable avec un peu plus d'attention à la barre d'adresse. Un bon nombre de personnes ont déjà appris à rechercher l'icône de cadenas vert, mais pas assez semblent faire attention au domaine lui-même. Les hameçonneurs ont une tactique appelée typosquattage, qui consiste à utiliser des domaines qui ressemblent assez à la réalité, mais même cela ne sera pas suffisant pour vous tromper si vous êtes prudent.

Le phishing est une forme simple de cybercriminalité et vous protéger ne nécessite aucun outil ni aucune technique particulièrement complexes. En fin de compte, être prudent et prendre une seconde pour vous assurer que tout va bien pourrait faire la différence entre donner vos données et les garder en sécurité.