Comment des hackers simulent votre smartphone pour vider votre compte bancaire

Les hackers recherchent et trouvent toujours des moyens de plus en plus sophistiqués pour parvenir ç leur fin. La fraude bancaire mobile passe au stade industriel, avec l’utilisation de fermes d’émulateurs capables d’usurper l’identité de milliers de smartphones en même temps pour créer de fausses transactions.

Des pirates ont mis au point une nouvelle technique particulièrement sophistiquée pour vider un grand nombre de comptes bancaires en peu de temps.

Selon des chercheurs en sécurité d’IBM, ils utilisent des « fermes d’émulateurs de smartphone » pour simuler des milliers d’appareils réels de clients en même temps et réaliser des opérations frauduleuses depuis leurs applications bancaires. Ce qui leur permet de siphonner des millions d’euros ou de dollars en quelques jours, auprès de banques américaines et européennes.

Interception automatisée des codes SMS

Pour réaliser ces opérations, les pirates utilisent les mots de passe de victimes, obtenus probablement par phishing. Et pour éviter d’être détectés par les systèmes antifraude des établissements bancaires, ils utilisent les mêmes identifiants matériels que leurs victimes (IMEI, marque d’appareil, système d’exploitation, bootloader…). Ils vont même jusqu’à simuler leur localisation grâce à des VPN et des techniques d’usurpation GPS. Ils sont également capables d’intercepter les éventuels seconds facteurs d’authentification envoyés par SMS. Toutefois, IBM n’explique comment ces interceptions sont techniquement réalisées.

Lire aussi: IBM lance un programme d’apprentissage basé sur le Cloud destinés à 25 millions de jeunes africains

Selon IBM, c’est la première fois qu’un groupe de pirates déroule une campagne de fraude bancaire avec un tel niveau d’automatisation. Enfin, cette plateforme est d’ores et déjà proposée dans les forums underground sous la forme d’un service prêt à l’emploi, ce qui permet d’élargir encore plus le spectre d’attaques.

D’où l’importance, en tant qu’utilisateurs, d’utiliser de bons mots de passe et de veiller à ce que le terminal mobile soit toujours bien mis à jour. Une autre solution serait d’éviter d’utiliser des applications mobiles bancaires.

Source : IBM