La nouvelle arnaque PayPal utilise de vrais e-mails – voici comment l'éviter

Une nouvelle arnaque de phishing PayPal a été signalée, et celle-ci est particulièrement intelligente et a l'air étonnamment réelle. Il n'y a pas de fautes de frappe évidentes, d'adresses e-mail de l'expéditeur sommaires ou d'erreurs grammaticales, et elle provient de l'adresse e-mail officielle de PayPal, service@paypal.com.

Comment l'arnaque a-t-elle commencé?

PayPal a présenté sa fonction d'adresse cadeau, conçue pour donner aux utilisateurs plus de flexibilité dans l'expédition à plusieurs adresses. Ainsi, au lieu de modifier votre adresse d'expédition chaque fois que vous achetez quelque chose, vous pouvez désormais ajouter des adresses supplémentaires pour les livraisons. C'est une fonctionnalité très utile, en particulier lors de l'envoi de cadeaux ou de la livraison des achats ailleurs sans mettre à jour manuellement les paramètres de votre compte. Mais malheureusement, les escrocs l'ont transformé en une arnaque de phishing.

Les escrocs exploitent désormais cette nouvelle fonctionnalité d'adresse cadeau en abusant de son système de messagerie automatisé. Cela leur permet d'envoyer des notifications qui semblent complètement réelles.

Vous pouvez recevoir un e-mail de PayPal disant qu'une nouvelle adresse a été ajoutée, et vous devez confirmer un achat coûteux que vous avez soi-disant effectué. Bien sûr, tout est faux. Vous n'avez pas ajouté de nouvelle adresse et vous ne vous souvenez pas d'avoir commandé un MacBook ou une PlayStation. Vous commencez à vous inquiéter que quelqu'un ait piraté votre compte.

Leur objectif est de vous convaincre que votre compte a été piraté et que la seule façon de le corriger est d'installer un logiciel d'accès à distance (RAT), ce qui leur permet de prendre le contrôle total de votre ordinateur. Ceci est différent de vos tentatives de phishing standard, alors méfiez-vous.

Comment fonctionne l'arnaque

Vous vous demandez peut-être comment un escroc est en mesure d'abuser du système de livraison de messagerie automatisé de PayPal pour envoyer un e-mail légitime. Eh bien, ce n'est pas du tout difficile. La confirmation automatique des e-mails de PayPal après une modification de compte est une fonction de sécurité standard conçue pour vous alerter de toute modification de votre compte. Cependant, les escrocs ont maintenant trouvé un moyen de manipuler le système.

L'escroc entre dans un compte PayPal, le leur ou celui qu'ils ont piraté, puis ajoute une nouvelle adresse. Lorsqu'ils le font, PayPal envoie automatiquement un e-mail de confirmation au propriétaire du compte. L'e-mail provient directement du vrai domaine de PayPal, ce qui le rend légitime.

Ensuite, ils ont mis en place un niveau automatique qui permet à l'e-mail de se transmettre à la victime. L'e-mail Paypal légitime est envoyé à un faux e-mail qu'ils gèrent et sont configurés pour transmettre à une liste de diffusion Microsoft 365. Cette liste de diffusion contient des milliers d'adresses e-mail, toutes les victimes potentielles.

Pour rendre l'e-mail encore plus alarmant, l'escroc ajoute généralement une note dans le champ «Adresse cadeau» (ainsi qu'un numéro de support) disant que vous venez d'acheter un article coûteux – comme une PlayStation – en utilisant la nouvelle adresse.

Vous savez que vous n'avez pas fait cet achat, mais l'e-mail vous fait paniquer, vous amenant à appeler le faux numéro de service client. De nos jours, même les identifiants d'appelant peuvent être truqués.

Pourquoi cette arnaque de phishing est différente

La plupart des escroqueries par phishing s'appuient sur l'identité d'une entreprise en usurpant une adresse e-mail, créant une fausse version de l'e-mail d'une entreprise légitime. Les fournisseurs de courriels comme Gmail et Yahoo les signalent souvent comme des tentatives de spam ou de phishing. Mais cette nouvelle arnaque PayPal est différente car elle provient directement du domaine réel de PayPal.

D'autres escrocs achètent des domaines similaires aux marques réelles, mais ne sont pas réelles. Ceux-ci pourraient avoir de petites fautes ou de légères variations qui les rendent différentes de l'adresse e-mail officielle, par exemple, «Paypall.com» au lieu de «PayPal.com».

Étant donné que l'expéditeur est en fait service@paypal.com, les filtres à spam ne peuvent pas toujours le détecter comme une tentative de phishing, ce qui rend les victimes plus susceptibles de lui faire confiance. En utilisant un e-mail officiel généré par PayPal, les escrocs ont une longueur d'avance.

