Des clés USB contenant des virus informatiques auraient été déposées dans des boîtes aux lettres du nord de la France, alerte la gendarmerie. Ces objets contiendraient des programmes malveillants capables d’accéder à des données personnelles. C’est « l’arnaque à la clé USB », qui joue à la fois sur votre curiosité et votre bienveillance.
Si vous trouvez une clé USB dans votre boîte aux lettres, ne la branchez surtout pas sur votre ordinateur. Cet appel à la prudence a été lancé mercredi par les gendarmes du département du Nord, sur Facebook.
Une fois branchée sur un ordinateur, la clé « va installer un virus permettant l’accès à distance à toutes vos informations confidentielles », indiquent les militaires.
Cette « arnaque à la clé USB », écrivent les gendarmes du Nord, « serait de retour ». Ils avaient déjà lancé un appel à la vigilance similaire en 2017. Et en 2016, des clés USB infectées de programmes malveillants avaient été déposées dans plusieurs boîtes aux lettres d’une banlieue de Melbourne, en Australie.
Une technique bien connue de certains experts
Utiliser une clé USB pour transmettre un virus informatique : sur le papier, cela « ne paraît pas surprenant », réagit au téléphone Hervé Debar, professeur et directeur du département Réseaux et services de télécom à l’école d’ingénieurs Télécom SudParis.
Cette méthode est d’ailleurs bien connue des experts en cybersécurité engagés pour tester l’efficacité de systèmes de défense informatique et déceler d’éventuelles failles.
L’une des techniques utilisées par ces spécialistes est justement de laisser traîner des clés USB à la machine à café ou sur le parking d’une entreprise. L’idée est de voir si des employés branchent ces objets inconnus, qui pourraient théoriquement être infectés par des virus, sur les ordinateurs de l’entreprise. Puis de les sensibiliser à ces dangers.
Un réflexe humain
Résultat : ces clés USB qui traînent sont très souvent utilisées. « Quand on laisse des clés USB à la machine à café, la moitié sont branchées sur un ordinateur dans l’heure qui suit, poursuit Hervé Debar. C’est ce qui ressort d’études réalisées en entreprise. » C’est logique : l’arnaque à la clé USB joue à la fois sur la curiosité… Et la bienveillance.
« C’est comme quand vous trouvez un portefeuille dans la rue, dit-il encore. Vous l’ouvrez pour voir qui est son propriétaire et le lui rendre. Avec la clé USB, c’est le même mécanisme. C’est très humain. »
Une fois l’objet branché, l’explorateur de l’ordinateur affiche le contenu de la clé, et les utilisateurs aperçoivent un ou plusieurs fichiers. Et bien souvent, ils ont envie de les ouvrir.
Le réflexe du clic
« Un programme qui s’appelle Confidentiel.exe avec une icône suffisamment attrayante, vous pouvez être certain qu’une personne va avoir le réflexe de cliquer dessus », nous dit Ivan Kwiatkowski, chercheur en cybersécurité au sein de l’équipe internationale de recherche et d’analyse de Kaspersky Lab, l’entreprise qui développe notamment l’antivirus du même nom.
Sauf qu’à ce moment-là, quand il clique, l’utilisateur va « exécuter le virus qui va effectuer des actions non sollicitées sur la machine », poursuit-il.
Mais de quel type de programme malveillant peut-il s’agir ? Beaucoup de scénarios sont envisageables, souligne encore Ivan Kwiatkowski. Si des malfaiteurs ont accès à votre ordinateur, ils peuvent crypter le contenu du disque dur de votre ordinateur, puis exiger une rançon afin de vous « restituer » vos données personnelles.
Ils peuvent aussi accéder à vos comptes bancaires pour effectuer des virements, commettre un vol d’identité… Entre autres possibilités.
Agir en amont
Il faut donc agir en amont, pour se protéger de « l’arnaque à la clé USB ». Hervé Debar suggère notamment de désactiver l’exécution automatique des clés USB sur votre ordinateur, ou de les scanner grâce à un logiciel antivirus avant de les lire.
Ivan Kwiatkowski recommande une méthode plus simple et plus radicale : « On ne branche pas une clé USB d’origine inconnue sur son ordinateur ! »
Source : Ouest-france.fr
Information complémentaire :
Crashdebug.fr : Démantèlement d’un gang de cybercriminels aux 41.000 victimes (Le Monde)
