Plus de 10 000 internautes auraient téléchargé de « fausses » applications de crypto-monnaie

Les déten­teurs de cryp­to-mon­naie font face à de nom­breux risques. Phi­shing, mal­wares, ingé­nie­rie sociale,… Les pirates ne manquent pas d’i­ma­gi­na­tion lors­qu’il s’a­git de trou­ver des ruses leur per­met­tant de s’ac­ca­pa­rer les pré­cieux actifs numé­riques de leurs victimes.

Il convient donc, plus que jamais, de redou­bler de vigi­lance.

D’au­tant plus que ces escro­que­ries se situent par­fois là où on ne les attend pas.

Géné­ra­le­ment, les uti­li­sa­teurs pensent être à l’a­bri en télé­char­geant une appli­ca­tion réfé­ren­cée sur les App stores de Google et d’Apple. Ils sont nom­breux à sup­po­ser que ces appli­ca­tions ont du faire l’ob­jet de véri­fi­ca­tions pous­sées avant d’y être références.

Mais c’est appa­rem­ment loin d’être le cas… et cer­tains inter­nautes en ont mal­heu­reu­se­ment fait les frais.

De fausses applications… mais de vraies conséquences

Si l’App Store et le Google Play Store sont tous deux sus­cep­tibles d’hé­ber­ger des appli­ca­tions frau­du­leuses, il sem­ble­rait que les uti­li­sa­teurs Android soient les pre­miers concernés.

L’un des cas les plus frap­pants ? Cette appli­ca­tion, qui est par­ve­nue à ber­ner plu­sieurs mil­liers d’u­ti­li­sa­teurs. Elle se fait pas­ser pour l’ap­pli­ca­tion offi­cielle d’une célèbre pla­te­forme d’é­change, Polo­niex, en se pré­sen­tant sous le nom de « Polo­niex ® Offi­cal App ».

On com­prend que cer­tains uti­li­sa­teurs, qui auraient jeté un bref coup d’œil à l’ap­pli­ca­tion avant de cli­quer sur le bou­ton « Ins­tal­ler », aient pu se faire avoir. Car au-delà du nom de l’ap­pli­ca­tion, on peut retrou­ver le logo offi­ciel de Polo­niex, ain­si que des cap­tures d’é­cran issues de la pla­te­forme d’échange.

Mais en regar­dant de plus près, on peut consta­ter de nom­breuses fautes de frappes, mais sur­tout une note moyenne étran­ge­ment faible – une seule et unique étoile, soit la moyenne lais­sée par 171 utilisateurs.

La majo­ri­té des inter­nautes savent qu’ils doivent réflé­chir à deux fois avant de cli­quer sur un lien envoyé par e‑mail. Mais ils n’ont pas for­cé­ment l’ha­bi­tude de faire preuve de tant de vigi­lance lors­qu’il ins­tallent une appli­ca­tion mobile à par­tir d’une pla­te­forme de confiance.

Si l’on s’en tient aux nom­breux com­men­taires lais­sés par des uti­li­sa­teurs en colère, la « Polo­niex ® Offi­cal App » semble n’a­voir qu’un seul objec­tif : s’emparer des comptes de clients de Polo­niex, et accé­der ain­si à leur mon­naie numé­rique.

À qui la faute ?

Mais cette appli­ca­tion est loin d’être la seul à être frau­du­leuse – on retrouve au moins cinq appli­ca­tion de ce type, por­tant le nom « Polo­niex », sur la pla­te­forme Google Play.

Le plus inquié­tant, c’est peut-être le fait que deux d’entre elles (« Polo­niex ® Offi­cal App », mais éga­le­ment « « Polo­niex – Bitcoin/Digital Asset Exchange ») soient par­ve­nues à s’en­gouf­frer dans le trio de tête des résul­tats de la recherche « poloniex » :

Si ces pirates se sont appuyés sur Polo­niex, c’est avant tout parce que la pla­te­forme ne pro­pose pas d’ap­pli­ca­tion mobile offi­cielle. Il est ain­si plus facile d’in­ci­ter les inter­nautes à ins­tal­ler l’ap­pli­ca­tion liti­gieuse qu’ils ont développée.

