Alerte de sécurité Web3 – Fausses applications

Dans le domaine des cryptomonnaies, les arnaqueurs ne cessent de faire évoluer leurs tactiques. Une menace à haut risque fait son retour : les fausses applications Bitget. Ces applications malveillantes sont habilement déguisées pour ressembler à l'application Bitget officielle – du logo à la description de l'application – ce qui les rend pratiquement impossibles à différencier. Les cybercriminels utilisent toute une série d'astuces pour inciter les utilisateurs à télécharger ces imitations, dans le but de voler des informations personnelles et des actifs numériques.

Qu'est-ce qu'une fausse application ?

Les fausses applications (également appelées "applications d'hameçonnage" ou "applications copycat malveillantes") sont des applications illégitimes créées pour imiter des plateformes légitimes et populaires, telles que des plateformes d'échange de cryptomonnaies, des portefeuilles ou des réseaux sociaux. Elles reproduisent les noms, les logos, les interfaces et même les fonctionnalités pour paraître authentiques. Une fois installées, ces applications entraînent souvent des atteintes à la vie privée ou des pertes financières.

Caractéristiques principales

● Visuels ressemblants : les noms, logos et interfaces des applications ressemblent étroitement à la version officielle, avec seulement quelques différences mineures (par exemple, les jeux de couleurs du logo ou les détails de la police).

● Fonctionnalités clonées : les fausses applications peuvent reproduire les fonctionnalités de base de la vraie application ou simplement rediriger les utilisateurs vers de fausses pages.

● Autorisations malveillantes : ces applications demandent souvent l'accès à de nombreuses fonctionnalités du téléphone, comme les contacts, les SMS, la caméra ou le micro – bien au-delà du nécessaire – afin d'espionner l'utilisateur ou de dérober des données.

● Distribution non officielle : ces applications sont couramment trouvées dans des boutiques d'applications tierces, des sites d'hameçonnage, des liens envoyés par SMS ou par e-mail, ou encore partagées dans des communautés en ligne.

● Absence de références officielles : les informations sur les développeurs sont vagues ou manquantes, et les coordonnées ou les politiques de confidentialité sont souvent fausses ou absentes.

● Fautes d'orthographe, de grammaire ou erreurs de description : les applications d'hameçonnage contiennent souvent des erreurs basiques, car les développeurs légitimes relisent généralement le texte avec soin avant de le publier.

● Avis suspects : un faible nombre de téléchargements, des évaluations polarisées (toutes à 5 étoiles ou toutes à 1 étoile) et un décalage entre la date de sortie et le nombre d'avis.

Scénarios d'attaque courants

1. Remplacement de l'adresse du portefeuille

● Les utilisateurs tentent de déposer ou de retirer des fonds en utilisant la fausse application.

● L'application remplace secrètement l'adresse du destinataire par une adresse contrôlée par l'attaquant.

● Les fonds sont envoyés à leur insu dans le portefeuille de l'escroc et sont irrécupérables.

2. Vol d'identifiants

● Les utilisateurs saisissent leurs identifiants de connexion et leurs codes 2FA dans la fausse application.

● Les arnaqueurs utilisent ces données pour accéder à la véritable plateforme.

● Les actifs sont rapidement transférés ou utilisés à tort.

3. Hameçonnage par SMS

● Les victimes reçoivent des alertes SMS telles que "Avertissement de sécurité urgent" ou "Activité de compte inhabituelle" avec des liens pour télécharger la fausse application.

● Se sentant pressés, les utilisateurs installent l'application et accordent les autorisations.

● L'application dérobe ensuite des informations sensibles, notamment des seed phrases, ou intercepte les codes de vérification par SMS, ce qui permet un accès non autorisé.

4. Injection de malware

● La fausse application installe des logiciels malveillants en arrière-plan.

● Elle peut déployer des enregistreurs de frappe (keyloggers) pour capturer les saisies provenant d'autres applications.

● Des fichiers tels que les clés privées ou les seed phrases peuvent être consultés et téléchargés en toute discrétion.

5. Surveillance continue

● L'application fonctionne en arrière-plan, surveillant l'activité de l'utilisateur.

● Elle capture le contenu de l'écran, notamment lorsque des applications financières sont utilisées.

● Les attaquants attendent le moment opportun pour intercepter ou modifier les données des transactions.

Comment fonctionnent les fausses applications ?

