Oh, joli dispositif d’arnaque : un utilisateur vend un truc (cher) sur Le bon coin, l'argent n'arrive jamais sur son compte car des escrocs ont remplacé son IBAN par le leur au moyen d'un phishing de toute beauté.

Mais, au milieu de ces échanges, un message attire son attention. Il l’invite à mettre à jour ses informations, rien d’anormal en apparence, d’autant que le contexte s’y prête : « Ça me semblait cohérent qu’il y ait une mise à jour de sécurité après que je poste une grosse annonce », se souvient Martin. Le message reçu par Martin n’est pas un vulgaire spam : il bénéficie de la certification officielle attestant qu’il a bien été expédié depuis les serveurs de l’entreprise. « Il y a la certification officielle de Gmail qui dit ce mail provient de Leboncoin, et aussi l’intitulé ‘administration’. […] Tout le message en plus était assez crédible. Il n’y avait pas de faute d’orthographe ou quoi. Tout portait à croire que c’était réglo », détaille-t-il.

L’astuce des escrocs est simple : ils ont créé un profil utilisateur nommé « Administration ». En envoyant leur faux lien d’alerte via la messagerie interne, c’est Leboncoin lui-même qui s’est chargé de relayer automatiquement le message frauduleux dans la boîte mail personnelle de Martin. Mis en confiance par ce sceau d’authenticité, Martin clique. « Ça me redirige sur un site qui est en fait une copie parfaite de Leboncoin. […] J’ai rentré mes identifiants et je n’ai compris qu’après que c’était un hameçonnage. »

Tiens, je ne connaissais pas ce site : on peut y signaler les tentatives de phishing que l'on reçoit.

J'en profite pour reprendre les préconisations de Kevin (http://www.mypersonnaldata.eu/shaarli/?3tb8Tg) :

• l'email provient-il d'un expéditeur légitime (adresse se terminant en @votrebanque.fr ou @votreFAI.com, etc.) ?
• si vous avez cliqué sur un lien dans un email qui vous demande votre login/mot de passe, fermez l'onglet. Si vous voulez vous connecter, ouvrez vous même votre interface client (depuis vos favoris ou votre mode de connexion préféré)
• vérifiez l'adresse dans la barre d'adresse de votre navigateur : est-elle légitime (i.e. l'adresse normale que vous utilisez d'habitude) ou non ?
• cette adresse doit obligatoirement commencer par https:// (ou au pire par http:// mais c'est mal). Rien d'autre.
• si on vous envoie un e-mail, c'est qu'il n'y a aucune urgence à agir : n'hésitez pas à téléphoner à votre agence/fournisseur pour vérifier l'information (si l'appel est gratuit :p) ou à vous faire assister.