Dans l'atelier du fraudeur

On imagine le fraudeur comme un pirate de génie, seul devant ses écrans. C'est rarement le cas. L'hameçonnage est devenu une industrie, avec ses fournisseurs, ses vendeurs et même son service à la clientèle.

Le travail est découpé. Quelqu'un vend des listes d'adresses. Un autre fabrique les fausses pages de banque et les loue au mois, comme un abonnement. Un troisième s'occupe d'envoyer les courriels. Un quatrième revend les cartes de crédit volées. Celui qui vous écrit n'a souvent aucune compétence technique : il a acheté une trousse toute faite.

Les spécialistes appellent ça le « phishing-as-a-service », l'hameçonnage en tant que service. On paie, on reçoit le matériel et un mode d'emploi.

Avant d'envoyer quoi que ce soit, il faut des adresses. Le fraudeur les achète. Elles viennent des fuites de données, quand un magasin ou un site se fait voler sa liste de clients. D'autres sont ramassées par des robots qui lisent les pages web, ou simplement devinées : info@, contact@, le prénom suivi du nom de domaine.

Une liste achetée contient beaucoup d'adresses mortes. Le fraudeur veut donc savoir lesquelles sont vivantes. Rappelez-vous le faux courriel d'OpenAI : le lien portait mon adresse courriel. Si j'avais cliqué, le fraudeur aurait su que mon adresse est bonne et que je suis du genre à cliquer. Mon adresse aurait pris de la valeur, et je serais devenu une cible de choix.

Même ruse avec les images : une petite image invisible, chargée depuis le serveur du fraudeur, l'avertit que vous avez ouvert le message. On l'appelle un « pixel espion ».

Pour vous défendre : laissez votre messagerie bloquer les images distantes. Thunderbird le fait déjà, de lui-même. Et ne cliquez pas sur « se désabonner » dans un courriel douteux : vous confirmeriez que l'adresse est vivante.

Le fraudeur a besoin de trois choses, toutes louées à des compagnies honnêtes.

• Un nom de domaine. Parfois un sosie, comme desjardlns-alerte.com avec un « l » à la place du « i ». Parfois un nom neutre, comme enations.eu, qui ne ressemble à rien et n'éveille aucun soupçon. Il coûte quelques dollars, et il est souvent acheté quelques jours seulement avant l'envoi.
• Un serveur. Un ordinateur loué au mois dans un centre de données, souvent payé en cryptomonnaie ou avec une carte volée. Dans mon cas, il était chez Exoscale, en Suisse.
• Un paravent. Le fraudeur cache son vrai serveur derrière un service comme Cloudflare, qui protège normalement les sites honnêtes. Le lien pointe vers Cloudflare, et on ne voit pas où se trouve la fausse page.

Remarquez le lien du faux courriel d'OpenAI : kwpxak.enations.eu. Ces six lettres au hasard ne veulent rien dire. Le fraudeur en fabrique un nouveau à chaque envoi. Quand l'un est bloqué, le suivant est déjà prêt. Tout est jetable.

La fausse page, celle qui imite votre banque, vient presque toujours d'une trousse d'hameçonnage (« phishing kit »). C'est un paquet de fichiers prêts à installer : la copie exacte de la page de connexion, les logos, les couleurs, et un petit programme qui envoie au fraudeur tout ce que la victime tape. Ces trousses se vendent sur des forums et sur des canaux de la messagerie Telegram.

Le plus connu au Canada s'appelait LabHost. Pour un abonnement mensuel, il offrait des modèles prêts à l'emploi pour les grandes banques canadiennes, et un tableau de bord pour suivre les victimes en direct. Une opération policière internationale l'a démantelé en avril 2024. Avant lui, 16Shop imitait Apple, PayPal et Amazon ; son administrateur a été arrêté en Indonésie en 2023 dans une opération menée avec Interpol.

Ces trousses ont une ruse que je trouve particulièrement sournoise : le camouflage (« cloaking »). La page regarde qui la visite. Un robot de sécurité, un visiteur d'un autre pays ou un ordinateur d'entreprise voient une page vide ou innocente. Seule la vraie victime, du bon pays et sur un ordinateur ordinaire, voit la fausse banque. C'est pour ça que certaines arnaques restent en ligne si longtemps : les gardiens ne voient rien.

