Nouvelle vague de phishing : des profils dérobés pour des escroqueries !

Une campagne de fraude agressive cible actuellement les utilisateurs d’Instagram. Les criminels attirent leurs victimes avec des promesses de followers gratuits et de fonctionnalités spéciales, tout en cherchant à voler leurs identifiants. Les experts en sécurité alertent sur cette technique bien rodée.

Le BSI a enregistré une augmentation significative des prises de contrôle de comptes. Ces attaquants tirent parti du désir de validation numérique et de croissance rapide que ressentent de nombreux utilisateurs. Leurs promesses semblent alléchantes : des milliers de nouveaux abonnés, la vérification tant convoitée ou l’accès à des fonctionnalités live exclusives, le tout prétendument gratuit.

Le piège parfait : statut et fonctionnalités

Pourquoi ce type de fraude fonctionne-t-il si bien ? La réponse réside dans les règles même de la plateforme. Certaines fonctionnalités, comme les options de live stream avancées ou les outils de monétisation, ne sont accessibles qu’à partir d’un certain nombre de suiveurs. Ainsi, pour de nombreux micro-influenceurs, atteindre le cap des 1 000 abonnés devient un véritable défi.

Ce stress est habilement exploité par les criminels. Ils contactent directement les utilisateurs ou lancent des publicités promettant une “activation instantanée”. Déguisés en “action de marketing” ou en “bêta test”, ils piègent leurs victimes. Il suffit parfois de demander une prétendue vérification d’identité, après quoi il est déjà trop tard.

Deux pièges dangereux détaillés

Les attaques techniques actuellement observées présentent un niveau d’expertise alarmant. Les experts en sécurité identifient deux méthodes principales :

• Applications tierces falsifiées : Les utilisateurs sont renvoyés vers des applications extérieures aux magasins officiels, qui imitent le design d’outils d’analyse légitimes. Ainsi, en se “connectant”, les noms d’utilisateur, mots de passe, et mêmes codes 2FA se retrouvent directement entre les mains des fraudeurs.
• Pages de connexion idéales : Les liens dans les messages directs dirigent vers des sites qui copient pixel par pixel le cadre de connexion de Meta. Les URL sont à peine distinguables de l’original, grâce à des techniques comme le “typosquatting” (exemples : “lnstagram-security-check.com”).

Une fois qu’un compte est compromis, des scripts automatisés en prennent le contrôle immédiatement, changeant les mots de passe et bloquant l’accès au véritable propriétaire.

De victime à outil : l’escalade de la fraude

Pour les auteurs, la prise de contrôle d’un compte n’est souvent que le début. Les profils piratés servent instantanément d’armes pour d’autres actes criminels, avec des messages provenant d’un ami de confiance qui rendent ces attaques particulièrement percutantes.

Actuellement, deux scénarios prédominent :
* Réseaux de crypto-monnaies : Sur les histoires du compte piraté, apparaissent subitement de fausses offres d’investissement (ex. : “5 000 euros en 2 heures !”). Les amis et abonnés sont ainsi piégés dans des escroqueries financières.
* La méthode du code : Les fraudeurs contactent les amis de la victime et prétendent être bloqués. Ils demandent un code de sécurité par SMS. Ceux qui se laissent berner risquent de perdre leur compte ou de subir des prélèvements indésirables.

L’IA rend la fraude presque indétectable

Cette nouvelle vague de fraudes est caractérisée par une professionnalisation accrue de la cybercriminalité, alimentée par l’utilisation de l’intelligence artificielle. Les messages de phishing sont souvent générés par des modèles de langage IA qui imitent à la perfection le ton et le jargon de la cible. Les fautes d’orthographe, autrefois un indice certain de fraude, ne sont plus un problème.

De plus, l’automatisation permet des milliers d’attaques simultanées, faisant des réseaux sociaux des terrains de jeu pour des schémas de fraude, souvent causant un véritable désastre financier pour l’entourage de la véritable victime.

Conseils pour se protéger contre le vol de compte

Les experts sont unanimes : ce type d’ingénierie sociale continuera à croître. La meilleure défense reste la prudence. Le BSI et d’autres organismes conseillent vivement ces mesures :

• Développez une méfiance envers les “cadeaux” : Personne ne distribue des milliers de vrais abonnés. Ces offres sont presque toujours frauduleuses.
• Activez une authentification forte en deux étapes : Utilisez une application d’authentification (comme Google Authenticator) au lieu de codes SMS, plus facilement interceptables.
• Examinez les liens avec attention : Ne saisissez jamais vos identifiants en accédant à un lien trouvé dans un message. Visitez Instagram directement depuis votre navigateur ou via l’application officielle.
• Remettez en question les messages inhabituels : Si un ami mentionne subitement une opportunité d’investissement ou demande “de l’aide de toute urgence”, joignez-le par un autre moyen — appel ou autre messagerie — pour vérifier.

Pour récupérer un compte volé, il s’agit souvent d’un combat long et bureaucratique avec la plateforme. Dans le monde numérique, plus que jamais, il vaut mieux prévenir que guérir.