Près de 21 millions de Français exposés à une fraude massive : ce que l'on sait de la cyberattaque visant la première banque de France

Des centaines de victimes ont déjà été identifiées. La première banque de France, le Crédit Agricole, a été la cible d'une cyberattaque de grande ampleur. Révélée le mercredi 5 août par nos confrères de Cybernews, cette vaste campagne de phishing consistait à se faire passer pour l'établissement, à travers un stratagème complexe, pour extorquer les coordonnées bancaires des victimes.

À ce jour, au moins 912 personnes ont été victimes de cette arnaque et ont saisi leurs identifiants bancaires. Nos confrères ont aussi relevé 83 paiements obtenus à travers des appels téléphoniques. Ce chiffre est encore susceptible d'évoluer, le Crédit Agricole compte 21 millions de clients et donc tout autant de victimes potentielles.

L'équipe de recherche de Cybernews est parvenue à mettre la main sur le serveur public des hackers, ce qui a permis de mettre en lumière le stratagème complexe qu'ils employaient, mais aussi le nombre de victimes ou encore leur mécanisme d'"employé du mois". 

Des cybercriminels confirmés

Les hackers à l'origine de la cyberattaque n'ont rien d'amateurs, en témoigne leur préparation soignée. Pour éviter que leurs mails de hameçonnage ne soient automatiquement considérés comme indésirables, ils sont parvenus à accéder à des infrastructures d'entreprises légitimes. Ils sont parvenus à se procurer "149 clés API SendGrid volées et trois comptes AWS volés, avec une capacité d'envoi combinée d'environ 7.000 e-mails par jour", selon les experts de Cybernews. 

Ces clés sont utilisées par des entreprises légitimes pour envoyer des e-mails automatiques, notamment ceux dont l'adresse commence par "ne-pas-repondre" ou "no-reply". 

Ils ont également réussi à pénétrer les plateformes de diffusion d'e-mails, et n'ont pas inondé tous les clients de courriers indésirables. Grâce aux identifiants volés, ils ont d'abord évalué les limites de débit et les niveaux d'abonnement associés aux comptes compromis. Ainsi, ils ont pu savoir quels services pouvaient envoyer le plus de messages d'arnaques, tout en passant sous le radar. 

Dans la conclusion de leur enquête, les chercheurs de Cybernews regrettent que "les organisations et entreprises françaises continuent de laisser des fichiers sensibles exposés dans des systèmes accessibles depuis internet, livrant involontairement aux pirates les outils nécessaires pour mener des campagnes de fraude".

Des milliers de victimes en ligne et au téléphone

Les victimes ont reçu un mail les incitant à "renouveler l'enregistrement" d'un appareil de confiance, comme un ordinateur ou un téléphone, sans quoi ils pourraient y perdre l'accès à leur compte. Mais les escrocs n'ont pas cherché à immédiatement profiter des données bancaires auxquelles ils avaient pu avoir accès. Les hackers analysaient le solde restant sur le compte des victimes potentielles, le nom de leur agence locale et de leur conseiller bancaire, pour identifier les cibles de valeur notamment. 

"Les identifiants bancaires n'étaient utilisés que pour obtenir des données supplémentaires sur la victime, la principale façon de gagner de l'argent étant d'appeler les victimes et d'utiliser des techniques d'ingénierie sociale pour les inciter à payer pour un faux service", explique Cybernews.

Toutes ces informations leur permettaient également d'arnaquer des clients au téléphone. Ils menaient des arnaques personnalisées pour chaque victime afin de leur soutirer de l'argent contre un faux service. 

Des escrocs mis en compétition

Les équipes de Cybernews sont également tombées sur une donnée particulièrement rare et insolite. Un classement des cybercriminels avait été mis en place afin de savoir qui avait généré le plus de profits grâce à ces arnaques. Cette information a permis de découvrir qu'au moins sept criminels étaient impliqués dans le stratagème. 

À l'image d'un concours pour devenir "l'employé du mois", celui qui arrivait en tête de ce classement avait droit à une prime de 3.000 euros.