“Allô, c’est Card Stop”: une vague de vishing envahit le téléphone des Belges

La Belgique fait face à une nouvelle vague de vishing: par téléphone, des fraudeurs se font passer pour des employés de Card Stop ou PayPal afin de vous soutirer de l’argent. Analyse et conseils pratiques pour se prémunir de cette arnaque plus efficace qu’elle n’en a l’air.

«Bonjour, est-ce que je parle bien à Madame Michaud? Je suis Caroline, et je travaille pour votre banque. Je vous appelle car nous avons constaté des transactions bizarres sur votre compte. Un gros montant a été transféré de votre compte épargne à votre compte courant il y a une heure. Nous avons vu que ce n’était pas vous qui aviez fait cela, les fraudeurs sont certainement en train de vider votre compte. Nous vous recommandons donc de transférer immédiatement l’argent vers un nouveau compte sécurisé que nous avons créé pour vous, c’est très sûr. Il faut juste que vous preniez votre carte bancaire et votre lecteur de carte».

Cette conversation entre une personne âgée et un fraudeur fait partie d’une vidéo de sensibilisation au vishing (contraction de voice et phishing) réalisée par Febelfin, la Fédération belge du secteur financier. Elle démontre les bons réflexes à adopter si jamais vous êtes victime de hameçonnage vocal.

L’arnaque, qui utilise donc le téléphone comme canal de communication, est de retour en force sur le réseau belge, depuis le mois de février. «Nous faisons face à une nouvelle vague de vishing», commente Michele Rignanese, le porte-parole de la plateforme Safeonweb.

Vishing: comment de faux employés de Card Stop et PayPal veulent vous arnaquer

Une messagerie automatique qui se présente comme Card Stop ou PayPal annonce qu’un paiement important est sur le point d’être effectué. Si le citoyen ne souhaite pas l’autoriser, il doit appuyer sur la touche 1. La personne est ensuite redirigée vers de «faux employés qui s’expriment correctement et sont très convaincants».

Derrière le combiné, les vrais fraudeurs tentent par tous les moyens (téléchargement d’un logiciel, demande de modification de mot de passe, code de vérification…) d’obtenir de leurs victimes des informations personnelles tel que le nom, la date de naissance… Avec comme objectif final de leur soutirer de l’argent. «Le vishing est un phénomène constant, nous recevons en moyenne trois notifications par jour à propos de cette arnaque», assure le porte-parole de Safeonweb.

«Le hameçonnage vocal fonctionne sur base de l’ingénierie sociale: en se faisant passer pour une institution d’autorité (banque, gouvernement, etc.), les fraudeurs tentent de gagner la confiance des consommateurs en leur faisant peur», développe Michele Rignanese.

Une évolution du pishing

Dans le domaine des arnaques en ligne, la pratique du pishing – tentative de hameçonnage par mail – est répandue. «Les cybercriminels se sont adaptés, glisse Axel Legay (UCLouvain), spécialiste de la cybersécurité. Aujourd’hui, un grand nombre de personnes sont capables de reconnaitre les mails frauduleux. Donc, on constate un retour en force des arnaques par téléphone.»

Le vishing peut s’avérer encore plus redoutable que le pishing. «Au téléphone, l’arnaqueur bénéficie de l’effet de surprise. Et puis, la victime peut baisser sa garde car elle entend qu’il y a une autre personne au bout du fil. L’échange est plus humain qu’un simple mail», glisse le porte-parole de Safeonweb.

«Au téléphone, les arnaqueurs peuvent parvenir à instaurer une relation de proximité et d’intimité avec leur victime, complète Axel Legay. On revient à ce genre de cybercriminalité au vu de la dispersion des données personnelles sur le web. Plus les pirates compilent d’informations, plus leur crédibilité auprès de la personne s’en verra renforcée.»

Vishing: ne pas tomber dans le piège

Les deux interlocuteurs adressent une même recommandation: se rappeler qu’un banquier n’appellera quasiment jamais son client, qui plus est pour des manipulations aussi sensibles.

Du côté de Safeonweb, on décrit la marche à suivre: se renseigner auprès de l’organisation qui nous demande de communiquer certaines données. Si rien ne semble aller dans le sens des propos de l’échange téléphonique, porter plainte à la police, et signaler à la plateforme en ligne l’arnaque, pour qu’elle puisse retourner sur les traces du cybercriminel.