Herbert, habitant de Colfontaine en Belgique ne s’attendait pas du tout à se faire arnaquer de 2 200 euros après un simple test PCR. Ce dernier a été effectué dans un laboratoire tout ce qu’il y a de plus normal. Comme les autres patients, Herbert attendait sous quelques heures les résultats de son test PCR par SMS. Mais il n’a finalement pas reçu les résultats le jour même, comme cela lui avait pourtant été annoncé.
Lorsqu’il rappelle le laboratoire le lendemain, on lui explique que le personnel est débordé et qu’il va bien recevoir ses résultats dans le courant de la journée. Quelques heures plus tard, il reçoit effectivement un SMS. Mais au lieu de lui donner directement les résultats, le message comportait un lien, sur lequel il a fini par cliquer.
La tentative de phishing a fonctionné à la perfection
“Le message disait que pour recevoir les résultats, il fallait cliquer sur le lien”, se souvient-il. Il ne se méfie pas plus que cela. Car en Belgique il est courant de devoir prouver son identité via des services tiers comme l’identité numérique délivrée par le site ItsMe. Le lien du message commençait par www.itsme “puis quelque chose”, raconte Herbert. Il ne se méfie pas plus que ça.
Le texto avait en réalité été écrit par des pirates, et en suivant le lien, Herbert est tombé sur un formulaire qui n’avait d’autre but que de voler ses données personnelles. Mais là encore, il ne se méfie pas. Même lorsque la page lui demande son numéro de carte bancaire et d’utiliser le service Digipass – autrement dit l’authentification sécurisée fournie par sa banque, pour consulter et gérer ses comptes, mais aussi prouver son identité.
Il raconte : “ma sœur était près de moi, et elle m’a dit qu’elle l’avait déjà fait, pour se créer un compte ItsMe, on peut utiliser ses accès de la banque”. En effet en Belgique, pour se créer un compte sur ItsMe on peut au choix utiliser une carte d’identité électronique et un ordinateur. Ou le service Digipass fourni par les banques – ce qui est généralement plus rapide. Le problème c’est que les arnaques autour de ce service se multiplient.
Il continue donc la création de compte sans savoir que des pirates sont à la manoeuvre. Mais là, il remarque quelque chose d’étrange : à la fin de la procédure, rien ne se passe. La page revient sur la page d’accueil. Il retente donc de s’inscrire à nouveau. Face à un second échec, il retente une troisième fois. “Là j’ai tout arrêté, j’ai tout supprimé, et je me suis dit que j’allais téléphoner à mon médecin plus tard pour obtenir mes résultats”.
Herbert ne pourra pas récupérer l’intégralité des sommes dérobées
Or, trente minutes plus tard, il reçoit un vrai SMS de son laboratoire qui lui annonce que le résultat est négatif. Il pense alors que le précédent SMS était simplement le résultat d’un bug et ne s’inquiète pas. Eviron une heure trente après le SMS du laboratoire, il reçoit un message de sa banque qui lui annonce que sa carte bancaire a été bloquée en raison d’une activité suspecte.
“Sur mon compte à vue, heureusement, il ne restait que 400€, qui avaient été débités, donc il était à 0€. J’ai téléphone à Worldline [l’intermédiaire de sa banque qui sécurise les paiements], et ils m’apprennent qu’ils ne s’occupent que de la carte de crédit, et qu’ils avaient vu une transaction suspecte de 1.800 €”, raconte Herbert.
Pour l’heure, il ne sait pas encore si ils pourra récupérer l’ensemble des fonds. Il garde espoir pour les 1 800 € car il a pu être alerté d’une activité suspecte. Mais pour les 400 euros, c’est une autre histoire : “ils ont servi à un achat, donc ce sera plus compliqué de récupérer l’argent”, déplore-t-il. Remonté, Herbert ne croit pas à une coïncidence : “comment les escrocs pouvaient savoir que j’allais recevoir des résultats covid ? Pour moi, mes données ont été piratées à la base, ou alors c’est un pur hasard, je ne comprends pas…”
Lire aussi – Phishing, malware ou arnaque ? Ces retraités se sont fait mystérieusement voler 10 000 €
Pourtant, à en croire RTL.be qui rapporte cette histoire, aucun piratage n’est à déplorer du côté du laboratoire. Tout indique qu’il s’agit plutôt d’un cas de phishing SMS classique qui est simplement tombé sur la bonne personne au bon moment. Etant donné du nombre de personnes qui se font tester chaque jour, il suffit en effet d’envoyer ce type de SMS en masse pour espérer que quelques personnes tombent dans le piège. Avez-vous déjà été victime d’une arnaque par SMS ? Partagez votre retour dans les commentaires.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
