La compromission de données personnelles par tunnel d’arnaque
vidéo exemple de l’arnaque :
1) la victime, un gérant de restaurant d’une quarantaine d’années, reçoit un premier SMS frauduleux lui demandant de régler 0,99€ en ligne par carte bancaire afin de payer une amende fictive lui permettant de récupérer un colis qu’il attendait depuis un mois.
c’est le début du tunnel de l’arnaque (scam funnel)
2) Le lendemain, il reçoit un appel de fausse banque l’alertant de « plusieurs tentatives de fraudes sur ses comptes bancaires professionnels ». L’agent lui propose de protéger ses fonds en l’invitant à virer toutes ses économies sur un nouveau compte que la victime croit être ouvert spécialement pour l’aider. Dans la panique, le gérant crédule s’exécute immédiatement et fait un virement bancaire de 24000€ sur ce compte qui est en fait celui d’un escroc.
Décryptage des données personnelles utilisées par l’organisation criminelle :
- l’information d’attente d’un colis (référence colis, transporteur, nom, mobile, adresse)
- le numéro de mobile et le nom de la victime
- son numéro de carte bancaire
- ses IBANs de comptes bancaires professionnels
- les sommes disponibles de chaque compte bancaire
Face à l’arnaque utilisant l’ingénierie sociale : utiliser l’ingénierie inversée
Regardons de plus près les données et surtout leurs sources :
- l’information d’attente d’un colis (référence colis, transporteur, nom, mobile, adresse)
source possible : le site e-commerce, PayPal, le module de paiement sécurisé du site, le fournisseur d’email, le prestataire de livraison colis, personne proche ou un client, etc…
- le numéro de mobile et le nom de la victime
source possible : idem
- son numéro de carte bancaire
source possible : PayPal, le module de paiement sécurisé du site, personne proche, banque, criminel ayant eu accès à la carte bancaire de la victime, hacker ayant les identifiants compte du site de la banque, etc…
- ses IBANs de comptes bancaires professionnels
source possible : banque, personne proche, criminel ayant eu accès aux coordonnées bancaires de la victime, sites administratifs (impôts , URSSAF, sécurité sociale…), hacker ayant les identifiants du compte sur le site de la banque de la victime, etc…
- les sommes disponibles de chaque compte bancaire
source possible : banque, personne proche, criminel ayant eu accès aux relevés bancaires, hacker ayant les identifiants compte du site de la banque, etc…
Conclusion
Personne n’est à l’abri, toutes nos données personnelles sont potentiellement disponibles à des organisations criminelles qui orchestrent ce type d’arnaque.
Ces organisations criminelles numériques/physiques coordonnées articulent leur tunnel autour d’une victime « rentable ». Ici c’est un gérant de restaurant quadragénaire en situation d’illettrisme numérique avancé.
Sans récolte d’informations détaillées à l’avance, impossible d’approcher les « proies » à plumer. Ce sont des équipes d’escrocs qui ne se sont servis que de données personnelles, d’emails frauduleux, d’appels d’alloteurs