Tous les types de banques sont touchés
La banque en ligne Fortuneo a envoyé ce 7 avril un e-mail à ses clients avec pour titre « Soyez vigilant : la période est propice aux tentatives de fraude ». Ce fut aussi le cas de la néo-banque N26, qui a vu ses clients être victimes de phishing par SMS ces dernières semaines, obligeant la banque à réagir via des alertes par SMS ou par e-mail. Les autres banques, traditionnelles, ont-elles aussi mis en garde leurs clients. En effet, toutes les banques font face actuellement à des cybercriminels qui obligent les établissements bancaires à être en alerte maximale.
Pourquoi cette période est-elle propice à la fraude bancaire ?
Il y a plusieurs raisons qui rendent cette période particulièrement périlleuse. La première raison est la pandémie de la Covid-19. Les règles de distanciation sociale qui ont été établies dans le but de réduire la propagation du coronavirus ont eu pour conséquence de nous contraindre à privilégier les tâches et les activités à distance. Que ce soit pour le travail, pour les divertissements ou encore les achats.
La normalisation du distanciel a multiplié les échanges à distance par les e-mails et les SMS. Pour des authentifications de connexion, des validations de paiement, des confirmations de livraisons par exemple. Autant de messages, qui ont facilité la tâche des cybercriminels en leur permettant de se fondre dans la masse pour atteindre plus facilement leurs cibles. La pandémie est donc une période favorable pour les fraudeurs.
Une autre raison favorise les tentatives de fraudes : la généralisation de l’authentification forte pour les achats en ligne. Ce 15 mai 2021 va se terminer un processus qui a commencé en septembre 2019. Il s’agit d’un second facteur d’authentification, qui aura pour but de rendre plus sûrs les paiements en ligne. Ce facteur d’authentification viendra compléter les identifiants de votre carte bancaire (le numéro, la date de validité, ainsi que le cryptogramme à 3 ou 4 chiffres), et dorénavant il ne pourra plus être reçu par SMS comme c’était le cas jusqu’à maintenant.
Les nouvelles règles imposées par une directive Européenne, ont contraint les banques à mettre en place des dispositifs d’authentification différents. Il s’appelle Sécuripass au Crédit Agricole, Sécur’Pass dans les banques du groupe BPCE (Banque Populaire, Caisse d’Épargne, Crédit Coopératif), Certicode à La Banque Postale, Clé Digitale à la BNP, ou encore SafeKey pour les cartes American Express. Ces dispositifs ont pour la plupart été lancés depuis quelques mois, cependant ils n’ont pas encore été activés par tous les clients. Ce qui oblige les établissements bancaires à accélérer leur communication, à quelques semaines de la date limite. Un contexte qui profite donc aux cybercriminels. Les banques multiplient les annonces sur leurs sites internet, afin de prévenir leurs clients de tentatives de fraude en lien avec l’enrôlement aux dispositifs d’authentification forte.
Quelles données bancaires cherchent les cybercriminels ?
L’objectif premier des cybercriminels est de vous dérober de l’argent. Pour cela, ils souhaitent usurper de façon numérique votre identité. Ils sont donc à la recherche d’éléments qui pourraient leur permettre de se faire passer pour vous auprès des sites marchands, ou pire auprès de votre banque. Les informations qu’ils souhaitent recueillir sont généralement vos identifiants de connexion, vos mots de passe, votre numéro de ligne mobile, vos numéros de cartes bancaires, etc.
Les cybercriminels ont également besoin de tromper les dispositifs de sécurisation qui sont déjà en place et qui ont pour but de protéger les opérations sensibles telles que les paiements par carte, mais aussi les ajouts de bénéficiaires pour les virements bancaires, les éditions des Relevés d’Identité Bancaire (RIB), etc. Ces sécurités obligent les potentiels fraudeurs à innover dans leurs modes opératoires, ce qui les rend de plus en plus difficiles à détecter.
Fraude bancaire : comment procèdent les cybercriminels ?
Les techniques utilisées sont diverses et variées. Pour usurper vos moyens de paiement, la technique la plus fréquente est le phishing, que l’on appelle hameçonnage en français. Cette technique consiste pour le cybercriminel à tenter de vous tromper en usurpant l’identité de votre banque dans un email ou un SMS. Le but étant de vous convaincre de cliquer sur un lien présent dans le message. Ce lien « piégé » vous dirigera vers un site internet qui sera une copie plus ou moins réussie de celui de votre établissement bancaire, où il vous sera demandé de divulguer des informations sensibles, qui seront par la suite exploitées à votre détriment.
Avant de tirer avantage des informations recueillies, le fraudeur se retrouvera certainement bloqué par des sécurités mises en place par votre établissement bancaire. Pour les contourner, il est fréquent que les cybercriminels aient recours à une autre technique de fraude appelée le spoofing. Cette technique consiste à se faire passer pour votre banque, lors d’un appel téléphonique ou l’envoi d’un SMS. Le fraudeur a alors un discours bien rodé et anxiogène, où il tente de vous convaincre de valider une opération de paiement à distance ou de lui confier un code que vous avez reçu par SMS, en vous faisant croire que votre compte bancaire risquerait d’être bloqué si vous n’intervenez pas rapidement. En réalité, cette manœuvre a pour but une authentification pour une opération telle qu’un achat via internet, ou l’ajout d’un bénéficiaire sur votre compte bancaire qui permettra au fraudeur de virer de l’argent depuis votre compte.
Comment se protéger d’une fraude ?
Les deux choses importantes à avoir en tête sont : vigilance, et information. Tout d’abord, vous devez adopter quelques réflexes simples afin d’éviter les déconvenues :
- Vérifiez et consultez fréquemment vos comptes bancaires, afin d’identifier le plus rapidement possible des anomalies. Si vous constatez une opération anormale, contactez au plus vite votre établissement bancaire.
- Choisissez avec précaution vos mots de passe. Il est primordial de choisir des mots de passe les plus complexes possibles, et d’en utiliser un différent pour chaque site internet qui nécessite une identification. De plus, ne les communiquez jamais à une personne tierce, même si celle-ci se présente comme un employé de votre banque.
- Ne vous connectez pas à votre espace client bancaire à partir d’un lien présent dans un e-mail ou un SMS. Ces courriels sont généralement des tentatives de phishing. Observez bien l’adresse de l’expéditeur, elle contient souvent des informations qui peuvent vous aider à ne pas vous faire piéger.
N’oubliez pas qu’il est aussi très important de rester informer. C’est d’autant plus vrai actuellement, avec tous les changements de réglementations. Chaque banque met à votre disposition sur leurs sites internet des pages dédiées à la sécurité. Vous pouvez y trouver des informations importantes et des conseils pour ne pas tomber dans les pièges des cybercriminels. Vous trouverez aussi des informations sur les nouveaux dispositifs d’authentification forte, leur fonctionnement et la manière de les utiliser. N’hésitez pas à consulter ces pages.