Alerte de sécurité Web3 – Spoofing par SMS

Vue d'ensemble

● Cet article explique les mécanismes du spoofing par SMS et la manière dont il est utilisé dans les attaques par hameçonnage ciblant les utilisateurs de Bitget. Il explique comment les escrocs falsifient l'identité des expéditeurs et exploitent la psychologie humaine pour réaliser leurs méfaits.

● Il décrit également les mesures de sécurité de Bitget, notamment les périodes d'attente, les canaux de vérification officiels et l'authentification à deux facteurs (2FA) mis en place pour protéger les comptes des utilisateurs.

● Enfin, il fournit aux utilisateurs des bonnes pratiques pour renforcer la sécurité de leur compte, comme l'installation d'un logiciel antivirus, l'évitement des liens suspects et la gestion des informations sensibles entre les différentes plateformes.

Récemment, nous avons observé une augmentation des tactiques d'hameçonnage dans certains pays et régions où les escrocs falsifient des messages SMS officiels qui se fondent parfaitement dans les conversations légitimes entre les utilisateurs et la plateforme Bitget, ce qui les rend extrêmement difficiles à détecter. Une vague d'attaques par hameçonnage ciblant les utilisateurs de Bitget a exploité cette faille – de faux SMS apparaissent dans le même fil de discussion que les messages officiels, en utilisant souvent des identifiants d'expéditeur identiques, ce qui pose un risque de sécurité important.

À mesure que les smartphones deviennent indispensables tant dans la vie professionnelle que personnelle, la cybercriminalité visant les appareils mobiles est elle aussi en forte augmentation. La messagerie texte étant l'une des fonctionnalités les plus courantes des smartphones, l'hameçonnage par SMS est devenu une menace particulièrement furtive. Voyons comment fonctionne le spoofing par SMS.

Qu'est-ce que le spoofing par SMS ?

Le spoofing par SMS est un type de cyberfraude dans lequel les attaquants falsifient le numéro de téléphone ou l'identifiant de l'expéditeur. Lorsque des messages sont reçus, le smartphone les regroupe dans des fils de discussion existants sur la base des informations relatives à l'expéditeur, faisant croire aux victimes que les messages proviennent d'une source fiable (comme une banque, un ami ou une institution officielle). Les escrocs utilisent ce déguisement pour inciter les victimes à révéler des informations personnelles, à cliquer sur des liens malveillants, à télécharger des malwares ou même à transférer des fonds, ce qui entraîne une fraude ou un vol de données.

Comment ça fonctionne

● Fausse identité de l'expéditeur : les attaquants peuvent se faire passer pour n'importe quel numéro, comme Bitget, des agences gouvernementales ou même des contacts personnels, ce qui donne au message une grande crédibilité.

● Intention déguisée : les messages sont généralement présentés comme des annonces urgentes, des alertes de sécurité ou des mises à jour importantes afin de faire baisser la garde de la victime.

● Attaques ciblées : les messages imitent souvent les notifications de plateformes spécifiques (comme les plateformes d'échange crypto), ce qui crée la confusion et induit les utilisateurs en erreur.

Scénarios courants

● Attaque par hameçonnage : incite les utilisateurs à cliquer sur de faux liens qui mènent à des sites d'hameçonnage dérobant les informations d'identification du compte.

● Escroqueries par usurpation d'identité : les attaquants se font passer pour des amis, des institutions ou des représentants du service client pour demander des transferts d'argent.

● Logiciels malveillants : ils consistent à intégrer du code ou des liens malveillants dans les SMS pour infecter l'appareil de l'utilisateur.

Principe sous-jacent

Quel que soit le scénario, le cœur du spoofing par SMS réside dans la tromperie et la manipulation. En se faisant passer pour une personne de confiance, les escrocs ont plus de chances de réussir. Ces attaques font souvent appel à l'ingénierie sociale, c'est-à-dire à la manipulation des émotions et du comportement humains pour piéger les victimes. Voici comment les pièges sont tendus :

● Exploitation de la confiance : des cybercriminels se font passer pour des entités légitimes ou des identités crédibles (service client Bitget, affiliés, amis, KOL), misant sur notre réflexe de faire confiance à des noms familiers. Les SMS étant perçus comme privés, les utilisateurs sont plus enclins à croire l'information sans la remettre en question.

● Pertinence contextuelle : les escrocs adaptent leurs messages pour qu'ils correspondent à des situations qui font sens, comme prétendre envoyer une alerte de retrait depuis votre compte Bitget. Les SMS étant généralement utilisés pour des mises à jour importantes, les destinataires sont moins susceptibles de douter immédiatement de leur authenticité, ce qui les rend plus vulnérables au piège de l'attaquant.

● Manipulation émotionnelle : en créant un sentiment d'urgence (par exemple, "activité anormale du compte" ou "vérification requise"), ou en exploitant la peur, la curiosité ou l'anxiété, les escrocs prennent le pas sur le jugement rationnel. Les victimes sont poussées à prendre des décisions irréfléchies - cliquer sur des liens, saisir des mots de passe ou soumettre des codes 2FA. Cette interférence émotionnelle est la clé du succès des ces escroqueries.

Principes techniques

● Spoofing l'identité de l'expéditeur : les escrocs utilisent des logiciels ou des scripts malveillants pour falsifier le numéro de l'expéditeur et envoyer des SMS directement sur votre téléphone.

● Services VoIP : les services de voix sur IP (VoIP) permettent aux attaquants de définir n'importe quel nom ou numéro d'expéditeur. Par exemple, ils peuvent usurper le numéro officiel du service client de Bitget afin que de faux messages apparaissent dans votre fil de discussion SMS Bitget légitime. Lorsque ces faux SMS sont envoyés à votre téléphone, ils peuvent apparaître directement dans votre conversation SMS normale avec Bitget, vous faisant croire qu'il s'agit d'une alerte officielle.

