Une arnaque redoutable débarque sur le web et envahit des sites Internet célèbres, voilà comment y échapper
Un compte bancaire totalement vidé... C'est la malheureuse expérience que plusieurs internautes ont faite récemment. La faute à une nouvelle menace qui se propage sur Internet. Pourtant, les victimes n'avaient, a priori, pas eu recours à des sites internet frauduleux ou présentant des risques. En effet, elles ont toutes fait des achats en ligne sur des sites officiels : pour se payer des vêtements, des appareils électroniques, des places de théâtre, de cinéma, ou pour réserver des titres de transport.
Le piège est si innovant qu'il est encore difficile de se prémunir contre les hackers. Le danger gagne du terrain et touche même de grands sites de e-commerce. Cette nouvelle technique de piratage est directement inspirée d'une autre arnaque tristement célèbre qui a fait des ravages dans les années 2010 : "le skimming".
À l'origine, le skimming consiste à dérober les données d'une carte bancaire en plaçant des lecteurs, des caméras ou de faux clavier directement sur un distributeur automatique de billet (DAB). Ainsi, le client de la banque insère sa carte pour retirer des sous et, sans qu'il s'en aperçoivent, ses données sont copiées par les pirates. Une fois ces informations obtenues, les truands peuvent utiliser la carte bancaire de la victime sans même la voler.
Si les banques savent aujourd'hui se prémunir contre le "skimming", en vérifiant régulièrement qu'il n'y a pas d'appareils installés illégalement sur les DAB, la menace a désormais son équivalent sur Internet. Baptisée "skimming web" ou "skimming numérique", cette nouvelle arnaque consiste à pirater des plateformes e-commerce très fréquentées. Les cybercriminels exploitent les failles de sécurité des sites pour y glisser des scripts malveillants qui interceptent les données bancaires saisies par les clients lors du processus de paiement.
Concrètement, les pirates recherchent des sites vulnérables, notamment des boutiques en ligne fonctionnant avec des logiciels comme Magento, Shopify ou des plugins WordPress (WooCommerce...). Une fois infiltré, le "skimmer" invisible récupère en temps réel les informations des cartes bancaires. Le skimming web se révèle particulièrement indétectable pour le commun des internautes. Aucun signe apparent ne trahit la présence du code malveillant : le site infecté conserve son apparence et son fonctionnement normal.
Pire, le skimming numérique passe aussi souvent inaperçu pour les propriétaires des sites infectés. Sa détection nécessite une expertise pointue en cybersécurité. Selon une étude menée par la société de sécurité informatique Kaspersky, "près de 10 000 sites ont été touchés par du skimming web en 2022, et un quart d'entre eux sont restés compromis pendant des années".