Ah ! Les fêtes de fins d’année… Cette période qui sent bon le pain d’épices, les cadeaux colorés, les playlists à grelots… et les arnaques imaginatives.
Entre les paniers d’achat en ligne qui débordent et les airs festifs qui tournent en boucle sur les plateformes de streaming – fans de Mariah, on vous entend –, la saison des fêtes a déjà commencé. Un constat qui vaut pour les petits, les grands… et les pirates. Repérées par Bleeping Computer et confirmées par Malwarebytes, plusieurs campagnes d’arnaques en ligne ciblent actuellement Spotify et les services Amazon. À période spéciale, stratégie inventive : cette fois-ci, les hackers redoublent de créativité.
De fausses playlists et des annonces tape-à-l’œil
Les arnaques en ligne sont plutôt communes en fin d’année, mais celles repérées sur Spotify, Amazon et Audible sortent du lot.
Sur Spotify et Audible, des playlists et de faux épisodes de podcasts– parfois d’une durée de 0 seconde – commencent à fleurir à droite et à gauche. Objectif : utiliser ces contenus audio vides pour diffuser des descriptions truffées de mots-clés stratégiques. Dans le détail, ces synopsis, conçus pour manipuler les moteurs de recherche, renvoient les utilisateurs vers des liens promettant cracks, cheat codes ou autres contenus pirates. Évidemment, ces offres trop belles pour être vraies distribuent des malwares à la volée et infectent les appareils des internautes piégés.
Du côté d’Amazon, la technique diffère légèrement, mais relève de la même combine. Des vendeurs fictifs publient des annonces frauduleuses pour des produits inexistants, souvent liés au forex ou à des services financiers soi-disant révolutionnaires. Visuels et descriptions soignées à l’appui, ces publications paraissent fiables au premier coup d’œil, mais renvoient en réalité vers des groupes Telegram ou des sites tiers, dont le but consiste à dérober des données personnelles et des fonds bancaires.
En bref, sur Spotify comme sur les services Amazon concernés, les hackers tirent parti d’une combinaison bien ficelée de deux éléments clés :
- La structure ouverte des plateformes : Spotify permet à n’importe quel utilisateur ou utilisatrice de publier une playlist ou un épisode de podcast, tout comme Amazon autorise des vendeurs tiers à proposer leurs produits. Ces mécanismes facilitent la diffusion massive de contenus frauduleux sans contrôle immédiat.
- Le référencement naturel : en insérant des mots-clés très populaires dans les descriptions (comme "crack logiciel" ou "forex"), ces contenus remontent en première page des résultats de recherche, ce qui améliore leur visibilité et, du même coup, leurs performances. C'est ce qu'on appelle traditionnellement un empoisonnement SEO.
Des réflexes simples pour ne pas tomber dans le panneau
Les pirates sont ingénieux, mais comme toujours, leurs techniques ne sont pas infaillibles. Quelques réflexes simples suffisent souvent pour déjouer ces tentatives d'arnaques et continuer à profiter de Spotify, d'Amazon ou d'Audible en toute tranquillité.
Comme d’habitude, respectez la règle de base : ne cliquez jamais sur des liens suspects. Si une description dans une playlist ou un produit sur Amazon vous promet monts et merveilles, passez votre chemin. Les URL trop longues ou composées de caractères étranges sont autant de signaux qui doivent vous mettre la puce à l’oreille. Et si jamais le doute subsiste, privilégiez toujours les sites officiels pour vos téléchargements ou achats.
Pour renforcer votre protection, un antivirus à jour et un bloqueur de publicités efficace peuvent faire la différence puisqu'ils se donnent pour mission de contrer liens malveillants et sites douteux avant même que vous ayez pu y accéder.
Enfin, si vous croisez des contenus suspects – une playlist Spotify vide intégrant des liens étranges ou une annonce Amazon trop alléchante pour être honnête – n’oubliez pas de les signaler pour aider les plateformes ciblées à détecter et supprimer plus rapidement les campagnes frauduleuses, et ainsi protéger d’autres internautes.
Sources : Bleeping Computer [1], Bleeping Computer [2], Malwarebytes
20 décembre 2024 à 11h06
(si ce n’est que la merde)
