Comptes piratés : quand une voix de confiance publie une arnaque

Le message vient d'un compte que vous suivez depuis des années : un projet connu, un fondateur, un analyste respecté. Il annonce le lancement surprise d'un token, un airdrop limité ou une migration urgente, avec un lien. Le compte est certifié, la photo de profil est la bonne, même le style d'écriture semble familier.

Et c'est une arnaque, car le compte n'est plus entre les mains de son propriétaire. Le piratage de comptes sur les réseaux sociaux est devenu l'un des moyens les plus efficaces de voler des cryptos, précisément parce qu'il emprunte une confiance qui a mis des années à se construire.

Pourquoi les attaquants veulent des comptes de confiance

Un faux compte doit gagner l'attention à partir de zéro. Un compte piraté démarre avec une audience qui le croit déjà. Un seul message publié depuis le compte compromis d'un projet peut toucher des centaines de milliers d'abonnés en quelques minutes, et il suffit aux attaquants qu'une petite fraction d'entre eux clique avant que le message soit repéré et supprimé.

C'est aussi pourquoi ces attaques sont généralement rapides et bruyantes : une rafale de publications, des réponses désactivées ou inondées de faux compliments, et un lien qui n'a besoin de fonctionner qu'une heure.

Comment les comptes sont piratés

• Identifiants volés par hameçonnage. De faux messages de « violation de droits d'auteur », de « vérification » ou de « partenariat » mènent à des pages de connexion imitées qui capturent le mot de passe et le code de double authentification en temps réel.
• SIM swap. Si la récupération du compte repose sur un numéro de téléphone, un attaquant qui transfère ce numéro sur sa propre carte SIM peut réinitialiser le mot de passe.
• Applications connectées compromises. Un outil tiers de planification ou d'analyse disposant de droits de publication peut être détourné sans même toucher au mot de passe.
• Un logiciel malveillant sur l'appareil d'un membre de l'équipe qui vole les sessions ouvertes, sans besoin de mot de passe.
• E-mail de récupération mal protégé. Le compte social est solide, mais l'adresse e-mail qui se trouve derrière ne l'est pas.

Ce que dit généralement le message frauduleux

• Un token ou un airdrop surprise avec un lien pour « réclamer », le même schéma que les faux airdrops : vous connectez votre wallet, vous signez, vous perdez vos fonds.
• Une migration urgente : « transférez vos tokens vers le nouveau contrat avant la date limite ».
• Une alerte de sécurité qui constitue elle-même l'attaque : « une vulnérabilité a été découverte, révoquez et approuvez à nouveau ici ».
• Un concours qui vous demande d'envoyer des fonds d'abord.
• Une offre d'assistance : une réponse d'un compte « de l'équipe » proposant de vous aider avec votre problème, qui mène au même scénario de faux support.

Comment le repérer

• Urgence plus lien, quel que soit le compte, c'est un signal d'alerte, aussi fiable que paraisse le compte.
• Vérifiez les autres canaux. La même annonce figure-t-elle sur le site web du projet, dans sa documentation, sur son blog et sur ses autres comptes officiels ? Les vrais lancements sont coordonnés ; les piratages, généralement pas.
• Regardez le domaine du lien, pas le texte. Un domaine nouveau ou légèrement différent est le signal le plus clair.
• Remarquez si les réponses sont désactivées ou remplies de commentaires enthousiastes identiques.
• Attendez une heure. Les piratages sont généralement repérés et corrigés rapidement. Une vraie opportunité sera toujours là ; une arnaque, généralement pas.

La règle qui sous-tend tout cela est celle du phishing en général : n'agissez pas à partir de liens reçus dans des messages, rendez-vous vous-même sur le site.

Si vous gérez un compte auquel les gens font confiance

Les projets et les personnalités publiques sont des cibles précisément à cause de leur audience. Quelques mesures rendent un piratage beaucoup plus difficile :

• Utilisez une clé de sécurité physique ou une application d'authentification pour la double authentification, pas les SMS.
• Supprimez le numéro de téléphone comme méthode de récupération lorsque la plateforme le permet.
• Protégez l'e-mail de récupération avec le même niveau d'exigence que le compte lui-même.
• Contrôlez régulièrement les applications connectées et supprimez celles que vous n'utilisez plus.
• Limitez qui peut publier, et utilisez les fonctions d'équipe ou de délégation de la plateforme plutôt que des mots de passe partagés.
• Convenez à l'avance d'un plan de réaction en cas de piratage : qui contacte la plateforme, où vous publiez l'avertissement et comment les abonnés peuvent vérifier les canaux officiels.

Comment SSP communique

SSP n'annoncera jamais, nulle part, un token, un airdrop, une « migration » de vos fonds ou une raison de saisir votre phrase de récupération. Nous n'avons rien à migrer : vos cryptos se trouvent dans votre propre coffre 2 sur 2, et seuls vos deux appareils peuvent les déplacer.

Si vous voyez un jour un message provenant d'un compte qui ressemble au nôtre et vous demandant de connecter, réclamer, migrer ou vérifier un wallet, considérez-le comme compromis et consultez le site officiel et la documentation avant de faire quoi que ce soit.

Et si un lien passe malgré tout entre les mailles, l'approbation sur deux appareils de SSP vous offre une seconde chance : chaque transaction et chaque signature doivent être confirmées dans SSP Key, sur votre téléphone, où vous pouvez lire ce que vous approuvez réellement.

Le résumé honnête

Un compte piraté transforme la réputation de quelqu'un d'autre en mégaphone pour un attaquant. Le fait que le compte soit authentique ne rend pas le message authentique.

Méfiez-vous de l'urgence et des liens, quel que soit l'auteur, confirmez les annonces via un second canal officiel, rendez-vous vous-même sur les sites au lieu de cliquer, et accordez une heure à toute opportunité « à durée limitée ». La plupart des piratages ne tiennent pas aussi longtemps.