Si vous recevez cet e-mail de France Identité, n'y répondez surtout pas !

L'application France Identité alerte ses utilisateurs d'une campagne de phishing sophistiquée. Les pirates combinent une technique ancienne d'usurpation d'adresse mail avec un ciblage précis des utilisateurs du service d'identité numérique gouvernemental.

Pour un service censé sécuriser notre identité numérique, il faut avouer que se retrouver ciblé par des pirates informatiques, c'est pour le moins ironique.

France Identité, l'application gouvernementale permettant d'avoir sa carte d'identité sur son téléphone, est la cible d'une campagne de phishing à la fois ancienne et contemporaine.

Le retour inattendu d'une technique de piratage vintage

Les années 90 font leur grand retour, mais pas uniquement dans la mode. Une méthode de piratage que l'on croyait reléguée aux oubliettes refait surface : l'usurpation d'adresse mail. À l'époque, de nombreux serveurs ne vérifiaient pas l'identité des expéditeurs, et les hackers s'en donnaient à cœur joie en envoyant des messages depuis n'importe quelle adresse. Si la plupart des serveurs modernes se sont depuis mis à jour, avec notamment les fameuses vérifications cryptographiques, certains ont du mal à quitter le siècle dernier et restent mal configurés.

C'est la timbale pour les hackers. Ils ciblent ces serveurs vulnérables et envoient des messages qui semblent provenir de l'adresse officielle « [email protected] ». Selon Thibaut Hénin, expert en sécurité informatique que Le Parisien a interrogé sur le sujet, « il reste malgré tout possible que des pirates soient tombés sur des serveurs encore mal configurés et vulnérables, qui acceptent ce genre de manœuvres frauduleuses ».

A priori, rien de plus simple comme technique, et probablement même inoffensive, sauf quand il s'agit du serveur d'un service gouvernemental. À l'heure de la transformation numérique, l'un des cinq chantiers transverses d'Action publique 2022, les utilisateurs sont désormais habitués à recevoir des communications officielles. Ils baissent naturellement leur garde lorsqu'ils reçoivent un e-mail de type « .gouv.fr ».

Les pirates adaptent leurs méthodes à l'ère de l'administration numérique

La véritable innovation de cette attaque réside dans son contexte. Les pirates ont parfaitement intégré les codes de l'administration numérique : références à des décrets, ton officiel, signature de la direction du service.

Comme vous pouvez le voir dans le message d'alerte publié par France Identité en personne sur son compte X.com, le message demande « dans le cadre de la vérification et pour des raisons de sécurité et de performances » l'envoi d'une copie de carte d'identité et d'un justificatif de domicile.

Cette demande n'aurait rien d'anormal dans le contexte d'un service d'identité numérique.

Sauf que ces documents, une fois récupérés, permettent aux hackers de s'adonner à leur hobby favori, l'usurpation d'identité en bonne et due forme. Selon Nicolas Arpagian, conférencier en sécurité numérique, « ces copies vont ensuite permettre de procéder à des escroqueries, par exemple en revendant des profils avec des identités, ou en procédant à des démarches administratives en ligne, comme des crédits à la consommation ». Tout de suite, ce qui apparaissait comme normal prend une autre dimension, celle d'un véritable cauchemar administratif, financier et social.

Pour repérer l'arnaque, quelques indices peuvent mettre la puce à l'oreille. D'abord, notez que l'adresse « noreply » (ne pas répondre) demande pourtant une réponse. Ensuite, le champ « répondre à » montre une adresse différente, souvent légèrement modifiée comme « [email protected] ». Enfin, le ton pressant du message est particulièrement inhabituel dans les communications administratives.

Comme souvent, le doute est votre meilleur conseiller. N'hésitez pas à vous connecter directement au service concerné ou à le contacter sur son site ou ses réseaux. Et comme le rappelle France Identité, « la bonne attitude face à ces courriels frauduleux » est de ne pas répondre, mais d'effectuer leur signalement sur les plateformes Signal Spam (http://signal-spam.fr) et Cybermalveillance (http://cybermalveillance.gouv.fr).

Source : Le Parisien