Des hameçonneurs utilisent la coque bleue convoitée d’Instagram pour convaincre les gens de partager leurs données.
Un fournisseur de services de sécurité de la messagerie électronique appelé Vade rapporte que des hameçonneurs ont envoyé aux utilisateurs d’Instagram des messages affirmant qu’ils peuvent être vérifiés sur le service s’ils remplissent un formulaire dans les 48 heures. Ce formulaire demande aux utilisateurs de communiquer leur nom ainsi que le nom d’utilisateur, le numéro de téléphone et l’adresse électronique associés à leur compte, avant de leur demander également leur mot de passe.
« Le corps du texte explique que le profil Instagram de la victime a été examiné et jugé éligible à la vérification », explique Vade. « Les logos d’Instagram et de Facebook en en-tête et en pied de page de l’e-mail tentent de créer un air de légitimité, tout comme l’utilisation de l’identifiant Instagram réel de la victime, montrant que les pirates ont fait des recherches sur leur cible avant l’attaque. »
Vade indique que le message semble être envoyé à partir d’un compte de messagerie appelé « ig-badges » et est accompagné d’une ligne d’objet qui indique simplement « ig bluebadge info. » L’entreprise note également que les escrocs font des fautes de grammaire dans le message initial ainsi que dans le formulaire malveillant lui-même, qui sont tous deux des indicateurs courants de l’existence d’un faux.
Lire aussi : Instagram fait une demande importante à tous les adolescents
Ces signaux d’alerte sont toutefois faciles à ignorer, surtout lorsque les escrocs ciblent des utilisateurs d’Instagram qui aimeraient être vérifiés et craignent de perdre leur chance s’ils ne remplissent pas le formulaire dans les 48 heures. Même les personnes qui savent comment ces attaques sont généralement menées peuvent se retrouver prises au piège par les hameçonneurs si elles sont confrontées à l’appât approprié.
Il convient toutefois de rappeler que, selon M. Vade, Instagram ne demande pas proactivement aux utilisateurs de passer par le processus de vérification, mais leur demande plutôt de le faire eux-mêmes. Tout courriel, message texte ou autre communication demandant des données privées, en particulier des mots de passe, doit être considéré comme suspect.