par Si vous avez eu la fibre posée chez vous ces dernières années, ou un compteur Linky installé, vos coordonnées traînent peut-être en ce moment sur un forum cybercriminel. La faute à Solutions30, une entreprise dont vous n’avez sans doute jamais entendu parler, mais qui envoie pourtant ses techniciens chez des millions de Français pour le compte d’Orange, de Bouygues Telecom et d’Enedis.
Le 12 octobre, un pirate qui se fait appeler Syrv4x a mis en vente 34 Go de données aspirées chez ce prestataire. Au total, un peu plus de 10 millions de fiches clients. Attention, 10 millions de fiches ne veut pas dire 10 millions de personnes, parce qu’une même maison a pu recevoir plusieurs interventions au fil des années. Mais le volume reste énorme : environ 982 000 adresses e-mail uniques et 6,8 millions de numéros de téléphone distincts.
Et ce ne sont pas juste des adresses mail perdues dans la nature. On parle de noms et prénoms, d’adresses postales complètes avec la ville, de numéros fixes et mobiles, et même d’informations sur votre abonnement et le matériel posé chez vous. De quoi reconstituer une fiche assez précise de votre foyer.
Pour reconnaître ce genre d’arnaque avant de tomber dedans, ce petit guide fait le tour des pièges les plus courants.
Cyberarnaques : s’informer pour mieux se protéger → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Côté technique, rien de très sophistiqué. Le pirate aurait exploité une faille dite IDOR. Pour dire ça plus simplement, l’appli web affichait un identifiant dans l’adresse, et il suffisait de changer le numéro pour tomber sur la fiche du voisin, sans que le site vérifie quoi que ce soit. Le genre de trou béant qu’on apprend à éviter en première année. Syrv4x dit avoir tout aspiré en un ou deux jours de travail.
Le vrai danger, maintenant, c’est ce qu’on va faire de ces données. Avec votre nom, votre adresse et le détail de votre installation, une arnaque par SMS ou par mail devient tout de suite beaucoup plus crédible. Pire : le coup du faux technicien qui se présente à votre porte pour « vérifier le Linky » devient jouable, puisque l’escroc connaît déjà votre matériel.
Donc méfiance dans les semaines qui viennent. Aucun vrai technicien ne vous demandera un code reçu par SMS ni un paiement sur le pas de la porte. Et si on vous réclame vos identifiants bancaires « pour la fibre », c’est non.
Crédit photo : Benoît Prieur (CC0), Wikimedia Commons
