Les arnaques par SMS se multiplient à cause de ces kits clés en main simplistes

La description de la chaîne Telegram est explicite. Ici, « c’est le paradis du scam j’ai rien à dire de plus. Régale toi ». Deux émoticônes, une liasse de billets et un drapeau de pirate, suivent ces quelques lignes. Effectivement, il n’y a pas de tromperie sur cette chaîne francophone qui compte un peu moins de 300 abonnés. Sans surprise, en explorant les derniers messages envoyés, on tombe rapidement sur la vente de différentes « scama » (arnaques). 

Il s’agit, par exemple, de campagnes malveillantes Chronopost, Crit’Air ou encore à la carte vitale, vendues 35 euros l’unité. Ces noms font référence à l’organisation ou à la marque usurpée. Soit autant d’attaques par smishing, cet hameçonnage par texto destiné à voler vos informations bancaires. Des « num list », ces listes de numéros de téléphones portables validés, sont également à vendre pour deux euros les 1 000 numéros. Elles sont souvent assorties de la mention Amazon. Cela signifie que les 06 ou les 07 ont été testés à la volée chez le leader mondial de l’e-commerce. C’est une manière de s’assurer qu’ils existent réellement. 

Ce genre d’offres de services illicites vous étonne ? Vous ne devriez pas. Ces chaînes, qui comptent de quelques dizaines à quelques milliers d’abonnés, pullulent sur la messagerie des frères Dourov. C’est l’un des réseaux de communication privilégié par les arnaqueurs derrière ces campagnes malveillantes qui polluent nos téléphones. Pour Thomas Damonneville, le fondateur de StalkPhish, s’il y a autant de tentatives d’arnaque, c’est parce qu’il est très simple de s’improviser hameçonneur. Il suffit d’acheter des services de fraude.

Concrètement, les arnaqueurs en herbe achètent d’abord un kit de phishing. Cette fausse page du site visé, qui va tromper l’internaute, est généralement déposée sur un espace Plesk dédié, un outil de gestion de services web populaire détourné par les arnaqueurs. La fausse page est liée à un compte bot sur Telegram qui va recevoir les résultats des données volées. Des prestataires peu regardants hébergent ce genre de page, souvent à côté d’autres campagnes du même type. Il faut ensuite compter l’achat d’un nom de domaine associé à la campagne, généralement inclus dans le package et l’achat d’une liste de numéros de téléphone.

Reste enfin à envoyer les SMS malveillants. Les arnaqueurs doivent alors soit acheter des services de spam, soit mettre la main sur des cartes SIM et leurs variantes, des eSIM virtuelles aux M2M conçues pour les objets connectés. Il existe en outre des services de « Allo », c’est-à-dire des personnes qui appellent des victimes en se faisant passer pour le support ou le service client d’une banque. Leur objectif est de récupérer les codes de double authentification pour contourner la sécurité des transactions.