En résumé:
- PCWorld rapporte que les cybercriminels exploitent la fonctionnalité de notification légitime de Microsoft Power BI pour envoyer des e-mails de phishing convaincants à partir d’adresses Microsoft authentiques.
- Ces fausses alertes de paiement font état de frais non autorisés de 400 à 700 dollars et font pression sur les victimes pour qu’elles appellent des numéros de téléphone contrôlés par les fraudeurs pour obtenir de l’aide.
- L’arnaque incite les utilisateurs à installer un logiciel d’accès à distance, donnant aux attaquants un contrôle total sur l’ordinateur pour le vol de données et l’installation de logiciels malveillants.
Les utilisateurs de Microsoft signalent une arnaque particulièrement difficile à détecter : des e-mails de phishing envoyés à partir d’une véritable adresse e-mail Microsoft classée comme « digne de confiance » par l’entreprise elle-même.
Les e-mails semblent officiels, mais ils exigent des paiements de grande valeur et conduisent les victimes directement dans un piège à escroquerie.
Méfiez-vous des e-mails frauduleux provenant d’une adresse e-mail officielle de Microsoft
Les e-mails frauduleux sont envoyés depuis (email protégé)qui est une véritable adresse e-mail Microsoft utilisée pour les notifications pour Power BI (un outil d’analyse et de collaboration). Sur cette page d’assistance, Microsoft recommande même explicitement d’autoriser cette adresse e-mail d’expéditeur à contourner votre filtre anti-spam afin que les messages système importants ne soient pas bloqués.
Les cybercriminels exploitent désormais cette confiance. Les e-mails frauduleux entraîneraient des frais non autorisés (via Ars Technica), généralement d’un montant de 400 à 700 USD. Pour arrêter le paiement supposé, les destinataires sont invités à appeler un numéro de téléphone spécifié le plus rapidement possible – une tactique de pression classique pour provoquer des réactions précipitées et l’un des plus grands signaux d’alarme d’un e-mail d’escroquerie par phishing.
Toute personne qui compose le numéro est connectée à quelqu’un qui se fait passer pour un employé de Microsoft. Ils demandent au destinataire d’installer un logiciel de maintenance à distance pour résoudre le problème. En réalité, cela donne à l’escroc un accès complet à l’ordinateur de la victime, lui permettant d’espionner ses activités, de voler des données et même d’installer d’autres logiciels malveillants.
En d’autres termes, l’arnaque proprement dite n’a pas lieu par courrier électronique mais lors de la conversation téléphonique qui s’ensuit. Cela rend considérablement plus difficile la détection automatique des filtres anti-spam.
Comment les fraudeurs utilisent Microsoft Power BI pour tromper leurs victimes
L’ensemble de l’attaque de phishing est rendu possible par une fonctionnalité légitime de Microsoft Power BI. Lors de la création d’un tableau de bord, n’importe quelle adresse e-mail peut être ajoutée en tant que participant. Power BI envoie ensuite automatiquement une notification à ces adresses via l’adresse officielle de Microsoft.
Mais le point crucial est que le contenu de cet e-mail de notification peut être défini librement. Les cybercriminels n’ont donc besoin que d’adresses e-mail de destinataire valides pour envoyer des alertes de paiement trompeusement authentiques. Bien que l’e-mail provienne techniquement de Microsoft, le texte est entièrement contrôlé par les attaquants. L’indication réelle qu’il s’agit simplement d’une invitation à un tableau de bord Power BI se trouve uniquement à la fin du message, ce qui est très facile à ignorer ou à manquer.
Les chercheurs en sécurité soulignent que cette méthode est particulièrement efficace car elle ne contient aucun lien ni pièce jointe malveillante et que le domaine de l’expéditeur est considéré comme digne de confiance.
Jusqu’à présent, la plupart des rapports proviennent des États-Unis. Cependant, il est probable que cela s’étende à d’autres régions, car des tentatives d’abus similaires ont été observées sur d’autres grandes plateformes dans le passé.
Ce que tu devrais faire
Pour rester en sécurité, restez particulièrement vigilant face aux escroqueries par phishing :
- Vérifiez soigneusement toutes les demandes de paiement, même si l’adresse e-mail de l’expéditeur semble être authentique.
- Lisez l’e-mail dans son intégralité du début à la fin.
- N’appelez aucun numéro de téléphone à partir d’e-mails non sollicités.
- N’installez jamais de logiciel de maintenance à distance à la demande d’une équipe d’assistance, notamment par e-mail ou par téléphone.
- Réglez uniquement les factures impayées via votre compte Microsoft officiel ou via des canaux d’assistance vérifiés.
En règle générale, Microsoft ne contacte pas les utilisateurs par téléphone ou par accès à distance pour demander le paiement de frais non autorisés.
