Darty vous offre un aspirateur Dyson dernier cri ? Ne cliquez pas : il s’agit d’un phishing

Sur notre boite mail s’affiche un message, intitulé «vous avez été séléctionné (sic) pour recevoir un Dyson Vacuum GRATUIT ». Dans le corps du mail, le logo de la chaîne de magasins Darty s’affiche en grand, avec cette promesse : « Répondez et gagnez un tout nouvel (sic) Dyson Vacuum ». Le tout est accompagné de photos représentant les derniers modèles d’aspirateur de la marque britannique, qui valent plusieurs centaines d’euros.

Un peu plus bas dans le mail, nous sommes informés que nous avons été sélectionnés pour « participer GRATUITEMENT au Programme de Fidélité », et que cela ne nous « prendra qu’une minute pour recevoir un prix fantastique ».

Malheureusement pour nous, il ne s’agit pas vraiment d’une opportunité géniale ni d’un coup de chance : il s’agit d’une tentative de phishing. Et nous avons cliqué dessus.

Gagner un aspirateur, est-ce vraiment possible ? Eh bien, non. // Source : Capture d’écran Numerama

Un phishing qui nous promet de nous faire gagner un aspirateur

Tout en bas du mail, un gros bouton rouge s’affiche, nous indiquant de cliquer afin de « commencer ! » Nous cliquons dessus, pressés de gagner à notre tour un super aspirateur Dyson. Si, jusqu’à présent, le phishing était relativement convaincant — peu de fautes d’orthographe, corps du mail utilisant le logo de Darty — cette étape l’est beaucoup moins.

Nous sommes redirigés vers un site aux couleurs de Darty, qui arbore également son logo. Mais le texte qui s’affiche alors en gros livre un premier indice du caractère contrefait de la page : la phrase comporte d’énormes fautes de grammaire. « Réponse & gagner une nouvelle Dyson Vacuum », peut-on ainsi lire, ce qui ne veut vraiment rien dire. Néanmoins, en arrivant sur la page, un chronomètre s’est enclenché, nous signalant que nous n’aurions que 6 minutes devant nous pour tenter de gagner l’aspirateur.

Le phishing nous amène sur un site arborant les couleurs de Darty // Source : Capture d’écran Numerama

L’usage de ces chronomètres est très courant dans ce genre de tentatives de phishing : ils sont là pour forcer les internautes à agir vite et à ne pas réfléchir. Il en vrai qu’en voyant le chronomètre s’afficher, certaines personnes pourraient ne pas faire attention aux fautes du texte, et cliquer sur « Réponds maintenant » pour immédiatement passer à l’étape suivante. C’est ce que nous faisons.

Lors des étapes suivantes, nous restons sur le même site, mais un court questionnaire s’affiche. Nous devons indiquer notre genre, notre âge, si nous habitons seul ou bien à plusieurs, et enfin si nous effectuons régulièrement des achats sur Internet. Peu importe les réponses : lorsque nous sommes parvenus au bout des questions, on nous apprend que nos réponses ont été « vérifiées avec succès », et que nous avons la chance de pouvoir gagner l’un des prix. Nous cliquons à nouveau sur « commencer », afin d’accéder à la prochaine étape du concours.

Plus qu’une étape avant de gagner un aspirateur ! // Source : Capture d’écran Numerama

La suite est une espèce de « mini-jeu », que l’on retrouve très souvent dans les campagnes de phishing : il faut cliquer sur le bon paquet cadeau afin de remporter l’aspirateur (ou, en fonction des versions du phishing, des iPhone, des vélos, etc.). Nous cliquons au hasard sur l’un d’entre eux, et, manque de chance, ce n’est pas le bon. Nous sélectionnons à nouveau, au hasard, un autre paquet et cette fois, miracle : nous avons cliqué sur le bon. Les aspirateurs Dyson ne sont plus qu’à quelques clics de nous, nous informe le site. Il ne nous reste plus qu’à « le réclamer ». Or, c’est là que commence la véritable arnaque.

Wow ! Un aspirateur Dyson ! // Source : Capture d’écran Numerama

En effet, on découvre vite que, contrairement à ce qui nous a été promis au début, nous n’allons pas réellement avoir l’aspirateur gratuitement. Comme on peut le voir sur la photo ci-dessus, en lisant les petites lignes, il ne s’agit théoriquement que de deux euros.

Mais en cliquant sur le bouton « réclamer », nous sommes à nouveau amenés vers une nouvelle page. Elle nous indique cette fois qu’il nous faut payer 1,95 euro pour avoir droit au Dyson. Nous devons aussi remplir un formulaire avec nos noms, prénoms et adresse mail, et surtout, renseigner nos identifiants bancaires. Et nous ne sommes pas au bout de nos peines : en regardant plus attentivement les petites lignes de bas de page, nous apprenons que cette offre comprend des frais cachés.

