Piratage : des comptes bancaires vidés en détournant des SMS

Une vaste opération de piratage a été détectée. Les hackers ont réussi à accéder frauduleusement au réseau de signalisation mondial SS7. Ils ont ainsi pu recevoir les codes de validation envoyés par SMS par les banques pour confirmer des virements effectués en ligne.

C’est le journal allemand Süddeutsche Zitung qui a relayé l’information. Selon ses informations plusieurs personnes ont été victimes d’une attaque en Allemagne ayant engendré une arnaque sur leurs comptes bancaires. L’affaire s’est déroulée en janvier 2017 et a été confirmée par l’opérateur O2.

Pourquoi l’opérateur ? Parce que les hackers ont réussi à exploiter les failles sur les réseaux et ont ainsi pu vider des comptes bancaires entiers. Ils ont réussi à récupérer les SMS de validation de virement envoyés par les banques lors d’une transaction en ligne.

Pour réussir à réaliser cet exploit, les hackers ont procédé en deux grandes étapes. La première repose sur la fameuse méthode de phishing dont Google a été victime aujourd’hui même : les hackers envoient un email piégé et demandent aux utilisateurs de communiquer leur numéro de compte, leur mot de passe et le numéro de téléphone.

Ensuite, c’est du pain béni. Les hackers n’ont plus qu’à se connecter sur leur compte en ligne et à vider le compte en effectuant des virements. En Allemagne, pour confirmer un virement, un utilisateur doit rentrer un code reçu par SMS. Le réseau utilisé est tellement vieillissant et rempli de failles que les hackers ont trouvé le moyen de détourner les SMS pour qu’ils arrivent sur leur téléphone. Ensuite, c’est un boulevard.

La France peut-elle être touchée parce piratage des SMS ?

En France, le système de sécurité est un peu différent de l’Allemagne. Aucun code n’est demandé lorsque l’on souhaite effectuer un virement. En revanche, le même système est utilisé lorsque l’on ajoute un compte bénéficiaire. Un premier SMS est envoyé pour obtenir le code de validation, puis un second pour confirmer l’ajout du bénéficiaire. Parfois un email est envoyé pour confirmer une seconde fois.

Mais avec leur méthode, les hackers sont tout à fait capables de détourner les deux SMS et d’effacer l’email de confirmation. Le détenteur du compte n’y voit alors que du feu.

Suite à la découverte, les opérateurs allemands ont renforcé la sécurité pour que cette arnaque cesse. En France, les opérateurs ne sont pas les seuls à pouvoir faire quelque chose. Les banques peuvent également renforcer la sécurité en automatisant l’authentification en deux étapes pour chaque transaction.

Mais comme nous le rappelons à chaque fois, c’est surtout l’utilisateur qui est la meilleure sécurité. Dans cette méthode, l’origine de tout est la divulgation sans aucune méfiance des informations bancaires. Encore une fois, ces données ne doivent pas être communiquées sans bien y réfléchir. Evitez donc de communiquer vos informations bancaires sans être certain à 200% qu’il s’agit bien de votre banque ou d’un organisme officiel.