Une nouvelle escroquerie Gmail fait le tour du Web, car de mauvais acteurs profitent du système de vérification récemment mis en place par le service.
Au début du mois de mai, Google a mis en place un système de vérification par coche bleue afin de lutter contre les escroqueries en ligne telles que les attaques par hameçonnage. Les entreprises et les organisations peuvent s’inscrire au programme pour vérifier leur identité et, en cas d’approbation, Gmail affichera la coche bleue susmentionnée à côté du logo de la marque. Ce qui était censé être un moyen de protéger les gens est au contraire, dans certains cas, utilisé pour les poursuivre.
Chris Plummer, ingénieur en cybersécurité, a publié sur Twitter une image d’un faux e-mail prétendant provenir officiellement d’UPS. L’escroc a apparemment réussi à déjouer les mesures de protection de Google.
There is most certainly a bug in Gmail being exploited by scammers to pull this off, so I submitted a bug which @google lazily closed as “won’t fix—intended behavior”. How is a scammer impersonating @UPS in such a convincing way “intended”. pic.twitter.com/soMq7KraHm
—plum (@chrisplummer) June 1, 2023
L’identification du faux e-mail a été assez facile à faire. Plummer montre l’en-tête d’une adresse électronique composée de lettres et de chiffres aléatoires et se terminant par une URL UPS. Cependant, en survolant la coche, une fenêtre s’affiche indiquant que le message provient d’une source légitime.
On ne sait pas comment le malfaiteur a contourné les contrôles de sécurité. Plummer affirme qu’il existe un bug dans Gmail que les escrocs exploitent pour tromper le « sceau d’approbation autoritaire » de la plateforme. À partir de là, les escrocs passent par plusieurs domaines avant d’atteindre leur cible.
Au départ, lorsqu’il a signalé le problème à Google, l’entreprise l’a ignoré en disant que le système fonctionnait comme prévu. Mais dans les jours qui ont suivi la découverte de Plummer, le géant de la technologie a fait volte-face et a annoncé qu’il travaillait actuellement à la mise en place d’un correctif.
Comment ne pas se faire arnaquer ?
Comme nous ne savons pas quand le correctif sera déployé, il est logique de se protéger en attendant. Tout d’abord, vérifiez l’en-tête. Si vous voyez un tas de lettres, de chiffres et de symboles aléatoires dans l’adresse électronique, c’est le premier indice que quelque chose est louche. Deuxièmement, vérifiez l’orthographe de l’en-tête. Certains escrocs remplacent certains caractères par d’autres qui leur ressemblent pour tromper les gens. Par exemple, la lettre « O » sera remplacée par le chiffre « 0 » ou le « I » majuscule par un « l » minuscule (c’est un « L »). La police par défaut de Gmail peut rendre ce phénomène difficile à discerner.
Méfiez-vous des e-mails vous invitant à communiquer vos informations financières, qu’il s’agisse d’une mise à jour de vos coordonnées bancaires ou d’une offre de remboursement que vous n’avez pas demandée.
Bien entendu, ne cliquez pas sur des liens ou des pièces jointes que vous ne reconnaissez pas.
