Qu’est-ce que le vishing ? Conseils pour repérer et éviter les escroqueries vocales

L'usurpation d'identité touche plus de 14 millions d'Américains chaque année et coûte aux consommateurs plus de 1,7 milliard de dollars. Il existe plusieurs méthodes pour obtenir des informations personnelles, et l'une de ces méthodes est le "vishing".

Le vishing est une escroquerie par téléphone dans laquelle un escroc tente d'extorquer des informations personnelles ou de l'argent à la victime. Le mot « vishing » est une combinaison de « voix » et de « phishing », ce qui implique qu'un escroc tente d'inciter la victime à révéler ses informations sensibles telles que les noms d'utilisateur, les mots de passe ou les détails de la carte de crédit ou à télécharger des logiciels malveillants sur ses appareils.

La première étape de cette attaque consiste à vérifier si le numéro de téléphone est toujours actif ou non. Quant à la deuxième étape, l'attaque devient plus personnalisée en fonction de la victime.

Une tentative d'hameçonnage typique suit un schéma :

Étape 1 – Cible: Les escrocs appellent plusieurs personnes simultanément. Si quelqu'un répond, une personne réelle entre en ligne.

Étape 2 – Information : Une fois que l'escroc est connecté à une personne réelle en ligne, il prétend être une figure d'autorité, comme un collecteur de factures, un agent d'assurance, l'IRS, l'administration de la sécurité sociale, un technicien en réparation d'ordinateurs, entre autres. Ils soulèvent immédiatement un problème, comme une facture impayée, pour amener leur cible à donner des informations personnelles. Dans la capture d'écran ci-dessous, vous pouvez en voir un exemple clair, mais la méthode utilisée ici s'appelle "smishing".

Crédit d'image : point de preuve

Étape 3 – Dommages financiers : si l'escroc réussit à obtenir les informations bancaires, il peut progresser pour transférer les fonds hors du compte. S'ils mettent la main sur les informations de carte de crédit, ils feront autant d'achats que possible avant que la carte ne soit verrouillée.

Après une escroquerie réussie, l'escroc disparaîtra généralement, pour ne plus jamais être entendu. Par conséquent, les chances d'attraper le coupable et de le poursuivre sont douteuses.

---

Les escroqueries par vishing constituent une grave menace et le problème de l'ingénierie sociale

La raison du succès croissant des escroqueries Vishing est la capacité de l'homme à faire des erreurs. Après tout, c'est juste la capacité de persuasion qui explique pourquoi l'ingénierie sociale est au cœur des efforts des escrocs. L'ingénierie sociale consiste à imiter une autorité de confiance – votre banque, votre fournisseur de technologie, le gouvernement, un employé du service d'assistance informatique – et à créer un environnement d'urgence ou d'anxiété qui annule tout sentiment naturel de prudence ou de suspicion.

Ces techniques sont appliquées dans les e-mails de phishing et les faux SMS (connus sous le nom de smishing). Cependant, les Vishers disposent de divers outils et tactiques pour rendre leurs escroqueries plus efficaces, notamment :

• Outils d'usurpation d'identité de l'appelant : peuvent être utilisés pour masquer l'emplacement réel de l'escroc et même usurper l'identité des numéros de téléphone d'organisations de confiance.
• Escroqueries multicanaux : Smishing SMS, e-mails de phishing ou messages vocaux pour encourager les utilisateurs à appeler un numéro.
• Récupération des médias sociaux et recherche open-source : Fournit à l'escroc un stock d'informations sur ses victimes.

Crédits image : WeLiveSecurity (Twitter)

Les statistiques suivantes révèlent pourquoi les escroqueries Vishing sont considérées comme des activités lucratives par les attaquants.

• En 2018, les appels frauduleux représentaient près de 30 % de tous les appels cellulaires entrants.

• Le rapport sur l'état de l'hameçonnage de Proofpoint publié en 2020 a révélé que 25 % du total des travailleurs qui ont participé à l'enquête pouvaient définir correctement ce terme. Par conséquent, il ne devrait pas être surprenant de savoir que ce terme est de plus en plus reconnu.

