Une campagne d'escroquerie au Royaume-Uni, sous couvert d'une enquête auprès des consommateurs, usurpe l'identité de grandes enseignes de distribution
Points clés
Une campagne de hameçonnage multimarque visant plus de 42 000 consommateurs britanniques, avec des escroqueries se faisant passer pour Boots et Superdrug au cours des 90 derniers jours
Promesse de cadeaux ou de récompenses gratuits en échange de la participation à de faux sondages de satisfaction client
Collecte d’informations personnelles détaillées et de données de cartes de paiement pour prélever frauduleusement des « frais de livraison » de 2,95 £
Infrastructure de hameçonnage hébergée sur des compartiments AWS S3, utilisant des domaines piratés pour les pages de destination
Des clones de sites web de marques légitimes renforcent la confiance des victimes et augmentent les taux de transmission des identifiants
Présentation de la campagne
L'équipe de recherche sur les menaces de Mimecast a identifié un ensemble de campagnes de hameçonnage ciblant les consommateurs britanniques, qui usurpent l'identité de marques de distribution et de prestataires de services connus. Ces campagnes recourent à des techniques d'ingénierie sociale promettant des cadeaux gratuits, des récompenses exclusives ou des actions urgentes sur le compte afin d'inciter les destinataires à divulguer leurs informations personnelles et leurs coordonnées bancaires.
Contrairement aux campagnes de phishing traditionnelles qui reposent largement sur le vol d’identifiants, ces opérations combinent plusieurs étapes de collecte de données : elles commencent par recueillir des informations personnelles via de faux sondages, puis capturent les informations de paiement sous prétexte de frais de livraison ou de traitement symboliques. Les « frais de livraison » de 2,95 £ représentent un montant soigneusement calculé : suffisamment bas pour ne pas éveiller immédiatement les soupçons, mais suffisamment important pour valider les données de carte de paiement volées en vue d’une utilisation frauduleuse ultérieure.
Déroulement de l’attaque et infrastructure technique
Ces campagnes suivent un schéma d’attaque cohérent en plusieurs étapes :
Premier contact : les destinataires reçoivent des e-mails dont l’objet est urgent ou alléchant, faisant référence à des mises à jour de compte, à des problèmes de livraison ou à des récompenses exclusives
Redirection vers une page de destination : les URL dirigent les victimes vers des pages de hameçonnage initialement hébergées sur des compartiments AWS S3 avant de les rediriger vers des domaines compromis ou contrôlés par les attaquants
Usurpation d’identité de marque : les pages de destination présentent des clones quasi identiques, au pixel près, des sites web légitimes des marques, y compris les logos, le style et la mise en page authentiques
Participation à un sondage : les victimes répondent à de faux sondages de satisfaction client leur demandant leur avis sur des produits ou des services
Choix de la récompense : une fois le questionnaire rempli, les victimes choisissent parmi plusieurs options de récompenses « gratuites » (généralement des produits de soin, des cartes-cadeaux ou des articles promotionnels)
Partager ceci
Collecte de données personnelles : un premier formulaire demande le nom complet, l’adresse postale, le numéro de téléphone et l’adresse e-mail
Collecte des données de paiement : le deuxième formulaire recueille l’intégralité des informations de la carte de paiement (numéro de carte, date d’expiration, code CVV) pour les « frais de livraison » de 2,95 £
Redirection vers un site légitime : après l’envoi des données, les victimes sont redirigées vers le site web authentique de la marque, ce qui donne l’illusion d’une transaction légitime
Étude de cas : arnaque à l’enquête Boots UK
Les destinataires de la campagne de phishing de Boots reçoivent l’un des deux types d’e-mails principaux, conçus pour paraître légitimes et susciter l’intérêt.
Notification de cadeau après enquête : les e-mails indiquent que le destinataire a récemment répondu à une enquête de satisfaction client et qu’il a été sélectionné pour recevoir un cadeau gratuit en remerciement de sa participation.
Demande d’enquête post-achat : les e-mails font référence à un achat récent chez Boots et invitent le destinataire à répondre à une brève enquête de satisfaction client, en lui promettant un cadeau une fois celle-ci terminée.
Ces deux approches exploitent les schémas habituels d’interaction avec les clients dans le secteur de la vente au détail. Les consommateurs sont habitués à recevoir des demandes d’avis après achat et des communications relatives aux programmes de fidélité de la part des détaillants, ce qui rend ces appâts particulièrement efficaces. La promesse d’un cadeau gratuit incite à l’engagement, tandis que la référence à une activité récente (qu’elle soit inventée de toutes pièces ou issue d’informations provenant d’une fuite de données) confère de la crédibilité au message.