Les fausses applications combinent la duperie technique et l'ingénierie sociale :

1. Duperie technique

○ Duplication d'interface et du code :

■ Clone l'interface, les fonctionnalités ou même le code source de l'application officielle, de sorte que la fausse application ait la même apparence et fonctionne de la même manière.

■ Modifie des fichiers APK légitimes en injectant du code malveillant ou en remplaçant les adresses de transfert pour créer des versions altérées.

○ Abus d'autorisation :

■ Demande des autorisations excessives (par exemple, lire les SMS, accéder aux contacts, suivre la localisation) pour permettre le vol de données ou le contrôle à distance.

○ Interception et chiffrement des communications :

■ L'interception d'API est utilisée pour intercepter et modifier les données de communication entre l'application et son serveur.

■ Transmet des informations sensibles, telles que des adresses de transaction ou des mots de passe, via des canaux chiffrés.

○ Contournement de la détection  :

■ Obfuscation du code : modifie le code pour le rendre illisible ou difficile à analyser, afin d'échapper à la détection automatique.

■ Activation différée : le code malveillant ne s'active qu'après l'installation ou sous certaines conditions.

■ Chargement dynamique : le code malveillant est téléchargé après l'installation, plutôt qu'intégré directement dans l'application.

■ Demandes d'autorisations échelonnées : les autorisations sensibles sont sollicitées progressivement afin de réduire la vigilance de l'utilisateur.

2. Ingénierie sociale

○ Abus de confiance :

■ En imitant des plateformes de confiance (par exemple, Bitget), les applications d'hameçonnage héritent de la confiance des utilisateurs et les incitent à baisser leur garde.

○ Créer un sentiment d'urgence :

■ Utilise des tactiques alarmistes (par exemple, "Votre compte est en danger" ou "Perte d'actifs détectée") par SMS ou notifications push pour amoindrir la vigilance des utilisateurs et déclencher des actions rapides et non vérifiées.

○ Trucage visuel :

■ Exploite l'incapacité des utilisateurs à remarquer de petites différences visuelles, en utilisant des éléments visuels similaires pour les duper.

■ Feint la légitimité avec de faux avis et un nombre manipulé de téléchargements.

○ Distribution ciblée :

■ Cible des groupes spécifiques, tels que des communautés d'investisseurs crypto, pour augmenter le taux de réussite des attaques.

○ Rebranding fréquents :

■ Modifie continuellement les noms, les icônes et les descriptions des applications pour éviter d'être détecté et ainsi prolonger la durée de vie de l'escroquerie.

Comment repérer une fausse application

Soyez à l'affût de ces signaux d'alarme :

● Icône anormale : différences légères mais perceptibles par rapport à l'icône de l'application officielle.

● Demandes d'autorisations excessives : autorisations inutiles demandées après l'installation.

● Avis suspects : soit excessivement positifs, soit excessivement négatifs.

● Fautes de grammaire et d'orthographe : des erreurs évidentes dans le nom ou la description de l'application.

● Volume de téléchargement inhabituel : l'application Bitget légitime devrait avoir un grand nombre de téléchargements.

● Informations suspectes : détails de l'entreprise manquants ou frauduleux.

● Chronologie douteuse : méfiez-vous des applications nouvellement lancées qui affichent un nombre anormalement élevé d'avis.

● Sources non fiables : liens vers l'application partagés via des réseaux sociaux, par SMS ou par e-mail au lieu des canaux officiels.

Protections de sécurité Bitget

Bitget s'engage à vous donner une longueur d'avance et à vous tenir pleinement informé de ce qui se passe sur votre compte.

Alertes par e-mail

Si vous avez lié votre adresse e-mail, vous recevrez un e-mail chaque fois que vous vous connecterez à partir d'un nouvel appareil. Ces e-mails comprennent votre code anti-hameçonnage, votre code de vérification, le lieu de connexion, l'adresse IP et les détails de l'appareil. Prenez toujours le temps de vérifier que ces informations correspondent à votre activité.

Si vous accédez à votre compte à partir d'un nouvel emplacement, vous recevrez un e-mail vous informant de la connexion. Veuillez vérifier cet accès.

Lorsque vous effectuez un retrait, vous recevez un e-mail contenant le code de vérification et tous les détails de la transaction. Vérifiez toujours que tout correspond au retrait prévu.

Période d'attente (1 heure ou 24 heures)

Pour éviter les actions impulsives causées par des escroqueries, Bitget a mis en place une période d'attente – une mesure de sécurité temporaire déclenchée lorsque le système détecte des risques potentiels pour le compte (comme des emplacements de connexion inhabituels, des transactions suspectes ou des soupçons de fraude).

