Quatorze prévenus bientôt jugés à Paris pour une vaste campagne de phishing par SMS. En utilisant un IMSI-catcher, un dispositif d'espionnage, ils auraient créé une fausse antenne-relais pour siphonner les données bancaires de milliers de victimes.
Le préjudice est estimé à plus de 20 millions d'euros, une affaire qui expose la sophistication de la cybercriminalité moderne.
Tout commence en octobre 2022, lorsque l'opérateur Orange dépose plainte. Plusieurs de ses clients reçoivent des SMS frauduleux se faisant passer pour l'Assurance Maladie ou Chronopost, mais l'opérateur ne trouve aucune trace de ces messages sur son propre réseau.
Plus troublant encore, les téléphones ciblés présentent un comportement radio étrange au moment des faits. Le diagnostic est rapide : une fausse antenne-relais est à l'œuvre pour mener une campagne massive de phishing.
L'IMSI-Catcher : l'outil des espions au service de l'escroquerie
Le 31 décembre 2022, la police met la main sur le pot aux roses. Un véhicule suspect est repéré à Paris et, à l'intérieur, un dispositif est identifié comme un IMSI-catcher. Cette technologie, normalement l'apanage des services de renseignement, permet de créer un réseau mobile parallèle qui intercepte les communications.
Les téléphones à proximité s'y connectent automatiquement, pensant être sur leur réseau habituel. Les escrocs n'avaient plus qu'à diffuser massivement leurs messages d'hameçonnage (phishing) vers les quelque 75 000 terminaux captés, les invitant à renseigner leurs coordonnées bancaires sur de fausses plateformes.
Une organisation structurée, du chauffeur au fournisseur chinois
L'enquête a rapidement mis au jour une organisation pyramidale bien rodée. À la base, une conductrice, rémunérée 100 euros par jour pour sillonner Paris et Lyon à faible allure avec le matériel dans son coffre.
Au-dessus, des intermédiaires chargés du recrutement. Le tout était apparemment orchestré par les cofondateurs d'une société offrant de services de marketing SMS local.
La filière remontait jusqu'au fournisseur de l'équipement, un ressortissant chinois localisé en Suisse puis extradé vers la France. Il est aujourd'hui le seul prévenu encore en détention provisoire dans ce dossier tentaculaire.
Un procès à plusieurs volets pour un préjudice colossal
Au total, quatorze personnes et plusieurs sociétés sont impliquées. Les faits, commis entre septembre 2022 et février 2023, concernent des milliers de victimes non identifiées et un préjudice estimé à plus de 20 millions d'euros.
Les charges vont de la captation de données informatiques à l'escroquerie en bande organisée, en passant par l'utilisation non autorisée de fréquences radio.
Huit des prévenus et la société en question seront jugées à Paris en février prochain. Six autres personnes et deux sociétés ont opté pour une procédure de comparution sur reconnaissance préalable de culpabilité, ou "plaider-coupable", qui sera examinée en novembre. Le verdict de ces audiences est très attendu et pourrait faire date dans la lutte contre ce nouveau visage de la cybercriminalité mobile.