C’est la dernière arnaque à la mode : un hacker prétend vous avoir piraté et exige un virement de 500 euros en Bitcoin. Le mail est plutôt crédible, car il est envoyé depuis votre propre adresse email. Mais ne vous fiez pas aux apparences. Ce hacker n’a pas accès à votre boîte mail, il utilise simplement une technique informatique permettant d’usurper votre identité. Explications.
Un email menaçant envoyé depuis sa propre adresse email
Cette arnaque par email aurait commencé lors de l’été 2018. Les victimes reçoivent un email écrit par un hacker qui prétend avoir piraté leur ordinateur.
« Je comprends que ce soit difficile à croire, mais ceci est ma preuve (j’ai envoyé cet email depuis votre compte) ».
C’est troublant : vous jetez un œil à l’expéditeur, et vous découvrez votre propre adresse email, voire votre prénom, votre nom et votre photo (en fonction de votre messagerie). Ces premiers éléments crédibilisent le piratage. Le hacker poursuit en tentant de vous embrouiller : il explique qu’il a exploité une faille de sécurité puis emploie des mots techniques que 99% des internautes ne comprendront pas. Il indique qu’il est inutile de changer votre mot de passe, qu’il a parcouru votre historique web, qu’il a accès à votre webcam, qu’il détient des photos et des vidéos de vous… et menace de tout envoyer à vos contacts si vous ne lui transférez pas quelques centaines d’euros en Bitcoin.
Ne le faites surtout pas : c’est un piège. Le hacker n’a pas réellement accès à vos données personnelles, il a simplement usurpé votre adresse email.
Le hacker a simplement usurpé votre adresse email
Cette arnaque est basée sur de l’email spoofing, l’usurpation de votre adresse email. L’adresse d’expédition d’un email est une donnée peu sécurisée : une personne mal intentionnée qui s’y connait un peu en informatique peut facilement masquer sa véritable identité et choisir l’adresse email indiquée dans le champ Expéditeur. Cette donnée peut être falsifiée et c’est précisément ce qu’il s’est passé. Le hacker n’a pas vraiment envoyé ce mail depuis votre messagerie, il a simplement remplacé sa véritable identité par votre adresse email – et votre système de messagerie n’y a vu que du feu.
En effet, si ce type d’arnaque peut, à raison, faire peur aux utilisateurs, les systèmes peuvent repérer l’email spoofing – et bloquer l’email ou le placer dans les SPAMs. La plupart des messageries réussissent à les bloquer, mais certains emails passent à travers les mailles du filet : c’est ce qu’il s’est passé si vous avez reçu un email menaçant provenant de votre adresse email.
Le plus simple, pour un hacker mal intentionné, est d’utiliser l’email spoofing avec la même adresse email en expéditeur et en destinataire : la victime reçoit un email provenant de sa propre adresse, la menace semble crédible (encore une fois, vous n’avez rien à craindre). Mais cette technique peut également être utilisée pour des escroqueries plus complexes : des comptables peuvent ainsi recevoir un email les invitant à réaliser de prochains virements sur un autre compte bancaire, détenu par des escrocs. Ces derniers se font alors passer pour des personnes qui font autorité, tel que le Président de l’entreprise ou un fournisseur bien identifié.
Dans tous les cas : si vous avez reçu un email d’un prétendu hacker, envoyé avec votre adresse email, ne payez pas la rançon demandée, c’est une arnaque. Et en cas de doute sur l’identité de l’expéditeur, ou si des sommes d’argent sont en jeu, n’hésitez pas à contacter la personne directement, par téléphone par exemple, pour être sûr qu’elle est bien à l’origine de la demande.