● Passerelles SMS : les attaquants peuvent louer ou détourner des passerelles SMS malhonnêtes, ou s'entendre avec des fournisseurs de services véreux, pour envoyer de faux messages semblant provenir de Bitget.

Protections de sécurité Bitget

Bitget s'engage à vous donner une longueur d'avance et à vous tenir pleinement informé de ce qui se passe sur votre compte.

Alertes par e-mail

Si vous avez lié votre adresse e-mail, vous recevrez un e-mail chaque fois que vous vous connecterez à partir d'un nouvel appareil. Ces e-mails comprennent votre code anti-hameçonnage, votre code de vérification, votre lieu de connexion, votre adresse IP et les détails de votre appareil. Prenez toujours le temps de vérifier que ces informations correspondent à votre activité.

Si vous accédez à votre compte à partir d'un autre endroit, vous recevrez un e-mail de suivi vous informant de la connexion. Veuillez vérifier cet accès.

Lorsque vous effectuez un retrait, vous recevez un e-mail contenant le code de vérification et tous les détails de la transaction. Vérifiez toujours que tout correspond au retrait prévu.

Période d'attente (1 heure ou 24 heures)

Pour éviter les actions impulsives causées par des escroqueries, Bitget a mis en place une période d'attente – une mesure de sécurité temporaire déclenchée lorsque le système détecte des risques potentiels pour le compte (comme des emplacements de connexion inhabituels, des transactions suspectes ou des soupçons de fraude).

Période d'attente : en fonction du niveau de risque (1 heure ou 24 heures).

● 1 heure : pour les scénarios à faible risque (par exemple, les connexions à distance), ce court délai met en pause les retraits afin que les utilisateurs puissent vérifier l'activité du compte.

● 24 heures : pour les scénarios à haut risque (par exemple, les changements de méthode de vérification ou les risques d'hameçonnage), tous les retraits sont suspendus, ce qui donne aux utilisateurs le temps de réévaluer la sécurité de leur compte.

Canaux de vérification officiels

Si vous n'êtes pas sûr de l'identité d'une personne, vous pouvez toujours la vérifier via le canal de vérification officiel de Bitget.

Meilleures pratiques pour la sécurité des comptes

Activer plusieurs méthodes 2FA

L'authentification à deux facteurs (2FA) est une couche de protection essentielle qui nécessite deux méthodes distinctes de vérification de l'identité. Il peut s'agir de combinaisons d'e-mails, de mots de passe, de SMS, de Google Authenticator, de clés de sécurité ou d'autres méthodes. L'utilisation de plusieurs options 2FA renforce considérablement la sécurité et la fiabilité de votre compte.

Configurer le code anti-hameçonnage

Un code anti-hameçonnage est une fonctionnalité de sécurité fournie par Bitget pour aider les utilisateurs à identifier les sites web d'hameçonnage. Une fois activé, tous les e-mails et SMS officiels de Bitget (à l'exception des codes de vérification par SMS) incluront votre code anti-hameçonnage unique. Les e-mails et les SMS d'hameçonnage ne contiendront pas de codes anti-hameçonnage, ce qui permettra aux utilisateurs d'identifier facilement s'ils proviennent des canaux officiels de Bitget.

Pour le configurer, allez dans Profil > Sécurité > Code anti-hameçonnage et suivez les instructions.

Lisez cet article pour plus de détails sur les codes anti-hameçonnage.

Activer la confirmation de l'adresse de retrait

Lorsque vous retirez des fonds via le site web de Bitget, il existe un risque d'activités malveillantes telles que le détournement de trafic, qui peut altérer votre adresse de retrait. Pour éviter cela, Bitget propose un commutateur de vérification inter-appareils. Vous devrez scanner un QR code via l'application mobile Bitget pour confirmer l'adresse de retrait avant que la demande ne puisse être traitée.

Avoir une bonne hygiène de compte

Installez un logiciel antivirus. Téléchargez toujours des applications et des logiciels à partir de sources officielles fiables et évitez de cliquer sur des liens reçus par SMS. Pour renforcer la sécurité de votre compte, envisagez d'utiliser un appareil dédié pour accéder aux comptes sensibles ou confidentiels. Ne mettez jamais tous vos œufs dans le même panier. Évitez de vous connecter à votre messagerie, d'insérer une carte SIM et de stocker Google Authenticator sur le même téléphone. En cas de perte ou de compromission de votre appareil, le fait de tout avoir sur un seul appareil peut signifier tout perdre. La répartition des risques peut réduire considérablement les pertes potentielles.

Conclusion – La sécurité commence par la vigilance, qui dépend de vous

La technologie peut construire des défenses dans le domaine de la sécurité des réseaux, mais votre sensibilisation et votre vigilance sont les protections ultimes. Les escrocs prospèrent sur la confusion et l'urgence, mais lorsque vous êtes informé, vous pouvez repérer les pièges et réagir en toute confiance. Bitget fournit un cadre de sécurité à plusieurs niveaux pour protéger les utilisateurs, mais la protection la plus puissante est votre propre compréhension du risque. Chaque connaissance de l'existence d'une escroquerie est un bouclier de plus pour protéger vos actifs.

Le savoir est une arme. L'action est une protection. Bitget continuera à mettre à jour ses alertes de risque ainsi que les ressources de lutte contre les escroqueries. Chaque fois que vous vérifiez un détail ou que vous prenez une décision prudente, vous fermez la porte aux escrocs. Travaillons ensemble pour faire de la sécurité notre fondement commun.

Pour en savoir plus : Meilleures pratiques de sécurité Bitget