Une nouvelle arnaque vise les clients d'Apple. Grâce à une histoire très bien ficelée, un site frauduleux bien construit et le soutien du véritable support technique de la firme, ils veulent pirater votre compte iCloud. Voici l'histoire d'une cible qui a échappé de justesse au piège et nos conseils pour l'éviter.

Les arnaques sur Internet sont de plus en plus nombreuses. Elles sont de plus en plus crédibles . Et elles sont de plus en plus complexes. Certaines utilisent même la puissance de l’intelligence artificielle pour fabriquer de faux sites Internet plus vrais que nature afin de tromper la vigilance des utilisateurs ou des systèmes de protection. Aujourd’hui, aucun de ses systèmes n’est vraiment sûr, même celui des marques les plus en vue de la planète, comme Apple.

Lire aussi – Attention à cette arnaque Booking, vous risquez de payer votre chambre d’hôtel deux fois plus cher !

La preuve avec ce fait divers partagé cette semaine sur le portail de blogging Medium. Son auteur, et quasi victime, s’appelle Eric Moret. Et il raconte avec détail sa mésaventure au cours de laquelle il a « failli tout perdre, mes photos, mes emails, l’ensemble de ma vie digitale » en moins d’une demi-heure. Une anecdote qui fait froid dans le dos et qui aurait pu arriver à n’importe qui.

Ces arnaques trompent la victime grâce au service technique d'Apple

Cela démarre par la réception par SMS d’un code 2FA (authentification à deux facteurs composée de 6 chiffres) suite à une connexion à son compte Apple. S’affichent alors sur son Mac et son iPhone les alertes habituelles d’une tentative de connexion. Il reçoit ensuite un appel téléphonique automatique lui dictant un autre code 2FA. Évidemment, il ne tentait pas d’accéder à son compte Apple à ce moment : premier coup de pression.

Le narrateur reçoit alors un appel téléphonique d’un prétendu employé du support technique d’Apple. L’interlocuteur lui explique que son compte subit une attaque et qu’un technicien va le rappeler d’ici quelques minutes. Deuxième coup de pression. La victime reçoit alors un deuxième appel qui lui explique qu’il va recevoir dans sa boîte mail un ticket d’incident suite à l’attaque que son compte a subie, un mail qui vient effectivement de la plate-forme technique d’Apple. C’est la faille qui permet de « légitimer » l’appel et la tromperie.

Le faux technicien guide alors sa victime dans la réinitialisation de son mot de passe sous prétexte que son compte est compromis. Malgré ses doutes, il suit la procédure. L’arnaqueur lui envoie alors par SMS un lien vers un site pour « clore l’incident ». Ce site, sous l’URL « appeal-apple.com », reprend l’ensemble des éléments visuels d’un vrai support technique d’Apple. L’interlocuteur le mène jusqu’à la réception d’un nouveau code d’authentification que la victime va entrer sur un faux site. Et c’est le drame.

Quels sont les signaux pour déjouer une arnaque ?

Car il venait d’entrer le code 2FA de son compte dont le mot de passe n’avait jamais été vraiment réinitialisé. Il avait été judicieusement mené à ouvrir les portes de son compte. La preuve : il a ensuite reçu un mail légitime d’Apple lui indiquant qu’un ordinateur qui ne lui appartient pas venait de se connecter à son compte. Pris de panique, il a immédiatement réinitialisé son mot de passe (cette fois-ci pour de vrai) et supprimé l’accès à son compte de l’ordinateur inconnu, tout en raccrochant au nez du pirate qui venait d’être démasqué. Sans ce mail de confirmation de connexion, l’attaque aurait réussi.

Il y a plusieurs éléments importants dans cette affaire qui démontre qu’il s’agissait d’une arnaque. D’abord, la réception multiple d’un code 2FA au démarrage montrait que son mot de passe Apple était compromis dès le départ, certainement récupéré lors d’une fuite de données. Il aurait fallu le réinitialiser dans tous les cas. Ensuite, l’appel téléphonique entrant du service technique d’Apple : aucun technicien d’Apple ne contacte un utilisateur pour prévenir d’une attaque sur un compte. Ensuite le nom de domaine du lien vers le site de phishing : il ne sentait pas bon. Tout le monde aurait pu être victime d’une telle arnaque. Méfiez-vous donc de ces SMS et mails qui incitent à agir dans un moment de panique.