L’analyse de la campagne d’usurpation d’identité de Boots révèle une mise en œuvre technique sophistiquée. La page de hameçonnage, initialement hébergée sur un compartiment de stockage AWS S3, redirige vers un domaine compromis.
La page de destination se présente comme un clone de 1,4 Mo de la page d’accueil légitime de Boots.com, contenant 19 549 lignes de code HTML qui reproduisent l’apparence visuelle du site authentique.
Le principal élément malveillant est une fenêtre modale déguisée en bannière de consentement aux cookies OneTrust, une boîte de dialogue de confidentialité légitime bien connue des internautes britanniques. La fenêtre modale affiche : « Vous avez été sélectionné(e) pour participer à notre enquête de satisfaction client. Nous apprécions vraiment vos commentaires et, en guise de remerciement, nous vous offrons un cadeau spécial : un lot de 5 de nos produits de soins de la peau les plus vendus, offerts par notre sponsor, Skinny Tan. »
Cette approche exploite la familiarité des utilisateurs avec les bannières de confidentialité tout en créant un sentiment d’urgence autour de récompenses exclusives. Le bouton « Commencer l’enquête » — dont le style est identique à celui d’un bouton légitime de consentement de Boots — envoie une requête POST au script PHP qui lance la séquence de collecte des identifiants.
L’utilisateur est invité à répondre à quelques questions imitant un sondage, puis redirigé vers une page où il doit choisir parmi une sélection de cadeaux gratuits.
Une fois le cadeau sélectionné, il est redirigé vers un formulaire recueillant des informations personnelles telles que son nom, son adresse e-mail ou postale et sa date de naissance.
Sur la dernière page, l’utilisateur est alors invité à effectuer un petit paiement de 2,95 £ pour la livraison du cadeau. Une fois le paiement effectué, l’utilisateur est redirigé vers le site web légitime de Boots.
Variantes de la campagne et expansion géographique
Bien que cette campagne vise principalement les consommateurs britanniques, certains éléments indiquent que les auteurs de cette menace étendent leurs opérations et ciblent des victimes à l’international :
Les campagnes relatives à la redevance audiovisuelle exploitent les exigences réglementaires spécifiques au Royaume-Uni concernant la possession d’un téléviseur, créant un sentiment d’urgence autour des mises à jour de facturation et de la vérification des informations de paiement. L’appât s’aligne sur les véritables périodes de renouvellement de la redevance audiovisuelle, ce qui accroît la vulnérabilité des victimes.
Les escroqueries de livraison EVRi tirent parti des attentes post-pandémiques liées à la fréquence des livraisons de colis et aux notifications de livraisons manquées. Ces campagnes demandent des informations personnelles et des détails de paiement pour « reprogrammer » des livraisons inexistantes.
L’expansion internationale comprend des campagnes usurpant l’identité de Costco (ciblant plusieurs pays) et de Shoppers Drug Mart (ciblant le Canada), ce qui suggère soit une expansion géographique de la part du même acteur malveillant, soit la réutilisation d’une boîte à outils par des opérations affiliées.
Indicateurs de compromission (IOC)
Campagne Boots UK
Exemples d’objets d’e-mail :
Boots : un cadeau à l’intérieur – Donnez-nous votre avis ! N° : 748893
Donnez-nous votre avis et profitez des récompenses Boots !
Votre avis compte – Répondez dès aujourd’hui à l’enquête Boots ! N° : 314121
Récompenses Boots : réclamez votre cadeau et votre offre promotionnelle dès aujourd’hui ! N° : 225678
Boots™ : répondez à notre enquête et recevez un cadeau de remerciement ! N° : 210751
Apprendre au personnel à vérifier les tâches inattendues via des canaux de communication distincts avant de cliquer sur des liens
Insister sur la vérification de l’authentification : les utilisateurs doivent toujours vérifier la barre d’adresse avant de saisir leurs identifiants — les pages de connexion Microsoft légitimes utilisent les domaines login.microsoftonline.com ou login.microsoft.com, et non des variantes de powerappsportals.com
Les organisations doivent prendre conscience que les campagnes d’escroquerie par sondage exploitent des mécanismes psychologiques fondamentaux liés à la réciprocité et aux offres à durée limitée. À mesure que ces campagnes gagnent en sophistication, tant au niveau de l’usurpation d’identité des marques que de leur mise en œuvre technique, les stratégies de détection doivent évoluer au-delà des indicateurs traditionnels pour inclure l’analyse comportementale et l’évaluation contextuelle des sondages et des offres de récompenses reçus par e-mail.
Gardez une longueur d'avance en matière de renseignements sur les menaces
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Une campagne d'escroquerie au Royaume-Uni, sous couvert d'une enquête auprès des consommateurs, usurpe l'identité de grandes enseignes de distribution | Mimecast
