Fraude par carte-cadeau

Le monde de la cybersécurité est constamment confronté à de nouvelles souches de rançongiciels qui paralysent les entreprises de toutes tailles. Malheureusement, cela a détourné l'attention d'autres cyberattaques, comme les arnaques aux cartes-cadeaux. Le département de la Justice américain a annoncé cette semaine la mise en examen de quatre personnes impliquées dans cette escroquerie et affirme que ces quatre individus ont utilisé plus de 5 000 cartes obtenues frauduleusement.

Qu'est-ce qu'une arnaque à la carte-cadeau ?

Les arnaques aux cartes-cadeaux consistent pour des cybercriminels à utiliser des cartes-cadeaux que vous (ou votre entreprise) avez achetées, soit parce que vous étiez convaincu que ces cartes étaient destinées à un autre usage, soit parce que les escrocs ont obtenu un accès temporaire à l'un de vos comptes en ligne, leur permettant ainsi d'acheter des cartes-cadeaux avec votre argent. Ces arnaques n'exigent généralement pas de paiements aussi importants que les attaques par rançongiciel , mais les sommes détournées peuvent tout de même être considérables. On pourrait penser que les cartes-cadeaux ne permettent pas aux criminels d'aller bien loin, mais elles permettent généralement d'ajouter jusqu'à 200 $ chacune. Ainsi, les escrocs ont utilisé frauduleusement 5 000 cartes, ce qui, en théorie, aurait pu représenter jusqu'à 1 million de dollars. C'est une somme importante qui peut avoir des conséquences désastreuses pour les entreprises, en particulier les PME.

Comment cela peut-il arriver?

Les cybercriminels utilisent fréquemment des techniques d'ingénierie sociale pour parvenir à leurs fins. Ils s'introduisent dans les réseaux d'entreprise et exploitent les failles d'accès aux systèmes informatiques pour acheter des cartes-cadeaux ; ils usurpent l'identité du PDG et demandent aux ressources humaines d'acheter des cartes-cadeaux pour des primes ; ils abusent de la confiance accordée aux sites de données en ligne. Vous trouverez ci-dessous trois exemples typiques.

Exploit de réseau Piratage de carte-cadeau

Pendant les fêtes de fin d'année 2020, l'équipe d'intervention rapide de Sophos a déjoué une attaque de ce type menée par un groupe de cybercriminels. Ces derniers ont accédé au réseau d'une entreprise et aux appareils de chaque utilisateur afin de vérifier s'ils pouvaient accéder à un compte de messagerie (ou de commerce électronique) déjà connecté. Ils ont ainsi pu acheter plusieurs cartes-cadeaux avant que l'alerte ne soit donnée et que l'équipe d'intervention de Sophos ne soit appelée.

Les arnaqueurs romantiques

Un autre exemple où les cartes-cadeaux sont compromises par des pirates informatiques concerne les escrocs sentimentaux, qui aiment organiser des « paiements » par carte-cadeau, attirant leurs victimes souvent dupées par la croyance d'avoir trouvé un ami ou un futur conjoint grâce à un faux profil de rencontre, et leur envoyant de l'argent, parfois par le biais de cartes-cadeaux.

Salut, t'es occupé?

Il arrive fréquemment que des pirates informatiques usurpent l'identité de personnalités publiques d'une entreprise en contactant les ressources humaines par courriel, se faisant passer pour le PDG. Dans cette escroquerie, le pirate envoie un courriel anodin du type « Bonjour, êtes-vous disponible ? » au service des ressources humaines. S'il obtient une réponse, il demande alors des cartes-cadeaux. Ce type d'escroquerie a fait l'objet d'une enquête de CyberHoot dans le cadre d'une affaire de détournement de 25 000 $ de cartes-cadeaux, soit des centaines de cartes de 100 $.

Que faire?

Les pirates informatiques savent que leur seule arme est l'ingénierie sociale. Une fois conscient de cela, vous pouvez être attentif aux attaques par usurpation d'identité, aux arnaques sentimentales et aux violations de données informatiques et réseau. N'utilisez jamais de cartes-cadeaux comme moyen de paiement pour des raisons non personnelles. Suivre ces conseils vous protégera des diverses arnaques aux cartes-cadeaux.

Autres bonnes pratiques en matière de cybersécurité 

Il existe d’autres mesures que vous devez prendre pour protéger votre entreprise contre d’autres attaques et préjudices, notamment :

• Adoptez un Password Manager pour une meilleure hygiène des mots de passe personnels/professionnels
• Exiger authentification à deux facteurs sur tout Solution SaaS ou des comptes critiques
• Exiger des mots de passe de 14 caractères ou plus dans votre Politiques de gouvernance
• Former les employés pour repérer et éviter les e-mails phishing attaques
• Vérifiez que les employés peut repérer et éviter les e-mails de phishing en les testant
• Sauvegarder les données à l'aide du Méthode 3-2-1
• Incorporer le Principe du moindre privilège
• Effectuer une évaluation des risques tous les deux à trois ans

Si vous souhaitez en savoir plus sur les escroqueries aux cartes-cadeaux, regardez cette courte vidéo :

Source : NakedSecurity – Sophos

Lectures complémentaires : Le ministère de la Justice américain inculpe quatre personnes pour blanchiment d’argent

Découvrez comment CyberHoot peut sécuriser votre entreprise.

Planifier démo