Vous faites peut-être partie des 2,5 milliards d'utilisateurs Gmail menacés par ce deepfake audio

Gmail se retrouve malgré lui la cible d'une cyberattaque qui vise ses 2,5 milliards d'utilisateurs. Une tentative de phishing plutôt innovante, qui allie e-mail frauduleux et IA.

Les cybercriminels, c'est un peu comme Windows : la mise à jour est régulière. Et quitte à innover pour rafler des données personnelles, autant le faire avec une cible qui en détient des milliards de milliards. Gmail semble répondre à ce critère, lui qui se targue de ses 2,5 milliards d'utilisateurs dans le monde.

Si ça n'est pas la première fois que la messagerie de Google fait l'objet de support pour des tentatives de phishing, cette fois, place à un stratagème complexe mêlant phishing classique et technologie de pointe. L'escroquerie se déroule en deux actes. D'abord, un e-mail de récupération de compte apparemment inoffensif. Puis, quelques dizaines de minutes plus tard, un appel mystérieux censé provenir des services Google.

Une arnaque en deux temps redoutablement efficace

Sam Mitrovic, consultant chez Microsoft, s'est retrouvé dans la ligne de mire des escrocs. Son expérience, qu'il raconte sur son site, montre que les hackers ne font pas les choses à moitié. Tout commence par un banal e-mail de récupération de compte Gmail, qu'il rejette d'un clic. Quarante minutes plus tard, il reçoit un appel manqué d'un prétendu « Google Sydney ». Même réaction, il l'ignore.

Une semaine s'écoule, et le scénario se répète. Cette fois, Sam Mitrovic décroche. Son interlocuteur, à l'accent américain, se présente comme un agent du support Google. « C'est une voix américaine, très polie et professionnelle. Le numéro est australien. Il se présente et dit qu'il y a une activité suspecte sur mon compte », décrit-il.

« Il me demande si je voyage, quand je dis non, il me demande si je me suis connecté depuis l'Allemagne, ce à quoi je réponds non », explique le consultant, à qui son interlocuteur indique alors que «  quelqu'un a eu accès à [son] compte pendant une semaine et qu'il a téléchargé les données du compte ». Sam Mitrovic se rappelle alors la notification de récupération une semaine avant.

N'importe quel utilisateur suerait déjà à grosses gouttes. Mais l'expert en cybersécurité remarque des détails troublants : un temps de latence anormal dans les réponses, une diction trop parfaite… Il réalise alors qu'il s'agit d'une voix générée par intelligence artificielle, programmée pour l'inciter à livrer ses identifiants.

L'IA, nouvelle arme des cybercriminels

Il semble que l'on soit face à une nouvelle génération d'arnaques liées au développement de l'intelligence artificielle. Les deepfakes audio, capables de reproduire n'importe quelle voix avec un réalisme saisissant, deviennent un outil redoutable pour les cybercriminels. L'IA s'adapte désormais en temps réel, changeant d'accent ou de langage selon les besoins.

Pourtant, Google met les petits plats dans les grands en ce qui concerne la sécurité de sa messagerie. La force G des GAFAM renforce constamment la sécurité de sa messagerie. Comme nous vous l'annoncions récemment sur Clubic, l'entreprise a étendu l'utilisation de ses badges de certification aux applications iOS et Android de Gmail. Ces coches bleues, auparavant visibles uniquement en version web, permettent d'identifier facilement les expéditeurs légitimes.

Un nouveau type de certificat, le CMC (Common Mark Certificates), a également été introduit. Il donne accès à un plus grand nombre d'expéditeurs à cette certification, même sans marque déposée.

Enfin, il a annoncé son adhésion à la Global Signal Exchange, une initiative destinée à partager en temps réel des informations sur les fraudes en ligne. L'entreprise collabore également avec la Global Anti-Scam Alliance (GASA) et la DNS Research Federation (DNS RF) pour lutter contre les escroqueries en ligne. Cette alliance vise à générer des informations en temps réel sur les escroqueries, la fraude et d'autres formes de cybercriminalité.

Sources : Begeek, Sam Mitrovic