Que se passe-t-il si vous appelez le numéro?

Disons que vous voyez l'e-mail, la panique et appelez le numéro.

La personne à l'autre extrémité semble professionnelle. Ils se présentent en tant que représentant PayPal, demandent votre nom et vous remercient de l'appel. Ensuite, ils affirment que votre compte a été piraté. Ils disent qu'un pirate a ajouté une fausse adresse et fait maintenant des transactions non autorisées en votre nom.

Ils le font sembler vraiment mal. Ensuite, ils vous disent qu'ils doivent sécuriser votre compte immédiatement avant que de plus en plus de charges ne se poursuivent.

Vous commencez à paniquer. C'est alors qu'ils vous demandent d'installer un logiciel sur votre ordinateur. Et ce n'est pas n'importe quel logiciel – c'est un logiciel d'accès à distance.

Ils pourraient vous demander d'installer des outils légitimes comme ConnectWise, TeamViewer ou AnyDesk – qui sont utilisés par les professionnels de l'informatique pour résoudre les problèmes techniques mais peuvent être abusés par des escrocs car il peut leur accorder l'accès à votre système.

Une fois que vous l'avez installé et leur accorder un accès, ils ont un accès complet à votre ordinateur. Maintenant, ils peuvent se connecter à votre compte PayPal et voler vos informations d'identification, modifier les paramètres de votre compte pour vous empêcher de vous accéder, accéder à vos comptes bancaires et enregistrer des mots de passe, et même installer des logiciels malveillants pour vous espionner plus tard.

Certaines victimes ont même signalé que les escrocs les regardent entrer des mots de passe en temps réel – puis reprendre leurs comptes instantanément. Je ne sais pas pour vous, mais cela me terrifie.

Comment se protéger

Si vous dirigez une entreprise et comptez sur PayPal, vous pourriez paniquer pour des frais non autorisés. Même les utilisateurs réguliers de PayPal peuvent manquer les panneaux d'avertissement car ils reçoivent de nombreuses notifications légitimes.

Pour éviter de tomber amoureux de ces types d'escroqueries, la première chose que vous devez faire n'est pas de paniquer. Il est important de ne jamais faire confiance à un e-mail simplement parce qu'il semble être réel. N'appelez pas le «numéro d'assistance» répertorié dans l'e-mail. Vous pouvez vous rendre directement à PayPal vous-même. Ouvrez votre navigateur, tapez Paypal.comconnectez-vous et vérifiez votre activité récente. Si rien ne semble suspect, l'e-mail est une arnaque. Vérifiez les paramètres de votre compte pour voir si de nouvelles adresses ont été ajoutées. Si rien n'a changé, vous savez que c'est faux.

Vous devez toujours contacter PayPal via leur site officiel. N'utilisez jamais les coordonnées dans un e-mail comme celui-ci. PayPal n'inclura jamais de numéro de service client dans ses e-mails. Au lieu de cela, ils vous dirigent vers leur site Web pour obtenir de l'aide. Si vous voyez un numéro de téléphone sur un e-mail urgent comme celui-ci, ne l'appelez pas. C'est probablement une arnaque.

Aucune entreprise légitime ne vous demandera d'installer un logiciel d'accès à distance pour résoudre un problème de compte. Si cela se produit, il est préférable de raccrocher.

Il y a d'autres choses que vous pouvez faire pour protéger votre compte. N'oubliez pas d'activer l'authentification à deux facteurs (2FA) dans les paramètres de votre compte PayPal et modifiez fréquemment votre mot de passe PayPal (assurez-vous que c'est un mot unique et complexe).

Même si vos détails de connexion sont compromis, les escrocs ne pourront pas accéder à votre compte si 2FA est activé.

Je recommande également de signaler les e-mails de phishing à PayPal. Si vous recevez un e-mail suspect, transmettez-le à phishing@paypal.com, puis supprimez-le. Plus les rapports reçoivent que PayPal reçoit, plus ils peuvent arrêter rapidement des escroqueries comme celle-ci.

N'oubliez pas de rester calme et collecté. Les escrocs s'appuient sur l'urgence et la peur de inciter les gens à prendre des décisions rapides avant d'avoir une chance de penser. Respirez profondément, vérifiez tout et ne les laissez pas vous précipiter. Vous avez toujours assez de temps pour déterminer si un e-mail est réel ou frauduleux.

---

Cette arnaque PayPal est l'une des attaques de phishing les plus convaincantes en ce moment. Il exploite le propre système de messagerie de PayPal, ce qui le rend difficile à détecter. Les e-mails sont réels, mais le numéro de téléphone à l'intérieur est faux.