Une récente campagne de phishing a fait surface, ciblant les utilisateurs d'Instagram sous l'apparence d'un courriel de “violation des droits d'auteur”. Il s’agit évidemment d’un faux, c’est pourquoi il faut rester sur ses gardes face à ce type d’email.

Des pirates ont lancé une campagne trompeuse visant à inciter les utilisateurs à donner les identifiants et les codes de sauvegarde de leur compte Instagram, ce qui pourrait compromettre la sécurité offerte par l'authentification à deux facteurs (2FA).

L'authentification à deux facteurs est une couche de sécurité essentielle qui exige une forme de vérification supplémentaire lors de la connexion. Instagram génère généralement des codes de sauvegarde à huit chiffres pour les utilisateurs qui configurent l'authentification à deux facteurs, fournissant un moyen alternatif d'accès au compte si les méthodes d'authentification primaires échouent.

Lire également – Android va bientôt intégrer une protection anti-hameçonnage pour vous protéger des pirates

Les pirates veulent voler votre code secret pour s’emparer de votre compte Instagram

Dans cette dernière tentative d'hameçonnage, les utilisateurs reçoivent un courriel censé provenir de Meta, la société mère d'Instagram, alléguant des plaintes pour violation de droits d'auteur à leur encontre. Le message trompeur incite les destinataires à cliquer sur un bouton pour faire appel de la violation présumée, les redirigeant vers des pages d'hameçonnage conçues pour recueillir des informations sensibles.

Ce même schéma a été utilisé à plusieurs reprises, notamment contre des utilisateurs de Facebook, et a facilité les chaînes d'infection pour le ransomware LockBit et le malware BazaLoader, entre autres. Rappelons d’ailleurs que le terrible ransomware LockBit cible désormais encore plus d’utilisateurs dans le monde entier.

La nouvelle campagne d'hameçonnage visant Instagram se déroule en plusieurs étapes :

• Les utilisateurs reçoivent un courriel les avertissant d'une violation des droits d'auteur et sont invités à faire appel de la décision.
• En cliquant sur le bouton d'appel, les utilisateurs sont redirigés vers un site de phishing imitant le portail des violations de Meta.
• Les utilisateurs sont ensuite dirigés vers une deuxième page de phishing ressemblant au portail “Appeal Center” de Meta, où ils sont invités à saisir leur nom d'utilisateur et leur mot de passe.
• Après avoir obtenu les informations d'identification du compte, le site de phishing demande aux utilisateurs de confirmer si leur compte est protégé par 2FA.
• Une fois la confirmation obtenue, les utilisateurs sont contraints de fournir le code de sauvegarde à 8 chiffres, un élément crucial pour contourner le 2FA.

Malgré des signes évidents de fraude dans la campagne, tels que des adresses d'expéditeur et des URL de page de phishing douteuses, les attaquants misent sur l’aspect urgent de l’email pour le rendre efficace contre les cibles peu méfiantes.

Il est donc essentiel que les utilisateurs fassent preuve de prudence et se méfient des courriels inattendus, en particulier ceux qui font état de violations de droits d'auteur. Les communications officielles concernant ces questions se font généralement au sein de la plateforme plutôt que par courrier électronique. On ne peut donc que vous rappeler de vous abstenir de cliquer sur des liens suspects et ne jamais divulguer d'informations sensibles telles que des mots de passe ou des codes de sauvegarde en dehors du site ou de l'application Instagram officielle.

N'oubliez pas que les codes de sauvegarde sont confidentiels et doivent être traités avec le même degré de confidentialité que les mots de passe. Partager ces codes en réponse à des courriels non sollicités ou sur des sites web non vérifiés peut vous conduire à perdre l’accès à votre compte. Heureusement, des sociétés telles que BitDefender travaillent déjà sur des IA capables de repérer en quelques secondes les arnaques en ligne les plus courantes.