Hameçonnage

Les cryptomonnaies rapportent davantage aux hameçonneurs qu'une fraude à la carte bancaire, car il n'existe ni rétrofacturation ni émetteur à appeler. Le rapport de 2023 du FBI sur la fraude liée aux cryptomonnaies a recensé plus de 69 000 plaintes et des pertes supérieures à 5,6 milliards de dollars, et le fichier client divulgué d'un fabricant de portefeuilles matériels a mis en circulation 272 853 adresses de livraison à domicile sous forme de liste de cibles. Toute demande de vos douze ou vingt-quatre mots de récupération est un vol, sans exception.

Comment cela fonctionne

L'hameçonnage contre les détenteurs de bitcoin prend quatre formes, qui appellent des défenses différentes.

L'hameçonnage d'identifiants copie une page de connexion de plateforme sur un domaine sosie, généralement atteint par une annonce publicitaire de moteur de recherche, un faux courriel « connexion inhabituelle détectée » ou une URL mal saisie. La version moderne est un relais en direct : tout ce que vous tapez, y compris le code de votre application d'authentification, est transmis au vrai site en quelques secondes, si bien qu'un code à six chiffres correct ne prouve rien. Seule une clé de sécurité matérielle y résiste, car la clé signe le domaine auquel elle parle réellement et refuse simplement de produire quoi que ce soit d'utilisable pour un sosie.

L'hameçonnage de phrase de récupération contourne le compte et vise le portefeuille. Il se présente sous la forme d'un formulaire de « validation de portefeuille », d'une fausse mise à jour de micrologiciel, d'un agent d'assistance qui doit « synchroniser votre appareil » ou d'une fenêtre de navigateur affirmant que vos fonds sont en danger. Les mots de récupération sont le portefeuille : le BIP39 transforme ces douze ou vingt-quatre mots en toutes les clés privées que vous détiendrez jamais, de sorte que quiconque les lit peut reconstruire l'intégralité de votre portefeuille sur sa propre machine et le vider à loisir. Aucun fabricant, aucune plateforme, aucune équipe d'assistance n'a de raison légitime de les voir, jamais.

L'hameçonnage de signature vous demande d'approuver quelque chose que vous ne pouvez pas lire. C'est surtout un problème propre à Ethereum, où une seule signature peut accorder une autorisation de dépense illimitée sur un jeton, mais les utilisateurs de bitcoin en rencontrent une variante lorsqu'on leur demande de signer une transaction partiellement signée inconnue ou un message arbitraire.

L'assistance usurpée se fond dans l'ingénierie sociale : une réponse sur X ou Telegram provenant d'un compte au bon logo, apparaissant dans les minutes suivant la publication publique de votre problème. Une véritable assistance ne vous contacte jamais la première.

Pourquoi cela compte quand vous achetez du bitcoin

Les défenses qui arrêtent réellement l'hameçonnage sont des choix de configuration que vous faites une fois, et non une vigilance que vous maintenez indéfiniment.

Accédez à votre plateforme toujours de la même façon. Mettez le domaine en favori et n'utilisez que ce favori, jamais un résultat de recherche et jamais un lien contenu dans un courriel. Nos pages d'avis indiquent le site officiel de chacune des 24 plateformes que couvre ce site, ce qui vous donne un second endroit où vérifier une URL.

Ajoutez une clé de sécurité matérielle au compte. Kraken et Coinbase prennent tous deux en charge les clés FIDO2, et c'est le seul facteur qu'une attaque par relais en temps réel ne peut pas transmettre. Si une clé n'est pas possible, une application d'authentification reste préférable aux messages texte.

Activez une liste blanche d'adresses de retrait, afin qu'une session volée ne puisse pas inventer une destination.

Traitez les mots de récupération comme écrits une fois pour toutes. Ils sont notés sur papier ou sur métal lors de la configuration et ne sont jamais saisis dans un téléphone, un ordinateur, une photo, un gestionnaire de mots de passe ou un formulaire. Un portefeuille matériel les demande sur son propre écran lors de la configuration ou de la récupération, et à aucun autre moment. Si un logiciel les demande, ce logiciel est hostile, même si le logo paraît convaincant.

Enfin, ralentissez face à tout ce qui arrive avec une échéance. L'urgence est le seul ingrédient que partagent tous les messages d'hameçonnage, car une personne qui a le temps de vérifier la barre d'adresse cesse d'être une victime.

La liste de clients de Ledger, encore exploitée des années plus tard

En juillet 2020, Ledger a révélé que sa base de données de commerce électronique et de marketing avait été compromise, exposant environ un million d'adresses électroniques ainsi qu'un ensemble plus restreint de dossiers clients détaillés.

En décembre 2020, la fuite complète a été publiée ouvertement : 272 853 enregistrements de commandes contenant les noms, les numéros de téléphone et les adresses postales de personnes ayant acheté un portefeuille matériel. C'est une liste de foyers dont on sait qu'ils détiennent des cryptomonnaies, avec leur lieu de résidence.

Ce qui a suivi est la raison pour laquelle cette page nomme l'incident. Les victimes ont reçu des courriels et des textos d'hameçonnage présentés comme des avis de sécurité de Ledger pendant des années. En 2021, certaines ont reçu des colis contenant de faux appareils Ledger accompagnés d'un mot affirmant que l'original était remplacé pour des raisons de sécurité, et d'instructions pour saisir la phrase de récupération existante dans le nouveau matériel. D'autres ont reçu des messages d'extorsion mentionnant leur adresse personnelle.

La leçon vaut au-delà d'une entreprise. Les données prélevées dans les systèmes marketing d'un fournisseur suffisent à rendre l'hameçonnage personnel et crédible, et elles n'expirent pas. Partez du principe qu'une entreprise auprès de laquelle vous avez acheté du matériel ou des services liés au bitcoin divulguera vos coordonnées à un moment ou à un autre, et bâtissez une configuration où cette fuite est embarrassante plutôt que coûteuse.

Hameçonnage vs ingénierie sociale

L'hameçonnage est une technique à l'intérieur de la pratique plus large de l'ingénierie sociale. L'ingénierie sociale désigne toute attaque qui persuade un humain d'agir contre son propre intérêt ; l'hameçonnage en est la version industrialisée et fondée sur des messages, envoyée à des milliers de personnes dans l'espoir qu'une fraction réponde. La distinction compte au moment de choisir ses défenses. L'hameçonnage se résout largement par la technologie, puisque les clés de sécurité, les favoris et les listes blanches fonctionnent que vous soyez attentif ou non. L'ingénierie sociale au sens large, en particulier un appel téléphonique en direct adapté à vous, exige plutôt des règles de procédure : ne déplacez jamais des fonds parce qu'un contact entrant vous l'a demandé.

Hameçonnage vs arnaque dite « pig butchering »

L'hameçonnage veut un identifiant dans les soixante prochaines secondes ; l'arnaque dite « pig butchering » veut une relation sur les six prochains mois. Un message d'hameçonnage usurpe un service que vous utilisez déjà et est conçu pour être exécuté immédiatement, avant que vous ne réfléchissiez. L'arnaque dite « pig butchering » construit la confiance par des semaines de conversation ordinaire, puis présente une plateforme d'investissement qui affiche de faux profits et autorise un retrait précoce pour prouver qu'elle fonctionne. Les pertes dues à la seconde sont généralement bien plus importantes, car la victime les finance volontairement, à répétition, et avec de l'argent qu'elle est allée chercher.