L'e-mail paraît anodin, la demande purement administrative: «Veuillez vérifier votre adresse de domicile», peut-on lire. Le ton est neutre. L’expéditeur se présente comme étant Serafe AG, l'organisme chargé de prélever la redevance radio-TV.
Mais l’illusion s’effondre vite. En cliquant sur le lien, on n'atterrit pas sur le site de Serafe, mais sur une page falsifiée. L’Office fédéral de la cybersécurité (OFCS) le confirme: une campagne de phishing est actuellement en cours en Suisse.
L'usurpation ne doit rien au hasard
Le choix de Serafe comme expéditeur assure aux escrocs une visibilité et une crédibilité maximales. La plupart des ménages paient la redevance, et le nom de l'expéditeur est connu de tous. «Le fait que les criminels détournent le nom de Serafe n’a rien de fortuit: c’est une stratégie ciblée», explique l’office.
Résultat: l'efficacité de l'escroquerie avoisine les 100%. Contrairement aux faux e-mails usurpant l'identité d'une banque, presque chaque destinataire se sent concerné.
Une attaque bien ficelée
L’attaque est en elle-même est bien ficelée: au lieu d’exiger immédiatement un paiement, les fraudeurs instaurent une relation de confiance. Sur la page falsifiée, la victime commence par saisir son nom, son e-mail et son numéro de téléphone.
Ce n’est qu’ensuite que viennent le numéro AVS ainsi que la date du prochain déménagement. Une méthode inhabituelle, relèvent les spécialistes: «Demander autant de données et ne pas exiger d’emblée les informations de carte de crédit est plutôt étonnant», analyse l'OFCS.
Le déménagement, une donnée facilement exploitable
Pourquoi la date de déménagement? Tout simplement pour rendre le scénario crédible et préparer de futures attaques. Une personne qui déménage s’attend à recevoir des demandes administratives.
«Les déménagements entraînent souvent des retards ou des complications. Des e-mails liés à cette situation paraissent donc particulièrement plausibles. Les escrocs exploitent délibérément cette incertitude pour crédibiliser leurs tentatives», poursuit l'OFCS.
Avec les données collectées, les escrocs pourraient par exemple appeler la victime au moment du déménagement et s’y référer. Une stratégie souvent payante: sous stress, la vigilance de la victime baisse.
La Confédération met en garde
La Confédération est catégorique: «Serafe ne vous demandera jamais par e-mail de vérifier votre situation en matière de logement, de fournir votre numéro AVS ou d’entrer les données de votre carte de crédit.»
L’organisme reçoit automatiquement toutes les informations nécessaires – notamment lors d’un déménagement – grâce au contrôle des habitants. Il n’est donc jamais nécessaire d’annoncer un déménagement à Serafe AG. Les méthodes de paiement officielles sont l’e-bill, le prélèvement LSV ou le bulletin de versement.
S'agissant des mails frauduleux, la règle essentielle reste simple: ne cliquez sur rien. Vérifiez toujours l’expéditeur et passez la souris sur le lien avant de cliquer. L’aperçu suffit souvent à démasquer l’arnaque, l’adresse affichée étant longue, cryptique et bien éloignée de celle de l'organisme usurpé.