• 75 % des victimes d'escroquerie ont confirmé que les escrocs avaient déjà des informations personnelles à leur sujet. Ils utilisent ces informations pour les cibler et leur extorquer plus d'informations.

• Sur le total des escroqueries Vishing impliquant des imposteurs gouvernementaux signalées, seulement 6 % avaient perdu de l'argent.

Tactiques utilisées par les escrocs pour attirer l'attention des victimes

Voici quelques-unes des tactiques utilisées par les escrocs pour attirer l'attention de leur victime.

• Le numéro de sécurité sociale a été compromis.

• Le compte bancaire a été signalé ou piraté.

• Éligible pour un test COVID-19 gratuit ou un vaccin.

• Organisme de bienfaisance demandant un don pour les secours en cas de catastrophe ou le soutien COVID-19.

• Les frais de carte de crédit doivent être vérifiés.

• L'IRS a découvert des anomalies dans votre déclaration de revenus.

• Votre véhicule est qualifié pour une extension de garantie.

• L'ordinateur a été compromis et nécessite des services de support technique

• Un mandat d'arrêt a été émis contre vous.

• Un ami ou un membre de la famille a besoin d'argent pour se tirer d'affaire ou a été impliqué dans un accident.

• Vous avez gagné des vacances gratuites, une loterie ou un cadeau.

Comment l'hameçonnage vocal peut-il affecter votre famille ?

Le but ultime des escrocs par vishing est de vous soutirer de l'argent. Ils peuvent accéder à vos comptes soit en volant vos coordonnées bancaires, soit en vous incitant à transmettre vos informations personnelles.

Voici quelques arnaques typiques :

Escroqueries au support technique : dans ces types d'escroqueries, les victimes sont contactées par une personne se faisant passer pour leur FAI ou tout fournisseur de matériel/logiciel. Ils feront semblant d'avoir trouvé un problème inexistant avec votre PC, puis extorqueront le paiement (et les détails de votre carte) pour le résoudre, téléchargeant parfois des logiciels malveillants dans le processus.

Appel de garde : des messages vocaux automatisés sont envoyés à plusieurs victimes pour les inciter à rappeler.

Télémarketing : inciter les victimes à appeler en prétendant qu'elles ont gagné à la loterie, des vacances ou d'autres prix fabuleux.

Phishing/smishing :  e-mail usurpé ou faux SMS, incitant l'utilisateur à appeler un numéro. En appelant le numéro, la victime sera mise en relation avec un fraudeur par vishing.

---

Comment se protéger des attaques de vishing ?

Pour réduire le risque d'être affecté par des escroqueries par vishing, vous pouvez suivre quelques conseils de base mentionnés ci-dessous :

• Assurez-vous que votre numéro de téléphone est ex-répertoire. Cela signifie que votre numéro de téléphone n'apparaîtra pas dans l'annuaire téléphonique et que la compagnie de téléphone ne le donnera pas aux personnes qui le demanderont.
• Lorsque vous remplissez un formulaire en ligne, assurez-vous de ne pas entrer votre numéro de téléphone.
• Méfiez-vous de toute demande d'informations bancaires, personnelles ou autres informations sensibles par téléphone. Ne donnez pas ces détails à moins que vous ne soyez sûr de l'authenticité de la personne à l'autre bout du fil.
• N'engagez ni ne divertissez aucun appelant non sollicité, surtout s'il demande à confirmer des détails sensibles.
• Mieux vaut ne pas rappeler un numéro laissé par messagerie vocale et s'adresser directement à l'organisation.
• Utilisez l'authentification multifacteur (MFA) sur tous les comptes en ligne.
• Assurez-vous que votre sécurité e-mail/Web est mise à jour et commencez à utiliser des outils de sécurité tels que des VPN cryptés qui incluent des fonctionnalités anti-hameçonnage.