Comment des cybercriminels automatisent le “allo”, cette méthode d’hameçonnage vocal

Marre des appels indésirables reçus sur votre téléphone vous alertant prétendument sur un risque de fraude sur votre compte bancaire ? Malheureusement, vous allez sans doute devoir encore faire avec cette année. Car comme le relève sur Linkedin Thomas Damonneville, ce genre d'escroquerie s’automatise.

Le fondateur de StalkPhish, un service de détection et d’analyse de campagnes d'hameçonnage, a ainsi repéré sur un canal Telegram la vente d’un service de robot autour du « allo », ces appels téléphoniques frauduleux destinés à récupérer des codes d’authentification en se faisant passer pour le service anti-fraude de la banque de la victime. « C’est probablement une menace qui va faire grand bruit en cette année 2024 », juge-t-il.

Fichiers audio 

Dans une vidéo datant de février dernier, le cybercriminel vendant ce service détaillait le fonctionnement de son robot loué 190 euros par mois. Piloté depuis un téléphone via l’application de messagerie Telegram, ce service illégal s’appuie sur des fichiers audios pré-enregistrés, relatifs par exemple à la double authentification PayPal, précisait-il. Le cybercriminel proposait également de « faire vos propres sons pour 50 euros ».

Après avoir sélectionné le fichier audio à jouer, l’utilisateur du robot doit entrer le numéro de sa victime pour lancer la tentative d'hameçonnage vocal. Si la victime tombe dans le piège, le code d’authentification est aussitôt reçu sur le channel Telegram. « Cela peut être intéressant pour faire des ‘allo’ de façon automatique », mais « ce n’est pas quelque chose qui marche à 100% », prévient le vendeur de ce service de robot malveillant.

« Je dirais que cela peut varier entre 40 et 60% avec l’utilisation d’un sender-id », cette authentification de l’expéditeur, ajoute-t-il. « Cela améliore vos chances de réussite » après par exemple avoir envoyé un SMS au nom d’une banque, la victime s’attendant alors à être contactée, résume-t-il enfin.

Principale menace pour les particuliers 

Si ce genre de service d'hameçonnage pullule sur Telegram, cette activité illégale est également dans le viseur de la police et de la justice. Début janvier, le quotidien Le Parisien avait par exemple signalé l’arrestation de deux jeunes hommes de 19 ans, originaires de Paris et de Roubaix. Selon la police, leurs hameçonnages par SMS usurpaient l’identité de l’Agence nationale de traitement automatisé des infractions (Antai).

Le hameçonnage est la principale menace informatique pour les particuliers, signalait dans son dernier rapport annuel le groupement d’intérêt public Cybermalveillance. « Le développement et l’industrialisation de l’écosystème cybercriminel facilitent l’accessibilité des techniques et outils d’hameçonnage qui continuent de gagner en sophistication », remarquait la structure.