Plusieurs outils des fraudeurs ont été créés pour les gentils. En cybersécurité, c'est le même marteau, c'est la main qui change.

• GoPhish sert aux entreprises à envoyer de faux courriels à leurs propres employés pour les former. C'est un logiciel ouvert à tous, et les fraudeurs s'en servent aussi pour organiser leurs envois et compter qui a cliqué.
• Evilginx a été écrit pour les tests d'intrusion, quand une entreprise paie des experts pour l'attaquer. Il s'installe entre la victime et le vrai site. Des trousses vendues aux fraudeurs, comme Tycoon 2FA ou EvilProxy, font la même chose.

Ce deuxième genre d'outil mérite qu'on s'y arrête, parce qu'il déjoue le code reçu par texto. Imaginez un faux guichet posé devant le vrai. Vous tapez votre mot de passe : le faux guichet le transmet aussitôt au vrai site. La banque vous envoie un code par texto : vous le tapez, le faux guichet le transmet encore. Vous êtes bien connecté, tout semble normal, mais le fraudeur a gardé une copie de votre connexion. Il est entré avec vous, par la même porte.

Pour vous défendre : un gestionnaire de mots de passe, comme celui de Firefox, ne remplit le mot de passe que sur le vrai site. S'il refuse de le remplir, c'est que vous n'êtes pas chez votre banque. Les « clés d'accès » (passkeys), que les banques et les grands services commencent à offrir, résistent aussi à ce piège. Et le meilleur réflexe reste le même : pour aller à votre banque, tapez vous-même son adresse, ne suivez jamais un lien reçu.

Le plus difficile, pour le fraudeur, c'est d'arriver dans votre boîte de réception plutôt que dans les indésirables. Il a trois façons de s'y prendre.

• Son propre domaine, bien réglé. Les messageries vérifient qu'un courriel vient bien du domaine qu'il annonce. Le fraudeur règle son domaine correctement, et ses courriels passent ces contrôles. C'était le cas de enations.eu. La vérification dit seulement que le courriel vient bien d'enations.eu, pas que c'est OpenAI.
• Une plateforme honnête. Le faux courriel de l'ARC passait par Customer.io, une plateforme de marketing américaine. Le fraudeur y avait ouvert un compte comme n'importe quel commerçant.
• Un compte volé. Le courriel part de la boîte piratée d'une vraie personne ou d'une vraie entreprise. Ce sont les plus difficiles à repérer.

Ensuite, il déguise son message. Il le met tout en image, comme le faux OpenAI, parce que les filtres lisent le texte. Il remplace parfois le lien par un code QR, que les filtres ne savent pas toujours lire et qu'on scanne avec son téléphone, moins protégé. Et depuis quelques années, il fait écrire son texte par une intelligence artificielle. Les fautes d'orthographe ne suffisent plus pour reconnaître une arnaque.

Quand une victime remplit la fausse page, ses renseignements partent aussitôt vers le fraudeur, souvent dans un canal Telegram qui sonne comme une caisse enregistreuse. Tout va très vite. En quelques minutes, le numéro de carte sert à acheter des cartes cadeaux ou il est revendu en paquets. L'accès bancaire sert à virer l'argent vers des « mules » : des gens, parfois naïfs, qui prêtent leur compte et renvoient l'argent plus loin, souvent en cryptomonnaie. Après deux ou trois sauts, l'argent est presque impossible à retrouver.

Pour vous défendre : si vous avez cliqué et donné un renseignement, n'attendez pas d'être sûr. Appelez votre banque au numéro inscrit au dos de votre carte, tout de suite, puis changez le mot de passe. Les fraudeurs comptent les minutes, vous aussi.

Faites le compte : le nom de domaine, le serveur, le paravent, la plateforme d'envoi. Le fraudeur ne possède presque rien. Il loue tout à des compagnies honnêtes, qui ont des règles et une adresse pour recevoir les plaintes. C'est sa faiblesse.

Chaque plainte bien documentée lui retire une pièce de son décor : un domaine suspendu, un serveur fermé, un compte coupé. Il en rachète, bien sûr. Mais chaque pièce lui coûte de l'argent et du temps, et pendant ce temps-là, ses courriels n'arrivent chez personne. C'est exactement ce qui s'est passé avec le faux OpenAI dénoncé jusqu'en Suisse.