Le catfishing consiste à créer une fausse identité en ligne pour gagner la confiance d’une personne, lui soutirer de l’argent ou des données, ou l’amener à ouvrir un fichier piégé. Variante du phishing fondée sur l’ingénierie sociale, il vise les particuliers, mais aussi les entreprises, comme l’a montré l’affaire Mia Ash contre Deloitte.
Points clés
- Le catfishing repose sur une fausse identité et une relation construite dans la durée pour obtenir de l’argent, des données ou l’ouverture d’un fichier piégé.
- Les entreprises sont aussi visées : dans l’affaire Mia Ash, un employé de Deloitte a reçu un malware via un faux profil Facebook.
- Les signaux d’alerte : demandes d’informations personnelles, refus de contact vidéo, communication évasive, profil sans profondeur. Les bons réflexes : recherche d’image inversée, cloisonnement, documentation des preuves avant de bloquer, puis signalement.
En mars 2021, les 10 principaux sites de rencontres en France ont enregistré 46,4 millions de visites selon une étude réalisée par monpetitdate. Les applications de rencontre sont devenues de véritables outils pour trouver sa future moitié. Cependant, ces applications ne sont pas utilisées uniquement à des fins bienveillantes.
Le catfishing (ou catphishing), une variante du phishing, consiste à utiliser une fausse identité en ligne afin d’extorquer de l’argent ou des données personnelles. Les hackers pratiquant cette arnaque séduisent leur victime sur la durée et utilisent l’ingénierie sociale pour instaurer un climat de confiance dans l’objectif de faire baisser la vigilance de la victime.
Bien que de nombreux cas de catfishing ne concernent que des particuliers, cela peut également être utilisé pour mener à bien des attaques contre des entreprises.
Dans cet article nous reviendrons sur l’attaque “Mia Ash” menée contre la société Deloitte avant de parler de techniques de protection.
1. Le catfishing peut être une menace pour votre entreprise
OilRig, une équipe de hackers iraniens a usurpé l’identité de Cristina Mattei, une photographe roumaine. À partir des informations et photos de madame Mattei, OilRig a créé un faux profil Facebook sous le nom de Mia Ash, une soi-disant photographe vivant à Londres.
En juillet 2016, un employé en cybersécurité chez Deloitte, grand cabinet de conseil, reçoit un message sur son compte Facebook de la fameuse Mia Ash, lui indiquant qu’elle souhaiterait échanger sur leur travail respectif.
OilRig va ensuite construire une relation, créer un lien en flattant par exemple l’employé sur ses différentes compétences. C’est après plusieurs semaines que la victime propose son aide au faux profil pour créer son nouveau site. Mia lui envoie alors un fichier censé contenir des photos d’elle.
Ce fichier contenait en fait Pupyrat, un malware créé pour extraire des identifiants de connexion au système de Deloitte.
Heureusement pour Deloitte, le logiciel n’a pas réussi à se connecter aux systèmes de l’entreprise, ce qui a empêché la fuite de données.
Deloitte a cependant révélé avoir été victime d’une autre attaque ciblant ses serveurs hébergés par Microsoft Azure sur la même période que l’affaire « Mia Ash ». On peut donc supposer que les deux attaques sont liées et que l’une résulte de l’autre.
Ce scénario relève du pretexting : l’attaquant bâtit un prétexte crédible et une relation de confiance pour obtenir d’un collaborateur un accès ou l’ouverture d’un fichier. Il s’agit d’une usurpation d’identité en entreprise, menée depuis un canal personnel, souvent hors de portée des protections de la messagerie professionnelle.
2. Comment repérer un catfish ?
Avant de vous aider à repérer un cas de catfishing, il est important de souligner la complexité de détection due au contexte de rencontre.
C'est très différent d'une attaque par sextorsion.
Dans cette situation, il est normal d’en apprendre plus sur l’autre et qu’une part d’information personnelle soit échangée. Cependant, si plusieurs des points ci-dessous se retrouvent dans votre conversation, il est fort probable que vous ayez affaire à un scammer, restez attentifs !
Demande d’informations personnelles
Lors d’un échange sur une application de rencontre, il est logique de demander plus d’informations sur son interlocuteur.
Cependant, un scammer vous demandera généralement des informations personnelles plus vite que lors d’une conversation classique.
Votre salaire, votre adresse, votre email ou des identifiants de connexions sont des demandes inhabituelles qui doivent éveiller votre vigilance.
Pas de contact en personne / en vidéo
Un individu malveillant évitera toujours les contacts physiques ou en vidéo car il se ferait plus facilement démasquer, il annulera donc toujours au dernier moment ces rencontres. Une vraie personne pourrait bien évidemment avoir un imprévu l’empêchant de vous rejoindre mais lorsque les annulations sont répétitives, c’est un signe de catfishing.
