Une organisation criminelle complexe, surnommée la « triade du smishing », est à l’origine d’une vague d’arnaques par SMS qui pourraient avoir causé des pertes allant de 3 à 28 milliards de dollars (environ 2,7 à 25,7 milliards d’euros) au cours des 16 derniers mois. Cette triade, principalement basée en Chine, ne cible pas directement les particuliers, mais vend des logiciels permettant à quiconque de lancer ses propres escroqueries, même sans compétences techniques.
Tout a commencé pour Grant Smith, expert en cybersécurité, lorsqu’il a reçu un message alarmé de sa femme. Elle avait cliqué sur un lien dans un SMS concernant un colis retardé et avait payé des frais, réalisant rapidement qu’il ne s’agissait pas du service postal américain (USPS), mais d’une entité inconnue qui avait mis la main sur ses informations bancaires. Elle a immédiatement annulé sa carte de crédit.
Intrigué, Smith a analysé le faux site web de l’USPS utilisé dans l’arnaque et a découvert plusieurs failles de sécurité. Il a même réussi à accéder au système des pirates et à télécharger des informations sur plus de 400 000 cartes de crédit volées, qu’il a ensuite signalées à l’USPS et à plusieurs banques.
Le smishing, abréviation de « SMS phishing », désigne les cyberattaques menées par message texte. Ces messages se font passer pour des marques ou des organismes gouvernementaux, comme Citigroup ou l’USPS, dans le but de soutirer des informations personnelles. Bien que souvent faciles à repérer grâce à des formulations étranges, des numéros d’expéditeur suspects ou des fautes d’orthographe, ces arnaques restent efficaces.
La triade du smishing fonctionne comme un véritable « Squarespace pour les escroqueries », selon les experts. Pour environ 200 dollars (environ 185 euros) par mois, ses clients peuvent accéder à des outils leur permettant de lancer des arnaques sans connaissances techniques particulières. Le logiciel phare, « Lighthouse », permet de sélectionner l’entreprise à usurper, de créer de faux sites web et d’acheter des bases de données de numéros de téléphone.
Le processus est ensuite automatisé : des dizaines, voire des centaines, de smartphones volés envoient des SMS massifs. Le logiciel peut même extraire les informations de carte de crédit ou les mots de passe directement du champ de texte, avant même que la victime ne valide l’envoi. « Le logiciel Lighthouse peut identifier si la carte de crédit provient d’une banque dont la sécurité numérique est suffisamment faible et, dans le cas contraire, demander à la victime d’en saisir une autre », explique Ford Merrill, chercheur en sécurité chez SecAlliance.
Le blanchiment d’argent est également facilité par le logiciel, qui permet de charger les informations volées sur des portefeuilles numériques et de les revendre. Selon Shawn Loveland, directeur des opérations chez Resecurity, l’ensemble du processus est « fortement automatisé et industrialisé ». L’utilisation de l’intelligence artificielle générative pour rédiger des messages de phishing plus personnalisés et trompeurs est une tendance récente.
Face à cette menace croissante, Google a annoncé ce jour un procès contre 25 personnes et entités identifiées comme membres de la triade du smishing, toutes basées en Chine. L’entreprise avait été alertée par des chercheurs externes, dont Grant Smith, qui ont mis en lumière le fonctionnement de cette organisation criminelle.
« Leur sécurité opérationnelle est terrible », a déclaré Merrill. Les instructions et les photos des fournisseurs de smishing-as-a-service sont facilement accessibles sur Telegram. Google a notamment identifié une chaîne YouTube proposant des tutoriels de smishing, contenant des adresses Gmail qui ont permis de relier l’activité criminelle à des individus et des entités.
Google, Apple, Visa et d’autres entreprises ont renforcé leurs protections anti-phishing. Le procès de Google est considéré comme une étape importante, car il pourrait permettre d’obtenir des décisions de justice contraignant les acteurs impliqués à supprimer les sites web, les comptes et les adresses IP associés à ces escroqueries. Cependant, les experts soulignent qu’une solution durable nécessitera un effort coordonné à l’échelle internationale.
« Il n’y a pas de solution miracle », a déclaré Loveland. La lutte contre le smishing est un défi constant, car de nouveaux kits apparaissent régulièrement et la triade dispose de ressources considérables pour s’adapter et innover.