Une dangereuse campagne de phishing sévit en ce moment en France par SMS : le message, accompagné d'un lien, prétend que vous avez reçu un colis. L'utilisateur est invité à installer une fausse mise à jour de Chrome qui installe un malware bancaire sur le smartphone. Le malware tente ensuite de voler vos identifiants en prétendant que votre compte en banque est “bloqué”.

Les arnaques ont toujours existé, mais grâce aux smartphones, elles deviennent toujours plus sophistiquées et dangereuses. Bien sûr la majeure partie des utilisateurs détecte ce genre de tentatives avant qu'elles n'aient pu causer le moindre dégât. Il reste pourtant facile de tomber dans le piège, surtout lorsque l'on a peu d'expérience ou d'accointance en général à l'informatique. En moyenne 45% des utilisateurs cliquent sur des liens reçus par SMS ou email même lorsqu'ils n'en connaissent pas la provenance.

La campagne des pirates se déroule comme suit. La victime (dont les coordonnées font probablement partie d'une fuite de données personnelles…) reçoit un message, “Votre colis a été envoyé. Veuillez le vérifier et le recevoir”, accompagné d'un lien court. Lorsque la victime clique sur ce lien, le navigateur s'ouvre sur une page qui l'exhorte à mettre à jour son navigateur Chrome “pour une meilleure expérience”. 

Lire également : AppGallery – l'un des pires malwares envahit le store de Huawei

Ce faux SMS concernant un colis veut vider votre compte en banque

Il télécharge alors un fichier APK douteux nommé “mxpcqpgjyk.apk” hors du Google Play Store. À l'issue de l'installation, le programme demande quantité d'autorisations, notamment l'accès à vos SMS, vos appels et vos contacts. Plus tard de manière intempestive, un écran s'affiche. On peut y lire que l'accès à votre compte en banque est bloqué et qu'il faut le réactiver. Une page aux couleurs de votre banque vous propose alors d'entrer vos identifiants dans un formulaire. Ces données sont bien entendu transmises au serveur de contrôle des pirates.

Les malfaiteurs ont alors tout ce dont ils ont besoin pour détrousser leur victime jusqu'au dernier centime puisque non seulement ils ont ses identifiants, mais ils peuvent en prime lire les codes reçus par SMS grâce à leur malware. Pour ne rien arranger, le malware consulte la liste de vos contacts et leur envoie le même SMS histoire de se propager. Si vous reconnaissez cette campagne de phishing, nous vous recommandons bien évidemment de ne surtout pas cliquer sur le lien.

Si vous avez installé le malware par accident, commencez par prévenir vos contacts qu'ils vont recevoir un SMS vérolé et contactez votre banque pour annuler les éventuelles transactions frauduleuses. Il n'existe pas de correctif – il semble donc raisonnable de vous recommander de formater ensuite intégralement votre smartphone Android pour revenir aux réglages d'usine avec une installation Android propre. Plus généralement il est recommandé de ne jamais télécharger d'applications hors du Google Play Store.