Trop beau pour être vrai
Si vous n’avez que des points communs, que votre interlocuteur est d’accord avec tout ce que vous dites, c’est sûrement trop beau pour être vrai. De plus, un profil présentant tous les points d’une grande réussite sociale, un physique séduisant et une grande richesse est probablement faux.
Flatterie excessive
Un scammer de bas niveau manquera d’intelligence sociale et vous flattera à l’excès.
Si une personne vous déclare sa flamme dès le premier ou deuxième échange, il est judicieux de se poser des questions sur l’authenticité de ses propos et son identité.
Manque de cohérence dans certains propos
En fonction du degré de préparation de l’attaquant, sa fausse identité et ses prétextes peuvent comporter des incohérences. Prêtez attention aux détails et n’hésitez pas à mettre votre interlocuteur face à ses contradictions.
Communication évasive
Pour maintenir l’illusion, le faux profil doit garder la main sur les informations et sur le canal d’échange. Il reste vague sur sa vie personnelle ou professionnelle, répond à côté des questions précises et cherche à garder la conversation sur une seule plateforme, en évitant l’appel, la visio ou une autre messagerie.
Dans un contexte professionnel, un contact qui s’intéresse à votre poste et à vos outils tout en esquivant les questions sur sa propre identité doit éveiller la même méfiance.
Demande d’aide financière
La demande d’aide financière est la finalité d’une grande majorité des attaques de catfishing ciblant les particuliers. D’une manière générale, il est évident qu’envoyer de l’argent à une personne dans ce contexte est une erreur et un signal d’alarme fort.
Identité numérique incomplète
Bien souvent, les profils créés à des fins de catfishing manquent de “profondeur”. Ils ne sont présents que sur la plateforme utilisée pour mener l’attaque.
Recherchez l’individu sur d’autres réseaux sociaux, si vous n’avez pas de résultat et qu’aucun compte annexe comme LinkedIn n’est relié au profil, alors vous avez peut-être affaire à un cas de catfishing.
D’autre part, ces profils constituant une forme d’identité numérique vous donnent du contexte et vous permettent de vérifier la cohérence des informations échangées au cours des conversations.
Personne seule sur les photos
Si le profil de votre interlocuteur ne contient que des photos où la personne y figure seule, qu’il n’y a aucune autre personne sur ses photos, c’est un profil suspect. En effet, des photos de groupe impliquent de devoir inventer une relation avec chacune des personnes présentes. Il est donc plus facile d’usurper l’identité d’une personne apparaissant seule. De plus, si le profil présente uniquement des photos professionnelles dignes d’un magazine, c’est un autre indice sur le danger potentiel de votre interlocuteur. Un vrai profil a nécessairement des photos plus “naturelles”.
Transmissions de fichiers
Une autre finalité de ce type d’attaque est le piratage du poste connecté. Que ce soit en entreprise, comme avec l’affaire Mia Ash, ou pour un particulier, il est très simple de transmettre des fichiers malveillants.
Envoyer une archive avec des photos ou installer un programme pour faire un appel vidéo sont des exemples d’envoi de fichiers potentiellement dangereux.
Comment se protéger du catfishing ?
Nous avons vu les différents indices utiles pour repérer un catfishing. Nous allons maintenant examiner les actions à mener pour vous protéger contre ces attaques.
Recherche d’image inversée
Prenez une capture d’écran de la photo de profil de votre interlocuteur. Ensuite, réalisez une recherche d’image inversée sur Google, TinEye ou encore PimEyes afin de retrouver d’autres sources de l’image. Généralement, les photos de profil de compte de catfishing appartiennent à d’autres profils existants.
Aperçu de l'interface de PimEye
Attention cependant, il est de plus en plus facile de créer des photos de profils à partir de générateurs basés sur de l’intelligence artificielle comme thispersondoesnotexist.com.
Demander des photos et vidéos dans différents contextes
Bien qu’il existe des technologies comme les deep fakes, plus on demande des photos dans divers contextes, plus il est coûteux pour l’attaquant de rester cohérent. Demandez des vidéos de votre interlocuteur ou des photos de groupes. Ces éléments sont plus difficiles à produire que de simples photos de profil.
L’intuition
Si vous avez un doute sur l’identité de votre interlocuteur, fiez-vous à votre intuition. Un mauvais pressentiment n’est jamais sans raison et pourrait vous éviter une situation dangereuse et désagréable.
Évitez de transférer de l’argent à un inconnu
Cela va sans dire, n’envoyez jamais d’argent à un individu que vous n’avez jamais rencontré physiquement. Évitez également de divulguer trop d’informations personnelles dans vos conversations avec un inconnu. Vous réduirez ainsi les chances de vous faire arnaquer.
