L’ingéniosité du phishing moderne
Traditionnellement, les attaques de phishing redirigent les utilisateurs vers de faux sites pour leur soutirer des données sensibles. Cependant, cette nouvelle méthode va plus loin. En incitant les victimes à installer des PWAs via des liens malveillants, les cybercriminels créent des applications qui semblent légitimes, mais qui sont conçues pour voler des informations confidentielles, y compris les identifiants bancaires.
Les PWAs se comportent comme de véritables applications mobiles, tout en étant installées directement depuis un navigateur. Elles peuvent envoyer des notifications push et accéder aux fonctionnalités du téléphone, imitant parfaitement le fonctionnement d’une application authentique. Ce qui est particulièrement alarmant, c’est que ces installations peuvent se faire sans l’approbation explicite de l’utilisateur, contournant ainsi les protections strictes d’Apple et de Google.
Le modus operandi des cybercriminels
Pour déployer ces attaques, les cybercriminels utilisent divers moyens pour répandre des liens malveillants, notamment des appels automatisés, des messages SMS et des publicités frauduleuses sur les réseaux sociaux. Une fois que la victime est attirée, elle est dirigée vers une fausse version de boutiques d’applications bien connues, comme Google Play Store ou Apple App Store.
Les utilisateurs sont alors incités à installer une mise à jour pour leur application bancaire. Sur Android, cela crée une application native simulée par le navigateur, tandis que sur iOS, les utilisateurs ajoutent la PWA à leur écran d’accueil. Ces applications usurpées ressemblent presque à l’identique aux véritables applications bancaires, rendant difficile la détection de la supercherie.
Impact et prévention pour les entreprises
Cette menace croissante impose aux entreprises, notamment celles du secteur financier, d’informer leurs clients sur les risques liés à l’installation de PWAs provenant de sources non officielles. Il est essentiel de surveiller régulièrement les activités suspectes et de collaborer avec des experts en cybersécurité pour identifier et neutraliser rapidement toute campagne de phishing émergente.
Organiser des campagnes de sensibilisation pour aider les utilisateurs à reconnaître les demandes d’installation suspectes est également crucial. Les entreprises doivent insister sur l’importance de télécharger des applications uniquement via des canaux officiels et envisager d’introduire des étapes supplémentaires pour vérifier l’intégrité des nouvelles installations.
Cas documentés et propagation
Les premiers cas de cette technique ont été observés en juillet 2023 en Pologne, suivis par des campagnes en République tchèque et des rapports récents de tentatives en Hongrie et en Géorgie. La nature multiplateforme des PWAs signifie que ces attaques peuvent toucher un nombre considérable de personnes.
Pour inciter les victimes à cliquer sur des URL piégées, les attaquants exploitent des appels téléphoniques automatisés, des messages SMS et des publicités malveillantes sur les réseaux sociaux, utilisant l'image de banques existantes pour gagner la confiance des utilisateurs.
Vigilance continue contre les menaces évolutives
Le développement de techniques de phishing via les PWAs représente une étape préoccupante dans la lutte contre la cybercriminalité. Ces méthodes avancées trompent efficacement les utilisateurs, leur permettant d’obtenir des informations personnelles sans les signaux d’avertissement habituels associés aux attaques de phishing traditionnelles.
Il est impératif que les entreprises restent vigilantes, adaptent continuellement leurs stratégies de sécurité, et collaborent avec les consommateurs pour réduire efficacement les risques associés à ces attaques subtiles mais extrêmement pernicieuses.
