Escroquerie par hameçonnage à la sécurité sociale
Une campagne de phishing ciblant les numéros de sécurité sociale (SSN) des utilisateurs a été découverte par des experts en cybersécurité. La première étape de la campagne d'escroquerie consiste en la diffusion d'e-mails leurres présentés comme s'ils étaient envoyés par la Social Security Administration des États-Unis. Cependant, le véritable expéditeur n'est qu'une adresse Gmail aléatoire. Des détails sur les opérations de phishing ont été révélés dans un rapport des chercheurs de la société de sécurité de messagerie INKY.
Selon leurs conclusions, les e-mails leurres de la campagne de phishing tentent de créer un sentiment d'urgence dès leur ligne d'objet. Ils contiennent souvent l'adresse e-mail de l'utilisateur, l'ID de cas ou un numéro de dossier dans le but d'apparaître comme une communication officielle concernant un problème grave. Les lignes d'objet des e-mails peuvent impliquer que le SSN de l'utilisateur a été lié à une activité suspecte ou qu'il sera bientôt supprimé, interrompu, suspendu, etc.
Les e-mails contiennent également un fichier PDF joint. Le fichier n'est pas malveillant mais il ajoute une autre couche supposée de légitimité. Une fois ouvert, le document mettra en évidence le logo de l'administration de la sécurité sociale et un numéro de dossier spécifique. Le texte et le scénario présentés dans le fichier PDF peuvent varier, mais ils encourageront toujours les destinataires sans méfiance à contacter un numéro de téléphone fourni, décrit comme appartenant à l'agence.
Au lieu de cela, les utilisateurs contacteront soit les escrocs, soit un opérateur travaillant pour eux. L'ajout de cette méthode connue sous le nom de vishing (phishing vocal) pourrait augmenter considérablement le nombre de personnes tombant dans le piège de l'escroquerie. Une fois en ligne, les utilisateurs peuvent être invités à fournir des informations personnelles sensibles via diverses tactiques d'ingénierie sociale. Les victimes pourraient être invitées à vérifier leur numéro de sécurité sociale ainsi qu'à indiquer leur date de naissance et leur nom aux opérateurs téléphoniques. Les utilisateurs pourraient être invités à fournir leurs informations bancaires ou à payer de faux frais sous la forme de cartes-cadeaux ou d'une crypto-monnaie spécifique.
