Phishing aux dépens de la Sécurité Sociale française

En France la Sécurité Sociale est divisée en trois secteurs principaux:

• Maladie, maternité, invalidité et décès, accidents du travail et maladies professionnelles;
• vieillesse;
• famille;

gérée par trois différentes institutions:

• la Caisse nationale d’assurance maladie maternité des travailleurs salariés (la CNAMTS), s’occupe du premier;
• la Caisse nationale d’assurance vieillesse (CNAV) du second;
• la Caisse nationale des allocations familiales (CNAF) du troisième.

En effectuant le monitorage du phishing international, le D3Lab a relevé, à partir de 2013, un intérêt des criminels pour la Caisse Nationale des Allocations Familiales,

l’institution destinée au versement des allocations familiales, au moyen d’un phishing visant à s’approprier les cartes de crédit des utilisateurs dont les données étaient demandées afin d’accré

On avait immédiatement compris qu’il y avait un intérêt au niveau «territorial» de la part des criminels, dont on suppose qu’il était dû à la connaissance des institutions visées et à la possibilité de bénéficier, sur le territoire, d’une structure de collaborateurs à même de faire le cash-out, de monétiser.  En effet, on a pu relever que c’était la même mail box à laquelle étaient destinés les accréditifs provenant des phishings CNAF/Caf.fr qui recueillait également les accréditifs dérivant des phishings aux dépens de FreeMobile, mail box qui sera utilisée pendant une année entière,

ou que dans ce même site web compromis il était possible de trouver les pages clones de CNAF/Caf.fr et de La Banque Postale.

Plus récemment il a permis de mettre en évidence un nombre croissant de cas de phishings au détriment de la Caisse nationale d’assurance maladie maternité des travailleurs salariés, CNAMTS, dont les compétences sont probablement assimilables à celles de l’INPS et de l’INAIL pour ce qui est des maladies et des accidents des travailleurs salariés, ainsi qu’on peut également le lire sur le site de notre INAIL [La reconnaissance des Maladies Professionnelles dans les Pays de l’U.E].

Dans ce cas également la fraude vise à s’approprier les cartes de crédit des français désireux d’obtenir le remboursement probablement promis dans les mails criminels.

Les sites clones qui ont été examinés jusqu’à présent présentent la même structure, avec une première page d’atterrissage, avec gif animée qui simule une condition d’attente;

Dans la seconde page il y a la requête des données d’état civil et de domicile ainsi que le courriel et le mot de passe permettant d’accéder à sa mailbox;

La troisième page prévoit deux passages: au premier stade l’utilisateur indique son institut bancaire de référence,

Et a le choix entre les options suivantes:

• Banque AGF / Allianz;
• Banque de Bretagne;
• Banque de Savoie;
• Banque Dupuy de Parseval;
• Banque Marze;
• Banque Palatine;
• Banque Populaire;
• Banque Postale;
• Barclays;
• BforBank;
• Binck.fr;
• BNP;
• BNP Paribas La NET Agence;
• Boursorama Banque;
• BPE;
• Caisse d’Epargne;
• CIC;
• Coopabanque;
• Crédit Agricole;
• Crédit Coopératif;
• Crédit du Nord;
• Crédit Mutuel;
• e.LCL;
• Fortis Banque;
• Fortuneo Banque;
• Groupama Banque;
• HSBC;
• ING Direct;
• LCL;
• Monabanq;
• Société Generale;
• Société Marseillaise de Crédit;
• Autre Banque:

Et il passe donc à la phase suivante avec la visualisation du formulaire pour l’insertion des données de la carte de crédit;

La quatrième et dernière page annonce l’enregistrement de la demande de remboursement et après avoir cliqué sur la touche “Terminer” elle renvoie au véritable site web du CNAMTS (www.ameli.fr)

Compte tenu de la virulence des clones (le monitorage activé sur cette institution depuis 5 jours a déjà permis d’en identifier 12) il est probable que la fraude procure aux criminels des résultats considérables.

L’image reproduite ci-dessous montre que dans un seul site web compromis les criminels ont inséré des clones de la Caisse nationale d’assurance maladie maternité des travailleurs salariés dans quatre différents répertoires:

• a;
• b;
• info;
• remboursement;

et met l’accent sur l’intérêt «territorial» des criminels à s’en prendre aux utilisateurs français au moyen de la présence d’un clone reproduisant la présentation du site web du centre des impôts français.

L’agression contre les institutions gouvernementales (auparavant le D3Lab a suivi le phishing des institutions irlandaises, sud africaines, danoises, etc…..) représente une attaque à très vaste échelle: si au moyen du phishing aux dépens des instituts bancaires le criminel doit espérer atteindre un utilisateur effectivement client de l’institution dont le courriel et le clone reproduisent la présentation, avec le phishing contre les institutions gouvernementales il apparait évident que c’est pratiquement toute la population (à l’exclusion des mineurs) d’un pays qui est concernée. Nous pourrions dire tristement que les criminels «aiment les victoires faciles».