Si Polo­niex déci­dait un jour de créer sa propre appli­ca­tion, comme l’on fait cer­tains de ses concur­rents comme Coin­base ou Bit­fi­nex, cela per­met­trait sans doute de limi­ter for­te­ment le nombre de télé­char­ge­ment obte­nus par ces appli­ca­tions liti­gieuses.

Mais on pour­rait éga­le­ment se deman­der pour­quoi Polo­niex ne s’ex­prime pas offi­ciel­le­ment au sujet de ces appli­ca­tions, qui visent pour­tant ses propres clients. La socié­té ne tweete que rare­ment, et n’a pas récem­ment évo­qué ce type de problème :

Et l’on ne retrouve pas plus d’in­for­ma­tions sur le site officiel :

Il est éga­le­ment pos­sible d’é­vo­quer la res­pon­sa­bi­li­té du Play Store, qui pour­rait sup­pri­mer ces logi­ciels – ou au moins expli­quer aux uti­li­sa­teurs com­ment évi­ter de télé­char­ger de « fausses » applications.

De nombreux risques

Il sem­ble­rait que les escrocs étu­dient toutes les méthodes d’at­taque pos­sibles et ima­gi­nables – des méthodes qui pour­raient leur per­mettre d’ac­croître leur patri­moine numé­rique aux dépens leurs victimes.

On sait que d’autres escro­que­ries, qui vien­draient prin­ci­pa­le­ment d’Inde, consis­te­raient à offrir un faux sup­port télé­pho­nique à des clients de Coin­base et de Kra­ken. Celles-ci cor­res­pondent aux fameuses arnaques aux faux sup­ports tech­niques, qui demandent aux uti­li­sa­teurs d’ap­pe­ler un numé­ro afin de « répa­rer » leur ordi­na­teur – mais qui vont en fait cher­cher à obte­nir cer­taines infor­ma­tions confidentielles.

Mais le pro­blème ne se limite pas à l’é­co­sys­tème des cryp­to-mon­naies. De nom­breux inter­nautes ont ain­si télé­char­gé une fausse ver­sion de What­sApp sur le Play Store. Dans le même temps, le mal­ware Bank­bot, qui vise à s’emparer des coor­don­nées ban­caires de ses vic­times, a été sup­pri­mé à deux reprises par Google, avant de réap­pa­raître sous le nom de « Cryp­to cur­ren­cies mar­ket prices ».

Faire preuve de vigilance

Les uti­li­sa­teurs qui ins­tallent l’ap­pli­ca­tion d’une pla­te­forme d’é­change, une appli­ca­tion de « sui­vi des prix » ou un por­te­feuille numé­rique sont priés d’u­ti­li­ser les liens pro­ve­nant des sites offi­ciels cor­res­pon­dants. Il est ain­si décon­seillé de se ser­vir des moteurs de recherche du Play Store ou de l’App Store pour obte­nir de telles applications.

Mais il faut faire atten­tion… même lorsque l’on clique sur des liens pro­po­sés par un site « offi­ciel ». Cer­tains déten­teurs de BTC, qui avaient cli­qué sur un lien pro­po­sé sur le site offi­ciel de Bit­coin Gold, ont été récem­ment vic­times d’un vol de leur mon­naie numé­rique. Ce lien les condui­sait vers un wal­let déve­lop­pé par un déve­lop­peur tiers, qui visait à déro­ber leir mon­naie numé­rique.

Par ailleurs, une socié­té de sécu­ri­té, High-Tech Bridge, a récem­ment indi­qué que plus de 90% des appli­ca­tions les plus popu­laires de cryp­to-mon­naie, dis­po­nibles sur le Play Store, com­por­te­raient des failles de de sécu­ri­té. Ain­si, 94% des appli­ca­tions n’u­ti­li­se­raient pas de méthodes de chif­fre­ment à jour, 66% n’en uti­li­se­raient aucune, et 44% sto­cke­raient des « hard-coded pass­words » sous une forme « texte ».

Réfé­rences : news.bitcoin.com, htbridge.com