Cette « vaste opération de fraude » vise 21 millions de clients du Crédit Agricole : 912 victimes déjà piégées
Un mail qui a l’air parfaitement normal, un logo familier, une petite alerte de sécurité qui fait tiquer. C’est exactement comme ça que ça commence, à chaque fois. Cette fois, c’est la plus grande banque de France qui sert d’appât, avec ses 21 millions de clients potentiellement dans le viseur. Et le pire, c’est que l’arnaque est bien plus sophistiquée qu’un simple mail bâclé.
Une infrastructure de fraude digne d’une vraie entreprise
Tout commence par une découverte de l’équipe de recherche de Cybernews. Les chercheurs ont mis la main sur le serveur qui pilotait toute l’opération de phishing visant le Crédit Agricole. Pas un site bricolé dans l’urgence : une véritable chaîne de production, du système de collecte de victimes jusqu’aux outils d’envoi massif de mails.
Pour tenir la cadence de 7 000 courriels envoyés chaque jour sans se faire repérer par les filtres anti-spam, les cybercriminels ont détourné des services professionnels bien réels, comme SendGrid ou Amazon SES. Ce sont des plateformes utilisées quotidiennement par des entreprises pour envoyer factures et notifications.
En scannant 470 000 adresses de serveurs, les pirates ont déniché des fichiers de configuration mal protégés, accessibles publiquement, pour usurper ces outils légitimes. Ce niveau de préparation a d’ailleurs poussé les chercheurs à conclure que ce ne sont « pas des novices ».
Une négligence que dénoncent d’ailleurs les experts, qui rappellent que trop d’entreprises françaises laissent encore traîner des fichiers sensibles exposés en ligne.
Un piège redoutable qui a déjà fait 912 victimes
Une fois l’infrastructure en place, direction la boîte mail des Français. Le message, censé provenir directement du Crédit Agricole, demande de « renouveler l’enregistrement » d’un appareil de confiance. Sinon, gare à la perte d’accès au compte. Une mécanique classique de la peur, qui pousse à agir vite sans réfléchir.
Le lien renvoie vers un faux formulaire, copie quasi parfaite du site officiel de la banque. Résultat : 912 personnes ont saisi leurs identifiants bancaires sans se douter de rien. Les données récupérées ne s’arrêtent pas là : solde du compte, agence, nom du conseiller attitré.
Autant d’infos qui donnent une crédibilité redoutable à la suite de l’arnaque, bien plus efficace que la simple récupération de mots de passe. Plutôt que d’aller piocher directement dans les comptes, les escrocs ont préféré une approche plus fine : le coup de fil personnalisé, rassurant en apparence, terriblement efficace en pratique.
Un classement entre pirates et une prime de 3 000 euros à la clé
En explorant le panneau de contrôle utilisé par les criminels, les chercheurs de Cybernews ont fait une découverte presque surréaliste : un classement interne, façon tableau de performance d’entreprise. L’argent soutiré aux victimes servait de score, et le meilleur escroc du mois pouvait empocher une prime de 3 000 euros. Plus de sept individus participaient à cette opération digne d’un service commercial, sauf que la marchandise, ici, c’était la confiance des victimes.
Au total, 83 paiements ont été arrachés grâce aux techniques d’ingénierie sociale déployées par téléphone. Rassurée par la précision des informations affichées par son interlocuteur, la cible finissait souvent par payer pour un faux service, persuadée d’avoir affaire à un vrai conseiller.
Les chercheurs ont depuis alerté le Crédit Agricole et le CERT-FR, l’organisme gouvernemental rattaché à l’ANSSI. Reste à savoir si l’infrastructure a été démantelée : pour l’instant, la banque précise auprès de 01net que la fraude ne l’a « pas frappée » directement, mais bien ses « éventuels clients ».
La leçon est simple : aucun mail, aucun appel, même le plus convaincant, ne mérite une confiance aveugle. Un conseiller qui connaît votre solde par cœur peut très bien être un escroc qui l’a lu sur un formulaire piraté la veille. Et vous, vérifieriez-vous vraiment l’expéditeur avant de cliquer ?