Ce texte nous informe qu’en plus des deux euros de frais de port, et des 1,95 euro que nous allons devoir verser pour récupérer l’aspirateur, nous serons inscrits à un mystérieux abonnement. Le texte apporte plus de questions qu’il ne donne de réponse : il est question d’un abonnement à un « programme […] partenaire », et d’une somme qui « varie en fonction du choix  ». Il n’est précisé ni le montant de cette somme ni les échéances de paiement, mais il est évident que ce « service » n’est qu’une arnaque, dont il sera certainement très difficile de se désabonner.

Plutôt cher pour un aspirateur gratuit // Source : Capture d’écran Numerama

Une tentative de phishing courante

Cette tentative de phishing, si elle est relativement convaincante avec le premier mail envoyé, devient heureusement vite assez grossière. Difficile de passer à côté des incohérences des textes (qui passent souvent du vouvoiement au tutoiement), aux fautes d’orthographe, et aux frais qui se rajoutent à chaque étape. Il faut néanmoins toujours faire très attention : ce n’est pas parce qu’un phishing fait des fautes d’orthographe qu’il devient immédiatement inoffensif.

Ce qu’il est intéressant de retenir, c’est qu’on retrouve très régulièrement la même structure dans les phishings : un mail reprenant les noms et logos d’une grande marque reconnue, qui nous invite à participer à un concours, ou qui nous annonce que nous avons gagné un prix. Puis viennent le questionnaire et le petit jeu à la fin, avant de finir sur une page où nous devons rentrer nos données bancaires. Si vous tombez un jour sur un autre type de concours qui utilise les mêmes étapes et les mêmes mécanismes, vous pourrez tout de suite déterminer que vous vous trouvez en face d’une tentative de phishing.

Comment déceler une campagne de phishing ?

Le mail que nous avons reçu fait sans doute partie d’une campagne de phishing plus vaste. Il est donc possible que vous ou des membres de votre famille ayez reçu un message similaire. Si vous recevez un message de Darty dans les prochains jours, faites particulièrement attention. Ce n’est pas le seul phishing qui reprend le logo et le nom des magasins d’électroménager : un autre mail circule, faisant croire à une fausse commande d’un montant de 900 euros.

Si vous voulez vous assurer de la provenance d’un mail que vous trouvez suspicieux, il faut commencer par vérifier l’adresse de l’expéditeur. Dans le cas présent, l’adresse est un bon indice : il s’agit de ohjldnnehp[arobase]azweather[point]me[point]uk. Non seulement cette adresse n’a aucun sens logique (que vient faire une adresse anglaise dans un mail supposément envoyé par une marque française ?), mais elle ne veut aussi rien dire : il n’y a pas de prénom identifiable, et la présence du mot weather (météo en français) dans l’adresse ne fait que renforcer la confusion. Mais il faut cependant toujours se méfier : certains phishings utilisent des adresses mail dangereusement crédibles.

Lorsque l’on nous propose quelque chose qui semble trop beau pour être vrai (comme gagner un aspirateur valant des centaines d’euros), c’est souvent que ça l’est. Il convient donc de se méfier dès que l’on reçoit un mail nous promettant monts et merveilles. Il est également possible que votre boite mail affiche un message d’avertissement. Gmail affichait ainsi en haut du mail un message d’alerte, en nous prévenant qu’il s’agissait peut-être d’une tentative d’hameçonnage. Si c’est le cas, il vaut mieux suivre les conseils de votre boite mail, et ne surtout pas cliquer sur les liens qui se trouvent dans ce type de mail.

Que faire si vous avez ouvert le mail ?

• Si vous avez seulement ouvert le mail, mais n’avez cliqué sur aucun lien, vous ne risquez rien.
• Si vous avez uniquement cliqué sur le lien, vous n’avez pas de crainte à avoir non plus.
• Si vous avez rempli le formulaire d’inscription avec vos noms, prénoms, et adresse mail, méfiez-vous particulièrement des emails et appels que vous allez recevoir dans les jours à venir : votre adresse mail s’est peut-être retrouvée dans une base de données. Et même si vous ne recevez rien de suspect dans les jours qui viennent, il vaut toujours mieux être sur ses gardes.
• Si vous avez donné vos informations bancaires, il vous faut tout de suite faire opposition sur votre carte bancaire. Si vous relevez une transaction frauduleuse sur le compte, vous pouvez la déclarer sur Perceval, la plateforme publique dédiée au signalement des fraudes bancaires.

Quel est le meilleur Gestionnaire de mots de passe ? Quel est le meilleur gestionnaire de mots de passe en 2024 ? Retrouvez nos tests complets