Période d'attente en fonction du niveau de risque (1 heure ou 24 heures) :

● 1 heure : pour les scénarios à faible risque (par exemple, les connexions à distance), ce court délai met en pause les retraits afin que les utilisateurs puissent vérifier l'activité du compte.

● 24 heures : pour les scénarios à haut risque (par exemple, les changements de méthode de vérification ou les risques d'hameçonnage), tous les retraits sont suspendus, ce qui donne aux utilisateurs le temps de réévaluer la sécurité de leur compte.

Canaux de vérification officiels

Si vous n'êtes pas sûr de l'identité d'une personne, vous pouvez toujours la vérifier via le canal de vérification officiel de Bitget.

Bonnes pratiques pour la sécurité des comptes

Activer plusieurs méthodes 2FA

L'authentification à deux facteurs (2FA) est une couche de protection essentielle qui nécessite deux méthodes distinctes de vérification de l'identité. Il peut s'agir de combinaisons d'e-mail, de mots de passe, de SMS, de Google Authenticator, de clés de sécurité ou d'autres méthodes. L'utilisation de plusieurs options 2FA renforce considérablement la sécurité et la fiabilité de votre compte.

Configurer le code anti-hameçonnage

Un code anti-hameçonnage est une fonctionnalité de sécurité fournie par Bitget pour aider les utilisateurs à identifier les sites web d'hameçonnage. Une fois activé, tous les e-mails et SMS officiels de Bitget (à l'exception des codes de vérification par SMS) incluront votre code anti-hameçonnage unique. Les e-mails et les SMS d'hameçonnage ne contiendront pas de codes anti-hameçonnage, ce qui permettra aux utilisateurs d'identifier facilement s'ils proviennent des canaux officiels de Bitget.

Pour le configurer, allez dans Profil > Sécurité > Code anti-hameçonnage et suivez les instructions.

Lisez cet article pour plus de détails sur les codes anti-hameçonnage.

Activer la confirmation de l'adresse de retrait

Lorsque vous retirez des fonds via le site web de Bitget, il existe un risque d'activités malveillantes telles que le détournement de trafic, qui peut altérer votre adresse de retrait. Pour éviter cela, Bitget propose un commutateur de vérification inter-appareils. Vous devrez scanner un QR code via l'application mobile Bitget pour confirmer l'adresse de retrait avant que la demande ne puisse être traitée.

Avoir une bonne hygiène de compte

Installez un logiciel antivirus. Téléchargez toujours des applications et des logiciels à partir de sources officielles fiables et évitez de cliquer sur des liens reçus par SMS. Pour renforcer la sécurité de votre compte, envisagez d'utiliser un appareil dédié pour accéder aux comptes sensibles ou confidentiels. Ne mettez jamais tous vos œufs dans le même panier. Évitez de vous connecter à votre messagerie, d'insérer une carte SIM et de stocker Google Authenticator sur le même téléphone. En cas de perte ou de compromission de votre appareil, le fait de tout avoir sur un seul appareil peut signifier tout perdre. La répartition des risques peut réduire considérablement les pertes potentielles.

Conclusion – La sécurité commence par la vigilance, qui dépend de vous

La technologie peut construire des défenses dans le domaine de la sécurité des réseaux, mais votre sensibilisation et votre vigilance sont les protections ultimes. Les escrocs prospèrent sur la confusion et l'urgence, mais une personne bien informée saura repérer les pièges et réagir avec assurance. Bitget fournit un cadre de sécurité à plusieurs niveaux pour protéger les utilisateurs, mais la protection la plus puissante est votre propre compréhension du risque. Chaque connaissance de l'existence d'une arnaque est un bouclier de plus pour protéger vos actifs.

Le savoir est une arme. L'action est une protection. Bitget continuera à mettre à jour ses alertes de risque ainsi que les ressources de lutte contre les escroqueries. Chaque fois que vous vérifiez un détail ou que vous prenez une décision prudente, vous fermez la porte aux arnaqueurs. Travaillons ensemble pour faire de la sécurité notre fondement commun.

Pour en savoir plus : Meilleures pratiques de sécurité Bitget

Articles liés :

Alerte de sécurité Web3 – Spoofing par SMS

Alerte de sécurité Web3 – Scénarios courants de vol d'actifs

Alerte de sécurité Web3 – Tokens à haut risque

Alerte de sécurité Web3 – Fausses applications

Alerte de sécurité Web3 – Autorisations malveillantes