Hameçonnage : une agence se fait pirater sa boîte mail et piquer le fichier clients

Avec la généralisation du numérique et l'utilisation de plus en plus systématique d'Internet dans les entreprises, les escrocs ne manquent pas de possibilités... ni d’ingéniosité !

L'agence Kotan Voyages en a récemment fait l'amère expérience en se faisant pirater sa boite mail et voler l'ensemble de son fichier d'adresses de messagerie électronique de sa clientèle.

Tout a commencé avec la réception d'un e-mail d'une adresse qui mentionnait le terme « security » suivi d'une série de chiffres. "Dans le message, il nous était demandé de remettre à jour le mot de passe de notre boîte mail", explique Fadimé Kotan, gérante de l'agence de voyages.

Elle suit le lien indiqué et la procédure de modification du code d'accès sans se méfier.

Moins d'une semaine plus tard, le point de vente de Seine-Maritime (76), spécialisé dans la billetterie aérienne et maritime, reçoit un nouvel e-mail.

Cette fois, le message demande de communiquer l'ensemble des coordonnées (nom, prénom du gérant, adresse, numéros de téléphone...) de l'agence.

Face à cette nouvelle sollicitation, Fadimé Kotan se méfie et décide de ne pas y donner suite.

Pourtant les informations demandées sont finalement bien collectées par les escrocs.

La dirigeante pense que le propriétaire a répondu au message de son côté. A moins qu'ils les aient récoltées par une enquête en ligne.

"Le lendemain, nous avons été piratés. Le mot de passe avait été changé et nous n'y avions plus accès.

Nous avions tout de même encore la possibilité de modifier à nouveau le code d'accès, ce que nous avons fait", poursuit Fadimé Kotan.

Elle parvient alors à se reconnecter à la boîte mail de l'agence mais constate que tous les messages et tous les contacts en ont été effacés.

Dans un même temps, elle apprend que l'ensemble des contacts enregistrés dans le répertoire de sa boite mail a reçu un courriel signé par le Directeur de l'agence. Il y explique avoir oublié ses papiers d'identité et sa carte bancaire dans un taxi en Grèce.

Le prétendu dirigeant de l'entreprise demande ainsi de lui envoyer la somme de 1 000 € par le biais de Western Union pour l'aider à rentrer en France.

"L'un de nos contacts est tombé dans le piège et a versé les 1 000 € demandés", regrette Fadimé Kotan.

Depuis, l'agence de voyages a décidé de désactiver son adresse mail et d'en ouvrir une autre.

"Ce type d'attaque est appelé « hameçonnage » (phishing en anglais). Il consiste à envoyer un mail piégé à un très grand nombre de contacts en espérant qu'au moins l'un d'entre eux se fasse avoir", explique David Soria, ingénieur expert sécurité pour ITrust.

Ces escroqueries sont connues et extrêmement fréquentes. Selon l'expert sécurité, les logiciels anti-spam des divers serveurs de messagerie en bloquent une quinzaine, chaque jour, pour chaque adresse mail.

Elles sont généralement élaborées de la même manière : le message comprend un lien qui, si l'on clique, dessus, mène vers une page clone ou une page ressemblant à celle sur laquelle l'utilisateur se connecte habituellement pour modifier son mot de passe.

Sauf qu'il s'agit en réalité d'un leurre qui permet aux pirates informatiques de récupérer les codes d'accès et ensuite se servir librement de la messagerie de la victime.

Les dirigeants comme les employés des agences de voyages doivent se montrer très vigilants face à ce type d'attaques dont les conséquences peuvent s'avérer désastreuses autant pour son activité que pour ses clients.

Mis à part les services anti-spam déjà intégrés aux services de messagerie électronique, il n'existe pas vraiment d'outils pour lutter contre les tentatives hameçonnage.

"La meilleure solution pour une entreprise qui veut éviter de se faire avoir par ce type d'attaque réside dans la sensibilisation de son personnel", selon David Soria, ingénieur expert sécurité pour ITrust.

Son entreprise, comme d'autres spécialisées dans la sécurité informatique, propose aux dirigeants de mettre en place des campagnes factices de phishing auprès de leur personnel.

Un mail piégé est adressé à tous les employés. Ceux qui se font avoir tombent alors sur une page qui les informe qu'ils se sont fait piéger et des conséquences que cela aurait pu avoir s'il s'était agi d'une véritable tentative d'hameçonnage.

"Il faut également bien expliquer et détailler les procédure légitimes de mise à jour des mots de passe aux employés pour qu'ils détectent les procédures illégitimes lorsqu'ils y sont confrontés", poursuit l'expert sécurité.

En général, certains détails peuvent rapidement mettre la puce à l'oreille : une adresse mail bizarre ou de nombreuses fautes d'orthographe dans le corps du mail en raison d'une mauvaise traduction.