Les sites Web frauduleux exploitent les ouvertures saisonnières et les méthodes établies pour maximiser leur impact

Summary

Les sites Web frauduleux sont devenus une menace importante dans le domaine de la fraude financière, car ils tirent parti d'opportunités saisonnières et de tactiques avancées pour tromper les titulaires de cartes et contourner les défenses des banques. L'équipe Payment Fraud Intelligence de Recorded Future a découvert que les acteurs malveillants procédaient en cinq étapes : achat, création de leurres, livraison, configuration du site Web et monétisation. Ils exploitent des déclencheurs psychologiques et des tendances saisonnières comme les vacances et les événements commerciaux pour maximiser la vulnérabilité des victimes.

Les principales méthodes utilisées sont les kits de phishing, les comptes marchands frauduleux et les panneaux d'administration en direct qui renforcent l'efficacité des escroqueries tout en compliquant leur détection. Les acteurs malveillants utilisent des techniques telles que le typosquattage, le malvertising et le smishing pour lancer des escroqueries, tandis que leurs sites Web sont conçus pour tromper les victimes afin qu'elles partagent des informations sensibles.

Sites Web frauduleux : comprendre la menace et lutter contre la fraude

Les sites Web frauduleux sont devenus une préoccupation croissante ces dernières années, posant des risques non seulement pour les titulaires de cartes individuels, mais aussi pour les institutions financières et les commerçants. Ces sites Web, souvent indiscernables des plateformes légitimes, exploitent des opportunités saisonnières et des tactiques sophistiquées pour escroquer les victimes à grande échelle. Cette recherche examine comment fonctionnent les sites Web frauduleux, les méthodes employées par les acteurs malveillants, et des stratégies concrètes pour les atténuer.

Étapes des opérations d'un site Web frauduleux

Le fonctionnement d'un site Web frauduleux suit cinq étapes distinctes :

1. Achats
   Les acteurs malveillants collectent des ressources telles que des domaines, des kits de phishing et des comptes marchands frauduleux. Les tendances saisonnières jouent un rôle important, avec des kits de typosquattage et d'escroquerie adaptés aux vacances ou aux événements commerciaux comme le Black Friday.
2. Création de leurres
   Les escrocs conçoivent des leurres qui exploitent l'urgence et la confiance. Les méthodes courantes incluent l'usurpation d'identité de marque, les offres à durée limitée et les tactiques de peur pendant la saison des impôts.
3. Livraison de leurres
   Les leurres sont diffusés via des publicités en ligne, du smishing (hameçonnage par SMS) et des e-mails de phishing. Les réseaux sociaux et les moteurs de recherche sont souvent exploités pour une diffusion à grande échelle.
4. Configuration du site Web
   Les sites Web frauduleux reproduisent de vrais sites pour tromper les victimes et les inciter à saisir des données sensibles. Les formulaires de paiement et les demandes de mise à jour de compte sont conçus pour sembler authentiques.
5. Monétisation
   Les acteurs malveillants utilisent les données volées pour des fraudes CNP (card-not-present), pour les revendre sur des forums du dark Web, ou pour réaliser des transactions frauduleuses via des comptes marchands.

Les tendances saisonnières augmentent considérablement l'efficacité des sites Web frauduleux. Les périodes de vacances, de déclaration d'impôts et les événements commerciaux créent une urgence chez les victimes, ce qui les rend plus susceptibles de tomber dans le piège des escroqueries. Par exemple, les escroqueries du Black Friday utilisent des remises importantes pour attirer les victimes, tandis que les escroqueries de la saison fiscale exploitent la peur des pénalités.

Des méthodes sophistiquées telles que les panneaux d'administration en direct et le camouflage des paiements rendent les escroqueries plus difficiles à détecter. Les panneaux d'administration en direct permettent l'interception en temps réel des données des victimes et des OTP (mots de passe à usage unique), ce qui permet une fraude très réussie.

En outre, les acteurs malveillants utilisent des comptes marchands frauduleux liés à des sites Web frauduleux, ce qui permet une monétisation immédiate et des frais récurrents. Ces tactiques compliquent la détection des fraudes et les efforts de récupération pour les banques et les titulaires de cartes.

Mitigation Strategies

Pour lutter contre les sites web frauduleux, les institutions financières et les particuliers doivent prendre des mesures proactives :

• Pour les institutions financières :
• Surveillez les forums du dark Web pour détecter les kits de phishing et les offres de comptes marchands.
• Éduquez les clients sur les tactiques d'escroquerie courantes et encouragez-les à les signaler.
• Leverage Recorded Future Payment Fraud intelligence (PFI) to detect and mitigate possible scam websites using the PFI common-point-of-purchase (CPP) dataset.
• Utilisez Recorded Future Brand Intelligence pour détecter et limiter les menaces d'usurpation d'identité de marque courantes sur les sites Web frauduleux.

• Pour les particuliers :
• Vérifiez les URL des sites Web et n'utilisez que des plateformes de confiance pour les transactions.
• Évitez de donner suite à des offres ou à des publicités non sollicitées sans les avoir vérifiées.
• Signalez les escroqueries suspectes aux banques et contestez rapidement les frais frauduleux.

Outlook

Le fonctionnement des sites frauduleux évolue rapidement, les acteurs malveillants adoptant des tactiques sophistiquées qui rappellent les premières méthodes d'e-skimmer de Magecart. Parmi les évolutions notables, on peut citer les campagnes d'escroquerie ciblant les utilisateurs de téléphones portables pour échapper à la détection et l'utilisation de transactions de faible valeur pour établir la confiance avant de lancer une fraude de grande valeur. Les comptes marchands frauduleux, liés à des sites Web d'escroquerie, sont devenus une innovation majeure, permettant une monétisation immédiate et récurrente tout en compliquant la détection.

Cette méthode est susceptible de gagner en importance, surtout à mesure que les futures exigences de la norme PCI-DSS v4.0 limiteront d'autres techniques de fraude. Cependant, des mesures réglementaires telles que la règle « click-to-cancel » de la FTC américaine et des protocoles KYC (Know Your Customer) plus stricts pourraient réduire considérablement ces opérations en s'attaquant aux failles que les escrocs exploitent actuellement.

To read the entire analysis, click here to download the report as a PDF.