Cloisonnement
Une des règles de base de la cybersécurité est de ne pas mélanger les usages. Le matériel (ordinateur, téléphone) mais aussi les sites et adresses email que vous pouvez utiliser pour vos activités et discussions personnelles doivent être différents de vos équipements et adresses professionnelles.
Ainsi, l’infection d’un ordinateur personnel par un malware venant d’un catfishing, ne peut se répandre sur le réseau de l’entreprise.
Pour une organisation, ce cloisonnement doit s’accompagner de la sensibilisation des collaborateurs : un faux profil abordé sur un réseau social personnel peut mener jusqu’à un poste de travail professionnel.
Protections logicielles
La première mesure pour éviter l’infection est d’être très prudent avec les fichiers échangés sur ces plateformes.
Dans le cas de la transmission de malwares, la présence d’un antivirus à jour et d’un firewall pourront potentiellement limiter l’impact de l’attaque en détectant le malware ou l’activité réseau suspecte de ce dernier.
Documenter les preuves avant de bloquer
Avant de bloquer le profil, conservez les preuves : captures d’écran de la conversation et du profil, adresse du compte, pseudonyme, dates des échanges, fichiers ou liens reçus. Une fois le compte bloqué ou supprimé, ces éléments peuvent disparaître.
Ils serviront à signaler l’arnaque à la plateforme et aux autorités. Si le contact a eu lieu sur un poste ou avec des comptes professionnels, ou si vous avez ouvert un fichier ou communiqué des identifiants, changez vos mots de passe et prévenez sans attendre votre équipe sécurité ou votre support informatique.
Signaler
Comme pour la plupart des cyberattaques, signaler l’arnaque aide les autorités à mettre la main sur les hackers. Il est donc important de signaler des faux profils ou tentatives d’arnaques sur des applications ou réseaux sociaux.
Vous pouvez également signaler l’attaque sur signal-spam.fr une plateforme en ligne où la CNIL (Commission Nationale de l’Informatique et des Libertés) prendra en charge votre signalement.
Conclusion
Le catfishing est une attaque souvent considérée comme « évidente » à identifier. Néanmoins comme pour le phishing, même des personnes sensibilisées peuvent se faire avoir.
La preuve en est avec l’affaire Mia Ash, où un employé en cybersécurité s’est fait avoir.
Il est important de communiquer sur ces attaques afin de faire prendre conscience du risque qu’elles posent.
En ayant connaissance des dangers potentiels, vous serez plus vigilants sur les applications de rencontre et donc plus protégés.
Questions fréquentes
-
Le catfishing consiste à se faire passer pour quelqu’un d’autre en ligne, avec un faux profil, afin de tromper une personne. L’objectif est d’obtenir de l’argent, des informations personnelles ou l’accès à un appareil. C’est une variante du phishing qui repose sur l’ingénierie sociale et sur une relation construite dans la durée.
-
Plusieurs signaux doivent alerter : des demandes d’informations personnelles très rapides, des rencontres ou appels vidéo toujours annulés, une communication évasive, une flatterie excessive, des incohérences dans le discours, des photos où la personne apparaît toujours seule et une identité numérique limitée à une seule plateforme.
-
Oui. Dans l’affaire Mia Ash, un faux profil Facebook a permis d’entrer en contact avec un employé en cybersécurité de Deloitte, puis de lui faire ouvrir un fichier contenant le malware Pupyrat. Le procédé s’apparente à du pretexting : une fausse identité sert de prétexte pour obtenir un accès.
-
Réalisez une recherche d’image inversée de la photo de profil, cherchez la personne sur d’autres réseaux sociaux, demandez des photos dans différents contextes et proposez un appel vidéo. Un faux profil aura du mal à rester cohérent sur ces points. Restez prudent, car des photos de profil peuvent aussi être générées par intelligence artificielle.
-
Cessez de transférer de l’argent et de partager des informations personnelles. Conservez les preuves (captures d’écran, adresse du compte, fichiers reçus) avant de bloquer le profil, puis signalez-le à la plateforme et, si besoin, sur signal-spam.fr. En contexte professionnel, prévenez votre équipe sécurité, surtout si vous avez ouvert un fichier.
Protégez vos équipes contre l’usurpation d’identité
Un faux profil sur un réseau personnel peut suffire à atteindre votre entreprise. Entraînez vos collaborateurs avec des simulations réalistes de phishing, de vishing et de deepfake, et protégez en priorité les profils les plus exposés grâce à notre protection des cadres dirigeants. Découvrez aussi notre simulation de vishing.
