Crédit Agricole usurpé : 912 clients piégés, le classement glaçant des pirates révélé
Un mail anodin, une adresse qui semble légitime, et pourtant tout est faux. C’est le piège dans lequel sont tombés des centaines de clients du Crédit Agricole, la première banque de France. Derrière cette campagne de phishing hors norme se cache une organisation méthodique, presque professionnelle, avec ses propres classements internes et ses récompenses en euros pour les meilleurs escrocs.
Une campagne de phishing d’une ampleur inédite
Révélée le 5 août par les chercheurs de Cybernews, cette usurpation d’identité cible directement les 21 millions de clients du Crédit Agricole. Au moins 912 personnes auraient déjà transmis leurs identifiants bancaires sans le savoir, un chiffre qui pourrait encore grimper selon les enquêteurs.
Le scénario s’appuie sur un classique du phishing par mail : un message invite la victime à « renouveler l’enregistrement » d’un appareil de confiance, sous peine de perdre l’accès à son compte. Rien d’exceptionnel dans la formule, sauf que les hackers ont trouvé un moyen de contourner les filtres anti-spam habituels.
Ils sont parvenus à s’emparer de 149 clés API SendGrid volées et de trois comptes AWS compromis, leur offrant une capacité d’envoi combinée d’environ 7 000 e-mails par jour. Ces outils, normalement réservés aux entreprises pour leurs communications automatiques, leur ont permis de se glisser derrière des adresses en apparence fiables, comme celles commençant par « ne-pas-répondre ». Une technique qui rappelle à quel point les internautes les plus vulnérables restent des cibles privilégiées.
Le mécanisme caché derrière les identifiants volés
Contrairement à ce que l’on pourrait croire, les identifiants bancaires récupérés n’étaient pas immédiatement utilisés pour vider les comptes. Les pirates s’en servaient d’abord pour affiner leur connaissance de chaque victime.
En consultant le solde disponible, le nom de l’agence locale et même celui du conseiller bancaire, ils identifiaient les profils les plus rentables à exploiter. Cette phase de reconnaissance rappelle d’autres arnaques sophistiquées, comme celle du faux mécanicien qui a coûté 900 euros à un retraité après un simple appel.
« Les identifiants bancaires n’étaient utilisés que pour obtenir des données supplémentaires sur la victime, la principale façon de gagner de l’argent étant d’appeler les victimes et d’utiliser des techniques d’ingénierie sociale », explique Cybernews. Les chercheurs ont ainsi recensé 83 paiements obtenus directement par téléphone, où les escrocs proposaient un faux service personnalisé pour chaque cible. Une méthode qui n’est pas sans rappeler d’autres arnaques téléphoniques de plus en plus élaborées.
L’employé du mois : la prime à 3 000 euros qui glace le sang
C’est en fouillant le serveur public utilisé par les hackers que les équipes de Cybernews ont mis au jour le détail le plus troublant de cette affaire : un véritable classement interne des cybercriminels, calqué sur le fonctionnement d’une entreprise ordinaire.
Au moins sept personnes auraient participé à ce stratagème, chacune évaluée selon les profits générés pour l’organisation. Celui qui arrivait en tête de ce classement mensuel touchait une prime de 3 000 euros, à la manière d’un système de récompense d’« employé du mois » digne d’une entreprise légale.
Cette découverte confirme le niveau de professionnalisation atteint par certains réseaux de fraude, loin de l’image du pirate isolé agissant dans l’urgence. Les chercheurs de Cybernews pointent également une faille structurelle : « les organisations et entreprises françaises continuent de laisser des fichiers sensibles exposés dans des systèmes accessibles depuis internet », livrant sans le vouloir les outils nécessaires à ces campagnes. Un constat qui fait écho à d’autres incidents récents, comme la fuite massive chez un opérateur de tiers payant ayant exposé 15 millions de numéros de sécurité sociale.
Derrière chaque mail suspect se cache peut-être un classement, une prime, une équipe entière. Face à une organisation aussi rodée, la vigilance individuelle reste la meilleure arme : un appel inattendu de sa banque mérite toujours d’être vérifié directement auprès de son agence. Et vous, avez-vous déjà reçu ce type de message alarmant demandant de « renouveler » un appareil ?