La firme de sécurité ESET a découvert une nouvelle méthode d’attaque de phishing. Les utilisateurs d’iPhone et d’Android y sont particulièrement exposés.
Des hackers ont découvert une nouvelle méthode de phishing (hameçonnage) pour attirer les utilisateurs d’applis bancaires mobiles. Voilà ce que révèle la firme de sécurité ESET dans un nouveau rapport. La méthode implique que les utilisateurs d’iPhone ou d’Android téléchargent inconsciemment des Progressive Web Applications (PWA) déguisées en applications. Dès qu’ils y travaillent, le hacker peut s’emparer de leurs coordonnées bancaires. Une PWA est un site web qui se comporte comme une appli autonome. Vous pouvez l’installer directement à partir de votre navigateur, et elle est entre autres capable d’envoyer des notifications ‘push’ et de solliciter le matériel du téléphone, tout comme une véritable appli.
Comme les PWA sont installées via le navigateur, elles contournent cependant aussi l’App Store et tout contrôle qui s’y effectue. En recourant à cette technologie pour les campagnes de phishing, les hackers peuvent éviter d’être détectés, selon ESET dans son rapport. De plus, les WPA fonctionnent sur différentes plates-formes (dans ce cas tant iOS qu’Android), ce qui signifie qu’une même campagne peut faire plus de victimes.
La technique a été observée pour la première fois en juillet 2023 en Pologne, et les chercheurs ont documenté une deuxième campagne en Tchéquie en novembre dernier. Des campagnes seraient également actuellement en cours en Hongrie et en Géorgie. Pour convaincre les victimes de cliquer sur une URL, les agresseurs utilisent des appels téléphoniques automatisés, des SMS et ce que l’on appelle du ‘malvertising’, des publicités malveillantes sur les réseaux sociaux qui abusent de l’image de marque de banques existantes.
Vous avez repéré une erreur ou disposez de plus d’infos? Signalez-le ici