Un email demandant de se connecter à Facebook afin de confirmer ses identifiants via un lien, ça vous rappelle quelque chose ? Evidemment il s’agit de la technique typique de phishing dont voici les ingrédients :

• Un email émanant soi-disant d’un site populaire
• Une demande de confirmation d’identifiants
• Un lien censé diriger vers le site en question

Au final, on obtient toujours le même résultat : un compte détourné et un utilisateur abusé.

En principe, il est assez simple de faire la différence entre le fake et le site réel, mais dans ce cas précis l’url de redirection était frfacebook.fr (la véritable adresse de Facebook est fr-fr.facebook.com) et l'habillage graphique du faux site était en tous points identique à l'original. D'où le succès du phishing en question.

Et si on joue le jeu ?

En entrant notre identifiant et notre mot de passe nous sommes immédiatement redirigés vers le véritable site Facebook, ce qui permet de ne pas éveiller les soupçons. Pourtant, en amont, nos codes ont bien été récupérés par une base de données pirate et nous en aurons la confirmation en fouillant sur le site contrefait. Après quelques minutes de recherches, nous découvrons les données de toutes les victimes de ce phishing. Près de 5000 personnes sont tombées dans le panneau !

Oui, mais que peuvent-ils en faire ?

avec un login et un mot de passe entre les mains d’un personne malveillante, plusieurs hypothèses sont envisageables :

• détournement de compte
  - le pirate change vos logins et vous pouvez dire au revoir à votre compte et à toutes vos données personnelles.
• exploitation des données personnelles
  - on utilise vos données personnelles afin d’organiser d’autres arnaques mieux profilées. Par exemple, vous êtes un(e) fan de Justin Bilieber, vous allez recevoir sous peu des offres aussi ciblées que bidons. De faux sites se contenteront de vous piquer vos données bancaires si vous achetez des places pour le castrat à mèche suite à ce piratage, ce n’est qu’un exemple.
• ingénierie sociale
  - utilisation de vos données personnelles afin d’obtenir des données personnelles et/ou professionnelles.

En termes de piratage, l’année 2011 a été un véritable tournant pour Facebook en dépit des efforts du site pour limiter la casse. Si vous souhaitez en savoir plus sur ces arnaques 2.0, je vous invite à lire le Livre Blanc de Bitdefender à ce sujet :  Amis, ennemis et Facebook® : la guerre est déclarée