Le Crédit Agricole usurpé: comment des escrocs ont obtenu les données bancaires de 1000 clients

Le Crédit Agricole a été victime d'une campagne de phising et d'usurpation de son identité par un groupe de hackers en juin dernier. Un média spécialisé vient récemment de révéler les dessous de cette fraude. Explications. Près de 1.000 clients du Crédit Agricole ... piégés. En juin dernier, la banque a été victime d'une vaste et complexe campagne de phising ou d'hameçonnage.

Il s'agit d'une technique aujourd'hui très répandue, qui a permis à plusieurs hackers de se faire passer pour la banque afin d'extorquer de l'argent aux clients, comme l'a révélé le 5 août dernier une enquête de Cybernews , média indépendant spécialisé dans la cybersécurité, et citée par 01net .

"Pour les escrocs, c'est une marque prestigieuse, assortie d'une vaste base de clients potentiels à cibler", affirme le média. Les pirates ont donc mis en place une fraude pour contourner le système de blocage des mails suspects.

Concrètement, ils ont utilisé des services d'envoi d'e-mails, dont se servent de nombreuses entreprises pour transmettre des factures, des notifications ou des réinitialisations de mots de passe dans de grands volumes, à l'image de SendGrid ou d'Amazon Simple Email Service par exemple.

Au total, les escrocs ont pu envoyer près de 7.000 e-mails quotidiennement aux 21 millions de clients du Crédit Agricole, et ce, en usurpant son identité. Raison pour laquelle ils n'ont pas été identifiés comme des spams.

Les mails se sont donc montrés particulièrement crédibles, incitant les utilisateurs à "renouveler l'enregistrement" d'un appareil de confiance pour ne pas perdre l'accès à leurs comptes bancaires.

Ensuite, les e-mails ont renvoyé vers un faux site imitant parfaitement celui du Crédit Agricole pour pousser les victimes à renseigner leurs informations de connexion. Résultat: 912 victimes auraient saisi leurs identifiants bancaires dans les formulaires frauduleux.

Mais le stratagème ne s'est pas arrêté là. Plutôt que de se servir directement dans les comptes des victimes, "les identifiants bancaires n'ont été utilisés que pour obtenir des données supplémentaires sur la victime", notamment le solde restant, le nom de l'agence locale et celui du conseiller bancaire.

Ces informations leur ont permis d'identifier les cibles de valeur et de tromper les victimes en leur faisant croire qu'elles parlaient avec des employés du Crédit Agricole. Pour cela, "la principale façon de gagner de l'argent étant d'appeler les victimes et d'utiliser des techniques d'ingénierie sociale pour les inciter à payer pour un faux service", souligne les experts de Cybernews.

Les personnes ciblées sont ainsi rassurées par la véracité des informations en possession de l’interlocuteur et sont plus susceptibles de passer à la caisse. Près de 83 paiements auraient été obtenus après ces appels téléphoniques.

Plus pervers encore, il y avait "un classement permettant aux opérateurs de phishing de rivaliser entre eux pour savoir qui pouvait gagner le plus en exploitant leurs victimes".