X fait face à une nouvelle tentative de phishing massive. À partir d'un simple mail très vicieux, un pirate peut avoir accès à toutes vos données. Il existe toutefois des méthodes simples pour se protéger.
Des escrocs diffusent en ce moment des mails de phishing reproduisant avec précision les alertes de connexion officielles de X. L'objectif est bien évidemment de voler les identifiants des utilisateurs ou de leur faire autoriser une application malveillante.
De faux mails très bien imités
Les messages frauduleux avertissent le destinataire d'une connexion "depuis un nouvel appareil" dans une localisation inconnue. Ils reprennent le logo de X, sa mise en page, sa charte graphique et sont rédigés sans fautes. Deux liens y sont inclus : l'un invitant à changer son mot de passe, l'autre à vérifier les accès des applications connectées. Les deux redirigent naturellement vers des sites factices.
Les indices qui permettent de les détecter sont au nombre de deux : l'adresse de l'expéditeur et la destination réelle des liens. Les mails falsifiés n'indiquent pas le nom d'utilisateur X du destinataire et restent vagues sur la localisation de la prétendue connexion.
Deux moyens d'accéder au compte
Jake Moore, conseiller en cybersécurité chez ESET, résume la mécanique de l'arnaque :
Les escrocs veulent votre nom d'utilisateur et votre mot de passe X, ou vous pousser à approuver un lien malveillant qui leur donne accès à votre compte sans avoir besoin de votre mot de passe.
Ce deuxième scénario, qui passe par l'autorisation d'une application tierce, permet aux attaquants de prendre le contrôle d'un compte même sans en connaître les identifiants.
Une fois le compte compromis, il est utilisé pour diffuser des arnaques aux cryptomonnaies, mener des campagnes de phishing ou propager des fakes news.
Un phénomène qui prend de l'ampleur
L'an dernier, quelque 57 000 personnes ont été victimes d'arnaques au phishing liées aux cryptomonnaies sur X, pour un total de 47 millions de dollars de pertes.
La Coupe du monde a aussi eu droit à son lot d'arnaques, avec plus de 4 300 faux noms de domaine se faisant passer pour la FIFA, menant des opérations de phishing.
Les outils d'intelligence artificielle facilitent désormais la création de modèles de mails visuellement identiques aux originaux à grande échelle, et les fraudes assistées par deepfake ont progressé de 3 000 % depuis 2023.
Que dit X et que faire si vous avez cliqué ?
La plateforme rappelle qu'elle n'envoie des emails que depuis les adresses @X.com ou @e.X.com, qu'elle ne joint jamais de pièces jointes à ses messages, et qu'elle ne demande jamais de mot de passe par email, message direct ou en réponse à un message.
Si vous avez cliqué sur un lien mais que vous vous êtes contentés d'ouvrir la page sans rien saisir, le risque est faible. En revanche, si vous avez entré votre mot de passe ou un code à usage unique sans vérifier l'URL, il est conseillé de changer immédiatement son mot de passe et d'activer l'authentification à deux facteurs.
Jake Moore de chez ESET, souligne enfin un paradoxe : ce type d'arnaque exploite précisément les réflexes que X a lui-même installés chez ses utilisateurs en leur envoyant de vraies alertes de connexion. Ce qui rend l'arnaque d'autant plus vicieuse.
Chaque notification "était-ce vous ?" entraîne les utilisateurs à cliquer sur des liens dans des mails de sécurité, ce qui est exactement le comportement que le phishing cherche à reproduire. Son conseil reste simple : ne pas cliquer sur les liens contenus dans ces mails, et ouvrir l'application directement. Si un problème de sécurité existe réellement, il sera visible depuis l'application.
- Instantané dans l'information
- Messages courts
- Hashtags, tendances, tweet et retweet
