Selon les statistiques de Google, plus de 2,5 milliards d’utilisateurs utilisent actuellement Gmail. Il s’agit d’une cible lucrative pour les pirates informatiques et les escrocs en ligne.

Récemment, Sam Mitrovic, consultant en solutions Microsoft, a émis un avertissement après avoir failli être victime d’une « arnaque par IA hyperréaliste » capable de tromper même les utilisateurs les plus expérimentés.

Dans le blog, il a déclaré avoir reçu un avis d'approbation de récupération de compte Gmail, une méthode d'attaque de phishing courante.

Après avoir ignoré cet avis, près d’une semaine plus tard, il a reçu une autre demande d’approbation suivie d’un appel téléphonique 40 minutes plus tard.

Lorsqu'il a répondu au téléphone, il a entendu un accent américain, prétendant être un employé du support Google et disant que son compte Gmail avait une activité suspecte.

hnovv31i.png
Les pirates informatiques utilisent diverses escroqueries basées sur l’IA pour tenter de détourner des comptes Gmail. Photo : Cnet

L'appelant a continué à poser des questions confuses, ajoutant qu'un pirate informatique avait accédé au compte de Mitrovic au cours des 7 derniers jours et téléchargé les données du compte. Cela lui rappela la notification et l’appel manqué d’il y a une semaine.

En répondant au téléphone, Mitrovic a recherché le numéro de téléphone sur Google et a découvert qu'il menait aux sites Web officiels de Google. Il a demandé à l'appelant d'envoyer un e-mail au compte.

Au début, l'e-mail semblait légitime – l'expéditeur utilisait un domaine Google – mais lorsqu'il a vérifié le destinataire, il a trouvé un autre e-mail qui n'utilisait pas de domaine Google.

« L'appelant a dit « bonjour ». Je l'ai ignoré pendant environ 10 secondes, puis il a dit « bonjour » à nouveau. « À ce moment-là, j’ai réalisé qu’il s’agissait d’une voix d’IA avec une prononciation parfaite », a écrit Mitrovic sur son blog.

Sans l’expérience et le sang-froid de Mitrovic, un utilisateur moyen de Gmail aurait pu être trompé.

Google a annoncé s'associer à la Global Anti-Phishing Alliance (GASA) et à la DNS Research Federation dans le cadre d'une nouvelle initiative visant à lutter contre les escrocs.

Global Signals agit comme une plateforme de partage de renseignements sur la fraude et les escroqueries, fournissant des informations en temps réel sur la chaîne d'approvisionnement de la cybercriminalité.

En tirant parti des atouts de chaque organisation, Google espère que la plateforme améliorera le partage de renseignements, aidant ainsi à identifier et à perturber plus rapidement les activités frauduleuses dans différents secteurs, plateformes et services.

La plateforme Global Signals fonctionne sur Google Cloud pour permettre à tous les participants de partager et d'utiliser des informations, tout en bénéficiant des capacités d'IA de la plateforme pour rechercher intelligemment des modèles et faire correspondre les signaux.

L'IA Deepfake n'est pas seulement utilisée à des fins pornographiques et politiques, elle est également utilisée pour prendre le contrôle des comptes des gens.

Par conséquent, le conseil est de rester calme lorsque quelqu’un prétendant être un employé de Google vous aborde. Ne prenez jamais de décision hâtive, quelle que soit l’urgence de la réponse de votre interlocuteur.

Il s’agit simplement d’un sentiment d’urgence que les escrocs utilisent pour modifier votre jugement normal, afin que vous cliquiez sur le lien ou fournissiez les informations dont ils ont besoin.

Pour les journalistes, les militants ou ceux qui possèdent des comptes importants, envisagez de rejoindre le programme de protection avancée de Google.

Auparavant, l’inconvénient du programme était de devoir acheter deux clés de sécurité physiques à utiliser lors de la connexion à un compte, mais la charge financière a été supprimée depuis que Google a annoncé la prise en charge des clés d’accès.

Le mécanisme du programme de protection avancée est le suivant : lors de la première connexion à un compte Google sur n'importe quel appareil, une clé d'accès (sur un smartphone) et des données biométriques sont requises pour la vérification. Si vous n'avez pas de clé d'accès, vous ne pouvez pas vous connecter.

Si un méchant souhaite utiliser la méthode de récupération de compte pour prendre le contrôle, le programme prendra quelques mesures supplémentaires pour vérifier l'identité. Le processus se déroule sur plusieurs jours, ce qui signifie que les pirates ne peuvent pas facilement l'escroquer.

(Selon Forbes, Sammitrovic)