Méfiez-vous de l'arnaque Apple «Merci pour votre commande»

Certaines campagnes de cybercriminalité sont si efficaces que de temps en temps, les pirates et les escrocs en ligne décident de les réutiliser. C'est apparemment le cas de l'une des nombreuses escroqueries par phishing ciblant les utilisateurs d'Apple. La campagne a été vue pour la première fois en 2016, mais des chercheurs de la branche latino-américaine d'ESET l'ont récemment vu refaire surface. Pour le moment, il semble viser uniquement les utilisateurs hispanophones, et il faut dire qu'une partie de l'ingénierie sociale utilisée est assez bonne.

Les hameçonneurs tentent de tromper les victimes en leur faisant croire qu'elles ont acheté un pack de papier peint

Les e-mails sont conçus pour sembler provenir d'Apple, et le formatage ressemble à une facture. Effectivement, le sujet dit "Merci pour votre commande" et le corps dit à l'utilisateur qu'un pack de fonds d'écran et de thèmes a été acheté via son compte. Les détails sont bien pensés.

Il est peu probable que les victimes aient désespérément besoin d'un ensemble de papiers peints, surtout compte tenu du prix, qui, indique l'e-mail, est un peu plus de 11 €. Il y a de fortes chances que le destinataire souhaite cliquer sur le lien "Annuler maintenant".

La campagne de phishing essaie d'attirer des tonnes d'informations personnelles des utilisateurs

S'ils le font, ils atterriront sur ce qui semble être une page de connexion très convaincante, qui demande leur identifiant Apple et leur mot de passe. Comme vous pouvez l'imaginer, toutes les données entrées dans les champs sont envoyées directement aux hameçonneurs et, normalement, ils seraient plutôt satisfaits d'avoir les informations de connexion des victimes. Dans ce cas, cependant, ils ont décidé d'essayer d'obtenir plus de détails de leurs victimes.

Après la saisie des noms d'utilisateur et des mots de passe, les victimes voient une alerte selon laquelle le compte de l'utilisateur a été verrouillé pour des raisons de sécurité. Pour le déverrouiller, la victime doit renseigner son adresse physique, ses coordonnées de paiement et même le code de sécurité de sa carte bancaire. Enfin, la page de phishing indique à l'utilisateur que pour vérifier son identité, il aura besoin d'un selfie et de photos du document d'identité et de la carte de crédit de la victime.

La campagne a de nombreux défauts

Les hameçonneurs ont apparemment commencé à envoyer les faux e-mails la semaine dernière, et le domaine utilisé pour héberger les pages d'hameçonnage a été enregistré quelques jours avant le début de la campagne. Comme nous l'avons déjà mentionné, cependant, les autres composants ont été repérés pour la première fois en 2016, et la décision des escrocs de relancer cette campagne de phishing particulière est un peu étrange car elle n'est pas exactement parfaite.

En effet, les astuces d'ingénierie sociale semblent fonctionner, mais il existe un certain nombre d'autres facteurs qui peuvent rendre les gens suspects. Le volume même des informations personnelles demandées, par exemple, pourrait soulever beaucoup de sourcils, et il y a des erreurs classiques qui peuvent vous dénoncer.

La page de phishing semble convaincante, mais elle n'est pas fournie via HTTPS, ce qui est assez visible sur la plupart des navigateurs modernes. De plus, bien qu'il semble convaincant, l'e-mail contient quelques erreurs grammaticales et les hameçonneurs étaient apparemment trop distraits lorsqu'ils traduisaient automatiquement le contenu, car bien que la plupart du message soit en espagnol, l'un des paragraphes est en portugais.

Dans l'ensemble, c'est loin d'être la meilleure campagne de phishing que nous ayons jamais vue, mais le fait que les escrocs l'ont déclenchée signifie qu'ils croient que c'est assez bon pour attraper certaines personnes. Sous-estimer la menace ne peut vous apporter que des maux de tête.