Une campagne de phishing sophistiquée, ciblant les propriétaires de véhicules en Inde, exploite des numéros de téléphone locaux et des liens vers des comptes bancaires pour voler des informations financières. Les fraudeurs imitent les portails officiels de contravention (e-Challan) pour piéger leurs victimes.
Selon les laboratoires de recherche et de renseignement Cyble (CRIL), cette opération à grande échelle, basée sur un navigateur, représente une évolution des attaques précédentes qui utilisaient des logiciels malveillants. Plus de 36 domaines frauduleux ont été identifiés, exploitant la confiance des citoyens dans les services du Bureau régional des transports (RTO) pour obtenir des identifiants bancaires.
La campagne se déroule en plusieurs étapes. Les victimes reçoivent d’abord des SMS les informant de contraventions impayées, créant un sentiment d’urgence avec des menaces de suspension de permis, de convocation au tribunal et de poursuites judiciaires. Ces messages contiennent des liens raccourcis qui redirigent vers des copies quasi-parfaites des portails gouvernementaux.
Les faux portails génèrent des enregistrements de contraventions réalistes, affichant des montants relativement faibles – généralement 590 roupies indiennes (environ 5,50 €) – avec des dates d’expiration imminentes. Il n’y a aucune vérification réelle des informations saisies, reposant uniquement sur la manipulation psychologique des victimes.
Les pages de paiement ne proposent que l’option de payer par carte de crédit ou de débit, évitant ainsi les transactions traçables via UPI (Unified Payments Interface) ou virement bancaire. Les fraudeurs collectent l’intégralité des détails de la carte, y compris le code CVV et la date d’expiration, et traitent les paiements via des banques indiennes.
Un élément particulièrement préoccupant est l’utilisation d’une infrastructure localisée pour renforcer la crédibilité de l’attaque. Les SMS sont envoyés depuis des numéros de téléphone indiens enregistrés auprès de Reliance Jio Infocomm Limited, et ces numéros sont liés à des comptes de la State Bank of India. Cette combinaison d’un opérateur de télécommunications local et d’une banque publique renforce la perception de légitimité.
L’enquête de Cyble a également révélé une infrastructure de fraude partagée, avec des domaines de phishing usurpant l’identité non seulement des services e-Challan, mais aussi de la banque HSBC (secteur BFSI) et d’entreprises de logistique comme DTDC et Delhivery. Les interfaces utilisateur et la logique de collecte des paiements sont cohérentes sur toutes ces campagnes.
Les attaquants utilisent également des domaines imitant les services Parivahan et génèrent automatiquement de nouveaux domaines de phishing pour échapper aux blocages et aux listes noires. Le contenu initial des pages frauduleuses est rédigé en espagnol, puis traduit à l’aide des fonctionnalités de traduction des navigateurs, suggérant une réutilisation des modèles de phishing à l’échelle internationale.
« Cette campagne marque un tournant par rapport à l’utilisation antérieure de logiciels malveillants Android, car la fraude basée sur un navigateur réduit considérablement les obstacles techniques et élargit le nombre de victimes potentielles », a déclaré Daksh Nakra, directeur principal de la recherche et du renseignement chez Cyble.
Cyble recommande vivement de ne jamais cliquer sur les liens contenus dans des SMS non sollicités concernant des infractions au code de la route, de toujours vérifier les amendes directement sur les portails gouvernementaux officiels (parivahan.gov.in), d’examiner attentivement les domaines pour détecter d’éventuelles variations orthographiques ou extensions inhabituelles, et de se méfier des pages de paiement qui n’acceptent que les cartes de crédit/débit. Tout message suspect doit être signalé immédiatement aux autorités compétentes en matière de cybercriminalité.
Des analyses techniques détaillées, des indicateurs de compromission (IoC), des mappages MITRE ATT&CK et des conseils de détection sont disponibles dans l’article de blog complet de Cyble. Les IoC ont également été publiés sur le référentiel GitHub de Cyble pour faciliter leur intégration dans les plateformes de sécurité et les flux de renseignements sur les menaces.