Selon les statistiques de Google, plus de 2,5 milliards d'utilisateurs utilisent actuellement Gmail. Il s'agit d'une cible lucrative pour les pirates et les escrocs en ligne.

Récemment, Sam Mitrovic, consultant en solutions Microsoft, a émis un avertissement après avoir failli être victime d’un « appel frauduleux à l’IA hyperréaliste » capable de tromper même les utilisateurs les plus expérimentés.

Dans le blog, il a déclaré avoir reçu un avis d'approbation de récupération de compte Gmail, une méthode d'attaque de phishing courante.

Après avoir ignoré cet avis, près d’une semaine plus tard, il a reçu une autre demande d’approbation suivie d’un appel téléphonique 40 minutes plus tard.

Lorsqu'il a répondu au téléphone, il a entendu un accent américain, prétendant être un employé du support Google et disant que son compte Gmail avait une activité suspecte.

hnovv31i.png
Les pirates informatiques utilisent de nombreuses formes de fraude basées sur l'IA pour tenter de pirater des comptes Gmail. Photo : Cnet

L'appelant a continué à poser des questions confuses, ajoutant qu'un pirate informatique avait accédé au compte de Mitrovic au cours des 7 derniers jours et téléchargé les données du compte, ce qui lui rappelait la notification et l'appel manqué d'il y a une semaine.

En répondant au téléphone, Mitrovic a cherché le numéro sur Google et a découvert qu'il menait vers les sites officiels de Google. Il a demandé à l'appelant d'envoyer un e-mail au numéro de téléphone.

Au début, l'e-mail semblait légitime – l'expéditeur utilisait un domaine Google – mais lorsqu'il a vérifié le destinataire, il a trouvé un autre e-mail qui n'utilisait pas de domaine Google.

« L'appelant a dit “bonjour”. Je l'ai ignoré pendant une dizaine de secondes, puis il a répété “bonjour”. C'est à ce moment-là que j'ai réalisé qu'il s'agissait d'une voix artificielle à la prononciation parfaite », a écrit Mitrovic sur son blog.

Sans l’expérience et le sang-froid de Mitrovic, un utilisateur ordinaire de Gmail aurait pu être trompé.

Google a annoncé avoir uni ses forces avec la Global Anti-Phishing Alliance (GASA) et la DNS Research Federation dans le cadre d'une nouvelle initiative visant à lutter contre les escrocs.

Global Signals agit comme une plateforme de partage de renseignements sur la fraude et les escroqueries, fournissant des informations en temps réel sur la chaîne d'approvisionnement de la cybercriminalité.

En tirant parti des atouts de chaque organisation, Google espère que la plateforme améliorera le partage de renseignements, aidant à identifier et à perturber plus rapidement les activités frauduleuses dans différents secteurs, plateformes et services.

La plateforme Global Signals fonctionne sur Google Cloud pour permettre à tous les participants de partager et d'utiliser des informations, tout en bénéficiant des capacités d'IA de la plateforme pour rechercher intelligemment des modèles et faire correspondre les signaux.

L'IA Deepfake n'est pas seulement utilisée à des fins pornographiques et politiques , elle est également utilisée pour prendre le contrôle des comptes des gens.

Il est donc conseillé de rester calme lorsqu'une personne se faisant passer pour Google vous contacte. Ne prenez jamais de décision hâtive, quelle que soit l'urgence de la situation.

Il s’agit simplement d’un sentiment d’urgence que les escrocs utilisent pour modifier votre jugement normal, afin que vous cliquiez sur le lien ou fournissiez les informations dont ils ont besoin.

Pour les journalistes, les militants ou ceux qui possèdent des comptes importants, pensez à rejoindre le programme de protection avancée de Google.

Auparavant, l’inconvénient du programme était de devoir acheter deux clés de sécurité physiques à utiliser lors de la connexion à un compte, mais le fardeau financier a été supprimé depuis que Google a annoncé la prise en charge des clés d’accès.

Le mécanisme du programme de protection avancée est le suivant : lors de votre première connexion à votre compte Google, quel que soit l'appareil utilisé, vous avez besoin d'un mot de passe (sur un smartphone) et de données biométriques pour la vérification. Sans mot de passe, vous ne pouvez pas vous connecter.

Si un pirate tente d'utiliser la méthode de récupération de compte pour prendre le contrôle de votre compte, le programme effectuera quelques étapes supplémentaires pour vérifier votre identité. Le processus prend plusieurs jours, ce qui rend les pirates moins faciles à arnaquer.

(Selon Forbes, Sammitrovic)